Data korban terbaru mulai memperjelas gambaran eksploitasi hardware wallet Coldcard, salah satu kegagalan keamanan self-custody terbesar dalam sejarah Bitcoin. Analis Galaxy Research, Alex Thorn, meninjau laporan dari 250 pengguna yang terdampak dan menemukan kerugian median sebesar 1,022 BTC per korban, dengan rata-rata kerugian jauh lebih tinggi di angka 4,04 BTC — kesenjangan yang menunjukkan segelintir pemegang besar menanggung porsi kerugian yang tidak proporsional. Kalau dilihat per alamat dan bukan per korban, kerugian median menyempit jadi 0,014 BTC sementara rata-ratanya berada di 0,212 BTC, dan setidaknya satu alamat kehilangan hingga 58,97 BTC.
Kerugian yang telah dikonfirmasi dari eksploitasi ini kini mencapai $111 juta, meski Bitcoin Magazine melaporkan angka sebenarnya kemungkinan lebih tinggi dan bisa saja akhirnya menembus di atas $130 juta begitu seluruh alamat terdampak berhasil dihitung. Pencurian ini dimulai dengan pengambilan awal senilai $35 juta pada Kamis lalu sebelum berlanjut dalam beberapa gelombang sepanjang akhir pekan berikutnya.
Bug Firmware yang Berakar dari 2021
Akar masalah dari eksploitasi ini adalah cacat pada perangkat Coldcard Mk3 yang menjalankan firmware mulai versi 4.0.1, dirilis Maret 2021. Alih-alih mengandalkan generator angka acak sejati berbasis hardware khusus milik perangkat untuk membuat seed phrase, unit yang terdampak justru diam-diam jatuh kembali ke generator angka pseudorandom berbasis software yang jauh lebih lemah. Kelemahan itulah yang memungkinkan penyerang menebak seed phrase korban secara langsung, melewati begitu saja seluruh tujuan penyimpanan kunci offline berbasis hardware. Yang mencolok, usia median koin yang dicuri adalah 3,5 tahun, dan 88% dana yang diambil sudah tak tersentuh setidaknya selama satu tahun — bukti bahwa banyak korban adalah pemegang jangka panjang yang memperlakukan Coldcard mereka sebagai brankas permanen berperawatan minim, bukan sesuatu yang perlu terus dipantau ketat.
Coinkite, perusahaan di balik Coldcard, mengakui bahwa bug ini "diam-diam luput dari perhatian" dan bahwa "dampak potensialnya terus membesar di setiap rilis" seiring makin banyak pengguna mengadopsi firmware bermasalah tersebut selama bertahun-tahun berikutnya. Perusahaan ini mendesak pengguna yang masih memakai firmware lama untuk segera memperbarui software atau memindahkan dana ke alamat yang baru dibuat.
Kegagalan Hardware Wallet Termahal yang Pernah Tercatat
Firma analitik blockchain TRM Labs menyebut insiden ini sebagai eksploitasi hardware wallet terbesar tahun 2026, dengan pelaku memindahkan sekitar 1.816 BTC dari lebih dari 5.200 alamat terdampak dalam empat gelombang terpisah sejak eksploitasi ini dimulai. Angka itu menempatkannya di antara peretasan kripto terbesar tahun ini secara keseluruhan — hanya kalah dari beberapa insiden yang lebih besar — di tengah total kerugian kripto akibat peretasan sepanjang 2026 yang sudah melampaui $1,2 miliar dari 276 insiden terpisah. Sebagai perbandingan, sekitar dua lusin eksploitasi protokol DeFi yang tercatat pada periode belakangan ini totalnya hanya $132,2 juta — artinya satu cacat hardware wallet saja menimbulkan kerugian lebih besar dibanding gabungan peretasan DeFi selama sebulan penuh.
Baca juga: Aktivitas Wallet Bitcoin Melonjak, Dampak Peretasan Coldcard Berlanjut
Episode ini kemungkinan besar akan kembali memicu sorotan terhadap cara produsen hardware wallet menangani pembaruan firmware dan pembuatan angka acak, mengingat kategori produk ini selama ini dipasarkan khusus kepada pemegang Bitcoin sebagai cara paling aman untuk menghindari kerugian semacam ini.
