Kerugian akibat celah firmware pada hardware wallet Coldcard buatan Coinkite telah menembus $130 juta, menurut laporan TechCrunch. Meski begitu, perusahaan pembuat perangkat ini tetap enggan memberi angka pastinya sendiri. Coinkite mengaku lebih fokus menuntaskan post-mortem atas serangan yang berlangsung berhari-hari itu ketimbang berspekulasi soal skala kerugian pengguna, dan mengarahkan pengguna ke riset keamanan pihak luar sebagai rujukan.
Akar masalahnya bermula dari kode yang diperkenalkan sejak 2021. Peneliti di Block menemukan bahwa perangkat Coldcard bisa menghasilkan seed phrase yang dapat diprediksi akibat generator angka acak yang cacat — alih-alih mengandalkan randomness berbasis hardware bawaan perangkat, sebuah generator cadangan justru aktif dan menghasilkan output deterministik yang pada akhirnya bisa dibobol. Penyerang bahkan tidak perlu akses fisik ke perangkat korban sama sekali; mereka merekonstruksi master key secara matematis dengan brute-force terhadap proses generasi yang cacat tadi, pada dasarnya mereproduksi private key wallet dari luar.
Kerugian Terus Membengkak
Skala insiden ini berkembang cepat. Estimasi awal pada 31 Juli menyebut kerugian mendekati 600 bitcoin, sekitar $38 juta, dengan laporan saat itu sudah memberi sinyal bahwa angka tersebut kemungkinan besar akan naik. Pada 4 Agustus, estimasi dari pihak luar sudah melonjak tiga kali lipat lebih menjadi di atas $130 juta, dengan setidaknya selusin peretas atau kelompok peretas berbeda yang secara independen mengeksploitasi bug yang sama. Coinkite mempublikasikan advisory keamanannya pada hari Kamis dan memperbaruinya lagi pada Sabtu berikutnya seiring gambaran yang makin jelas. Insiden ini terjadi di tengah tahun yang berat bagi keamanan kripto secara umum — pada paruh pertama 2026 saja, tercatat lebih dari 200 peretasan terpisah yang menyebabkan kerugian gabungan hingga $950 juta di seluruh industri.
Baca juga: Kerugian Peretasan Coldcard Bisa Tembus $130 Juta, Kata Galaxy Research
Coinkite Minta Pengguna Segera Bertindak
CEO Coinkite, NVK, menyampaikan peringatan kepada pengguna dengan nada blak-blakan:
"Jika Anda pernah membuat seed menggunakan wallet Coldcard, pindahkan dana Anda sekarang juga, ikuti best practice terbaru dari kami, sebelum membaca lebih lanjut."
Perusahaan telah merilis pembaruan firmware dan mendesak setiap pengguna yang terdampak untuk bermigrasi ke seed phrase yang baru dibuat, alih-alih mempercayai apa pun yang dibuat sebelum patch tersebut. Coinkite tidak memberikan komentar tambahan kepada TechCrunch di luar imbauan itu.
Pukulan bagi Narasi Self-Custody
Peretasan ini menyentuh saraf yang jauh lebih luas dari sekadar basis pengguna Coldcard sendiri, mengingat daya tarik utama hardware wallet selama ini adalah klaimnya melindungi bahkan holder yang paling berhati-hati dan paham teknis sekalipun. Komentator bitcoin Guy Swann menyebutnya sebagai "pukulan terburuk dalam sejarah bitcoin bagi para bitcoiner yang paling paham dan paling aman sekalipun." Lorenzo Valente dari ARK Invest berpendapat episode ini menunjukkan bahwa self-custody sebenarnya menukar satu jenis risiko dengan jenis lain, dan mencatat bahwa konsumen pada dasarnya menukar risiko rekanan (counterparty risk) dengan "risiko software, risiko hardware, risiko rantai pasok, risiko phishing, risiko backup, dan kemungkinan kehilangan segalanya hanya karena satu kesalahan." CEO Casa, Nick Neuman, lebih blak-blakan lagi soal artinya bagi adopsi: "Anda tidak bisa meminta orang mengadu nasib demi aman dengan self custody mereka sendiri. Itu bukan pilihan realistis bagi 99% orang."
Sejumlah pengamat industri kini memperkirakan dampaknya akan mendorong investor bitcoin yang lebih baru untuk beralih ke kustodian teregulasi dan ETF spot seperti IBIT milik BlackRock, ketimbang ke hardware wallet — sebuah pergeseran yang justru berlawanan dengan janji dasar bitcoin bahwa holder mengendalikan kunci mereka sendiri.
