Para pengguna dompet Coldcard sedang menghadapi krisis nyata. Galaxy Research menaikkan estimasi kerugian menjadi 1.367,05 BTC, setara $88,6 juta, yang terkuras dari 4.585 alamat. Alex Thorn dari Galaxy Digital menegaskan bahwa peretasan ini masih berlangsung saat berita ini ditulis, dan mengimbau para pemilik perangkat segera memindahkan dana.
Bencana ini terbagi dalam tiga gelombang beruntun. Gelombang pertama menghantam pada 30 Juli antara pukul 01:10 hingga 01:51 UTC, mengambil 1.082,65 BTC dari 1.196 alamat. Serangan awal ini terjadi 30 jam sebelum pembuat Coldcard, Coinkite, merilis peringatan publik. Sehari kemudian, gelombang kedua menarik 76,16 BTC dari 1.478 alamat. Jejak on-chain menunjukkan dua serangan awal berbagi alamat pengumpul dan derivation-path yang sama, tanda kuat keduanya didalangi satu pihak.
Gelombang ketiga merampas 207,73 BTC dari 1.912 alamat. Penyerang kali ini mengirim dana tiap korban ke alamat terpisah, dan beberapa korban digabung per transaksi. Pola baru ini membuat Galaxy ragu menyimpulkan satu pelaku mengendalikan ketiga gelombang serangan. Kepanikan ritel tergambar jelas di jaringan. Kepala riset CryptoQuant, Julio Moreno, mencatat transfer Bitcoin di bawah 1 BTC menyentuh 39.600 BTC dalam sehari. Ini adalah rekor kepanikan tertinggi sejak keruntuhan FTX pada November 2022 yang membukukan 39.900 BTC.
Celah Kode dari Tiga Tahun Lalu
Kekacauan ini bermula dari cacat firmware keluaran Maret 2021. Bug menyebabkan perangkat memakai piranti lunak pengganti MicroPython yang menghasilkan angka acak mudah ditebak, persis ketika mesin penghasil acak perangkat keras utamanya gagal.
Model rentan mencakup Mk2 dan Mk3 dengan firmware versi 4.0.1 hingga 4.1.9. Varian Mk4, Q, dan Mk5 awal ikut terdampak karena hanya menghasilkan 72 bit entropi, jauh dari standar 128 bit. Pengguna yang membuat seed lewat 50 kali lemparan dadu manual aman dari eksploitasi. Penggunaan passphrase BIP-39 yang kuat juga meredam risiko, tapi Coinkite tetap mendesak semua orang segera migrasi dompet.
Langkah evakuasi dana butuh kehati-hatian. Coinkite menginstruksikan pengguna memasang firmware baru, membuat seed baru, memeriksa cadangan, lalu menguji transaksi kecil sebelum memindahkan seluruh saldo. Nominal jebol $88,6 juta ini hanyalah taksiran awal Galaxy, bukan total kerugian akhir.
📌 Baca JugaSkala Peretasan Coldcard Meluas: Kerugian Tembus $88 Juta, 1.196 Alamat Dikuras dalam 41 Menit
Satu Produk Gagal, Bukan Sistemnya
Kerugian massal ini memicu kembali debat perlindungan kripto. Analis Bloomberg, Eric Balchunas, menilai insiden ini membuktikan ETF Bitcoin lebih aman bagi publik. Kubu hak asuh mandiri menolak keras pandangan ini. CEO Casa, Nick Neuman, menekan fakta bahwa jumlah Bitcoin di tangan penggunanya 10 kali lebih besar ketimbang total jarahan Coldcard. Komunitas menganggap peristiwa ini murni kelemahan satu pabrikan, bukan gagalnya filosofi asuh mandiri.
Bencana kode lama ini meninggalkan pelajaran mahal. Ketika titik kepercayaan hancur, celah kecil dari piranti lunak usang terbukti bisa menyedot jutaan dolar tanpa perlawanan.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
