Hampir $114 juta Bitcoin lenyap dalam hitungan hari dari Coldcard, salah satu hardware wallet yang selama ini dianggap paling aman sejak tahun 2017. Total kerugian ini naik pesat dari hitungan awal $88 juta yang pertama kali dilaporkan oleh data Galaxy Research.
Serangan ini terjadi berturut-turut dalam beberapa gelombang. Tercatat 1.196 alamat dompet pengguna dikuras habis tanpa sisa, dengan gelombang keempat saja menyedot 448 BTC. Padahal, sejak diperkenalkan oleh perusahaan Coinkite pada 2017, Coldcard diposisikan sebagai wallet khusus Bitcoin yang kebal serangan online lewat penerapan sistem air-gapped.
Sistem ini menjaga agar private key pengguna sepenuhnya berada di ranah offline. Penandatanganan transaksi hanya dilakukan melalui perantara fisik seperti memori microSD atau pemindaian kode QR, tanpa pernah tersentuh jaringan Wi-Fi, sambungan Bluetooth, maupun NFC. Pendekatan ini berbeda jauh dari wallet perangkat keras populer seperti Ledger dan Trezor, yang umumnya masih mengandalkan sambungan kabel USB atau koneksi Bluetooth ke komputer.
Kenapa Pertahanan Tanpa Internet Bisa Ditembus
Masalah yang memicu kerugian ratusan juta dolar ini ternyata tertanam dalam cetak biru dompet itu sendiri. Tim Coinkite mengungkap adanya error pada build firmware yang mereka edarkan sejak Maret 2021. Bug ini menyebabkan sebagian unit Coldcard mencetak seed phrase dari kumpulan nilai yang jauh lebih kecil dari standar seharusnya.
Celah ini memangkas tingkat keacakan yang menjadi fondasi perlindungan private key. Ketika variasi angka menyusut drastis, deret seed phrase pelindung dana berubah rentan ditebak, apalagi oleh peretas yang memanfaatkannya dengan bantuan AI. Kasus ini menjadi bukti bahwa keamanan dompet air-gapped - yang di pasaran bersaing dengan merek seperti ELLIPAL Titan, Keystone, Foundation Passport, dan Blockstream Jade - tidak pernah mutlak. Keamanannya tetap bergantung pada kualitas hardware, firmware, generator angka acak, serta standar praktik tim pembuatnya.
📌 Baca JugaAgen FBI Curi Kripto Tersangka $1 Juta - Chatbot Bongkar Rencananya Kabur ke Eropa
Batas Nyata Slogan Verifikasi
Insiden ini mengekspos titik lemah dari etos kemandirian di dunia kripto. Mengomentari peretasan ini, Jameson Lopp menyoroti bahwa eksploitasi Coldcard menunjukkan batas nyata dari mantra populer di jaringan Bitcoin, yakni ‘don’t trust, verify’. Pada praktiknya, pengguna hardware wallet tetap menaruh nasib pada keamanan dan integritas pihak pembuat, semata karena manusia rentan membuat kesalahan produksi.
Buntut dari rentetan insiden ini, banyak pengguna Coldcard mengambil langkah putar balik. Alih-alih bertahan dengan prinsip menyimpan kunci kripto mereka sendiri, mereka mulai memindahkan sisa Bitcoin ke bursa terpusat demi mencari perlindungan - sebuah anomali di tengah tren self-custody yang selama ini menjadi ciri khas komunitas kripto.
Dilansir dari Decrypt.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
