Sekelompok sukarelawan yang beranggotakan sekitar 20 hingga 25 developer Bitcoin tengah berpacu dengan waktu untuk menemukan celah keamanan pada software wallet open-source, sebelum penyerang yang dibantu model AI menemukannya lebih dulu. Upaya ini, yang dikenal secara informal sebagai Bitcoin Red Team, terbentuk setelah CEO AnchorWatch Rob Hamilton mulai menyisir berbagai proyek Bitcoin menyusul eksploitasi wallet air-gapped Coldcard yang menguras lebih dari $130 juta dari pengguna sejak Juli.
Anggota tim yang dikenal dengan nama samaran Calle menjelaskan bahwa kelompok ini tidak menunggu diminta lebih dulu.
“Kami menerima banyak permintaan dari proyek-proyek yang ingin discan, tapi kami juga bergerak proaktif, dan kami sudah menyapu hampir seluruh ekosistem open-source yang signifikan lewat inisiatif kami sendiri.”
Tim ini beranggotakan kontributor bernama samaran — Calle, Stu, Talip, dan thesimplekid — bersama developer dengan nama asli Ben Carmen, Daniela Brozzoni, James O'Beirne, dan Bruno Garcia. Hingga awal Agustus, kelompok ini sudah menghabiskan sekitar $20.000 untuk layanan AI guna menjalankan proses scanning mereka.
Eksploitasi Coldcard yang Jadi Pemicu
Eksploitasi yang memicu pembentukan kelompok ini berakar dari bug firmware sejak 2021, ketika proses pembuatan seed Coldcard diam-diam dialihkan dari generator angka acak berbasis hardware khusus milik perangkat, ke algoritma fallback berbasis software bernama Yasmarang — yang aslinya hanya dimaksudkan untuk perangkat tanpa chip randomness sama sekali. Kesalahan itu menyusutkan entropi efektif sebagian seed wallet dari 128 bit menjadi hanya sekitar 40 bit, membuat private key di baliknya bisa ditebak alih-alih benar-benar aman secara kriptografis.
Penyerang mulai mengeksploitasi celah ini pada Juli, menguras 594 BTC — sekitar $38 juta saat itu — dari kurang lebih 500 wallet hanya dalam jendela waktu 25 menit pada gelombang pertama. Menjelang pertengahan Agustus, kerugian yang terkonfirmasi dari setidaknya selusin pelaku ancaman berbeda sudah menembus $130 juta. Coinkite, perusahaan di balik Coldcard, sejak itu telah merilis pembaruan firmware yang mewajibkan pengguna menyediakan entropi mereka sendiri — lewat ketukan tombol, lemparan dadu, atau lemparan koin — dikombinasikan dengan randomness hardware saat membuat seed baru, dan memperingatkan bahwa seed apa pun yang dibuat dengan metode lama harus ditinggalkan dan diganti sepenuhnya.
Baca juga: Coldcard Rombak Firmware Usai Eksploitasi Seed Bitcoin $130 Juta
Kenapa AI Mengubah Peta Ancaman
Peringatan utama Calle lebih soal keterjangkauan ketimbang kebaruan: eksploitasi itu sendiri sebenarnya membutuhkan pengetahuan teknis yang dalam, tapi kini alat-alat AI memungkinkan penyerang yang jauh kurang terampil untuk meniru pekerjaan tersebut.
“Eksploitasi sederhana kini bisa diselesaikan dari awal sampai akhir oleh orang yang bahkan tidak tahu caranya tanpa AI.”
Ia menekankan bahwa celah-celah yang terus ditemukan timnya bersarang di aplikasi dan software wallet, bukan di protokol inti Bitcoin sendiri — sebuah perbedaan yang penting untuk menakar seberapa besar kepercayaan yang layak diberikan pengguna terhadap Bitcoin secara umum, dibanding produk-produk spesifik yang dibangun di atasnya.
Yang menarik, Calle mengatakan timnya lebih mengandalkan model AI asal Tiongkok ketimbang model buatan Amerika untuk proses scanning keamanan mereka, dan menyebut kesenjangannya “jauh sekali” karena model-model AS cenderung menerapkan guardrail yang membatasi penggunaannya untuk pengujian keamanan siber ofensif — bahkan ketika pengujian tersebut sebenarnya bersifat defensif. Ini menciptakan dinamika yang cukup ironis, di mana para developer yang berpacu melindungi ekosistem software Bitcoin justru menggunakan kategori alat yang sama dengan yang membuat penyerang makin berbahaya, hanya saja diarahkan ke tujuan sebaliknya.
