Sebuah celah firmware pada dompet perangkat keras Coldcard yang tak terdeteksi sejak 2021 telah dieksploitasi untuk menguras dana senilai sekitar $89 juta, kembali memicu perdebatan soal untung-rugi antara self-custody dan produk kustodian teregulasi seperti ETF Bitcoin spot. Celah ini memengaruhi perangkat buatan Coinkite Inc., produsen asal Kanada yang menurut catatan analis ETF senior Bloomberg, Eric Balchunas, hanya memiliki sekitar lima karyawan — detail yang ia sebut "gila rendahnya untuk pekerjaan sepenting ini."
Menurut laporan yang beredar, celah ini bersumber dari cara dompet tersebut menghasilkan private key. Alih-alih membuatnya di dalam chip keamanan perangkat keras yang terisolasi, perangkat Coldcard yang terdampak justru mengandalkan algoritma berbasis software yang bisa diprediksi, sehingga memungkinkan penyerang menghitung key tersebut secara offline lalu mengeksekusi penarikan dana otomatis begitu mereka berhasil merekonstruksi kredensial target.
Balchunas Manfaatkan Insiden untuk Perkuat Argumen ETF
Balchunas berpendapat insiden ini menggambarkan mengapa mayoritas investor Bitcoin sebenarnya lebih baik dilayani oleh produk kustodian teregulasi ketimbang mengelola dompet perangkat keras sendiri.
"Benar kalau mau pakai btc untuk bertransaksi, ETF memang bukan pilihan bagus, tapi untuk semua orang yang berinvestasi, menurut saya ini jelas pilihan terbaik," tulisnya, membedakan antara memakai Bitcoin sebagai mata uang transaksi dan menyimpannya semata sebagai investasi.
Argumennya berpusat pada infrastruktur kustodian setara institusi yang menopang ETF Bitcoin spot teregulasi, biasanya lewat kustodian seperti Coinbase atau Ledger, yang memiliki tim keamanan khusus dan proses teraudit jauh melampaui kemampuan produsen dompet perangkat keras beranggotakan lima orang. Bagi kalangan investor yang kian bertambah dan memandang Bitcoin terutama sebagai aset portofolio ketimbang alat tukar, Balchunas menilai untung-rugi tersebut jelas condong ke arah ETF.
Baca juga: Celah Firmware Coldcard Kuras $89 Juta Bitcoin dari 4.500 Lebih Wallet
Untung-Rugi yang Berlaku Dua Arah
Perbandingan ini bukan tanpa keterbatasan. ETF Bitcoin spot tidak memungkinkan pemegangnya menarik Bitcoin secara langsung kapan saja, dan sahamnya tidak bisa dipakai langsung untuk bertransaksi on-chain sebagaimana koin yang dikelola sendiri. Bagi pengguna yang butuh akses langsung ke Bitcoin mereka untuk pembayaran atau aktivitas on-chain, insiden Coldcard ini tidak mengubah perhitungan tersebut — namun bagi investor yang perhatian utamanya adalah menjaga nilai aset, kejadian ini menambah bobot baru pada argumen bahwa mengalihkan kustodian ke institusi teregulasi dan sumber daya memadai bisa membawa risiko lebih kecil ketimbang mengelola kunci perangkat keras secara mandiri.
