Sebanyak 1.778 Bitcoin senilai ratusan juta dolar lenyap tak bersisa. Celah yang menguras dana ribuan pengguna ini tidak datang dari serangan fisik, melainkan dari kelemahan sistem pembuat kata sandi dompet keras Coldcard yang sudah bersarang sejak 2021.
Coinkite akhirnya merilis pembaruan firmware darurat versi 5.6.1 untuk model Mk4 dan Mk5, serta versi 1.5.1Q. Langkah penambalan kode ini diambil setelah audit keamanan maraton selama tiga minggu penuh. Mereka menggandeng peneliti eksternal dan memanfaatkan model kecerdasan buatan Kimi untuk membongkar akar masalah di balik rentetan peretasan bernilai jumbo ini.
Titik lemah itu bersembunyi di kedalaman kode sumber terbuka lama mereka. Sistem pembuatan seed awal ternyata hanya menghasilkan entropi sekitar 40 bit, jauh di bawah standar aman 128 bit. Akibatnya, private key menjadi rentan ditebak dari jarak jauh tanpa penyerang perlu menyentuh perangkat korban sama sekali.
Menyapu 500 Dompet dalam 25 Menit
Dampak dari celah ini mahal. Serangan pertama meletus pada Juli 2026, menyapu bersih 594 BTC senilai sekitar $38 juta dari 500 dompet hanya dalam waktu 25 menit. Angka kerugian terus membengkak setelah insiden awal itu.
Data terbaru dari Galaxy Research per 14 Agustus mencatat setidaknya 1.778 BTC, setara $112 juta, lenyap dari 4.585 alamat dompet. Aksi pembobolan ini dieksekusi melalui tiga gelombang serangan besar dan puluhan insiden tambahan. Total nilai kerugian keseluruhan kini menembus angka $130 juta. Coinkite menduga kuat komplotan peretas menggunakan AI untuk menguliti kode firmware lama demi menemukan titik lemah pembawa petaka ini.
Untuk menutup lubang keamanan, pembaruan firmware terbaru tidak lagi memberikan toleransi pada sistem otomatis. Pengguna yang membuat seed baru wajib memasukkan entropi manual. Syaratnya ketat: minimal 65 kali tekanan tombol pada perangkat, 50 kali lemparan dadu nyata, atau 128 lemparan koin fisik.
๐ Baca Juga20 Relawan Bentuk Pasukan Darurat Penjaga Bitcoin - Ironinya Mereka Memakai AI China Karena Model AS Terlalu Ketat
Ujian Termahal Kriptografi Dompet Keras
Sistem keamanan di balik layar juga dirombak total. Algoritma Yasmarang PRNG dicabut dan diganti standar SHA-256 Hash_DRBG. Perangkat kini memeriksa transaksi PSBT tepat sebelum penandatanganan akhir untuk memblokir celah modifikasi transaksi lewat koneksi USB.
Charles Guillemet, Chief Technology Officer di Ledger, menyoroti insiden ini sebagai pengingat bagi industri. “Kriptografi sulit dan mengimplementasikannya dengan aman lebih sulit lagi - insiden Coldcard membuat itu terlihat dengan cara yang paling mahal,” katanya.
Semua pengguna Coldcard yang menghasilkan seed dompet pada periode 2021 hingga Juli 2026 diwajibkan segera membuat seed baru menggunakan firmware pembaruan dan memindahkan seluruh saldo Bitcoin mereka. Saat ini, penegak hukum masih memburu pelaku di balik serangan bernilai ratusan juta dolar ini, sementara pihak Coinkite menyatakan siap mendampingi proses migrasi pelanggannya.
Dilansir dari Decrypt.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
