Coldcard akhirnya merilis firmware 5.6.1 untuk seri Mk4 dan Mk5, serta 1.5.1Q untuk versi Q pada 20 Agustus. Langkah ini diambil usai audit keamanan selama tiga minggu yang menyusul perbaikan darurat pada 31 Juli lalu.
Pembaruan ini hadir sebagai kelanjutan dari kasus pencurian 1.082 BTC yang memanfaatkan celah pada metode pembuatan seed phrase perangkat itu. Kasus itu menyoroti bahwa perlindungan dompet fisik bisa runtuh hanya karena satu kelemahan kode.
Namun tambalan ini hanya berlaku ke depan - ia tidak bisa memperbaiki kesalahan masa lalu.
Kenapa Perangkat Fisik Tak Menjamin Aman
Akar masalah kerentanan ini bermula dari pembaruan kode pada Maret 2021. Alih-alih memanggil komponen hardware RNG (Random Number Generator) bawaan dari chip STM32 saat membuat seed phrase, firmware dompet justru memanggil sistem fallback MicroPython deterministik.
Akibat dari kesalahan pemanggilan ini mahal. Seed phrase pada perangkat Mk2 dan Mk3 lama tercetak dengan hanya sekitar 40 bit entropi efektif. Versi keluaran lebih baru seperti Mk4, Mk5, dan Q sedikit lebih kuat di angka 72 bit, namun kedua titik ini masih jauh di bawah standar keamanan mutlak 128 bit.
Dengan tingkat entropi serendah ini, peretas yang memiliki kemampuan komputasi brute-force bisa menderivasi private key dan menguras isi dompet tanpa perlu menyentuh perangkat kerasnya sama sekali. Situasi inilah yang sejalan dengan tajuk utama Bloomberg belum lama ini, yang melabeli insiden ini sebagai peretasan terhadap “Fort Knox dompet Bitcoin”.
Satu-Satunya Cara Menyelamatkan Aset
Bagi para pengguna firmware lama, memperbarui sistem perangkat lunak saja tidak cukup. Seed phrase yang telanjur diproduksi dengan entropi lemah tidak bisa diperbaiki lewat pembaruan firmware. Bahkan penambahan passphrase BIP-39 tetap tidak menutupi kerentanan seed dasar ini.
Pengguna yang masuk dalam daftar terdampak wajib menempuh tiga langkah: memperbarui firmware perangkat, membuat seed phrase baru dari awal, dan memindahkan seluruh saldo Bitcoin mereka ke dompet baru itu.
๐ Baca JugaPasangan Prancis Diculik Jam 4 Pagi Demi Tebusan Bitcoin - Ternyata Ini Bagian dari 77 Kasus Pemerasan Sepanjang 2026
Versi yang rentan mencakup pengguna Mk4 dan Mk5 sebelum rilis 5.6.0 atau Edge 6.6.0X, pengguna Coldcard Q sebelum versi 1.5.0Q atau Edge 6.6.0QX, serta pemilik model Mk2 dan Mk3 pada versi 4.0.1 hingga 4.1.9.
Ke depan, Coldcard mengetatkan prosedur pembuatan seed. Pada firmware terbaru ini, setiap dompet baru wajib mendapat minimal satu sumber entropi tambahan dari penggunanya. Ketentuannya menuntut minimal 65 kali tekanan tombol acak tak terduga, 50 kali lemparan dadu fisik, atau 128 lemparan koin nyata.
Pembaruan ini juga memperketat proses verifikasi PSBT bertahap sebelum penandatanganan transaksi, serta memperkuat batas keamanan pada sambungan USB dan pembaruan firmware lanjutan.
Bagi Anda yang perangkatnya masuk daftar terdampak, ancaman pembobolan jarak jauh ini bukan sekadar skenario uji coba - kosongkan dompet lama Anda sebelum ada entitas lain yang mendahuluinya.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
