Gelombang keempat peretasan dompet perangkat keras Coldcard baru saja menyapu 448,7 BTC dari 709 alamat pengguna. Peneliti dari Galaxy Research, Alex Thorn, mengidentifikasi rentetan serangan terbaru ini pada 3 Agustus 2026. Ia mencatat lonjakan rata-rata 13,8 pemindahan atau sweep per blok - volume yang meroket 45 kali lipat dibandingkan periode normal sebelum insiden bermula.
Kondisi di lapangan makin rumit karena dana milik beberapa korban sudah berpindah lagi ke alamat transit kedua. Pola ini sengaja dipakai peretas untuk mengaburkan jejak. Jika dijumlahkan, empat gelombang serangan beruntun ini diperkirakan menelan total 1.815,75 BTC dari 5.294 dompet berbeda, meski angka komposit ini belum mendapat konfirmasi final dari semua pihak. Kepanikan di tingkat ritel pun tak terhindarkan. Tepat sebelum gelombang keempat ini terdeteksi, pemindahan harian Bitcoin dalam nominal di bawah 1 BTC naik drastis hingga melibatkan 39.600 BTC, angka tertinggi sejak kolapsnya bursa FTX pada November 2022.
Mengapa Kunci Enkripsi Bisa Ditebak
Akar krisis ini bersumber dari kesalahan fatal di sisi produksi. Coinkite melacak masalahnya pada pembaruan firmware bulan Maret 2021. Perubahan kode waktu itu salah merutekan fungsi pembuatan dompet baru ke generator angka acak MicroPython (PRNG) yang lebih lemah. Padahal, perangkat itu dirancang untuk menarik entropi murni dari True Random Number Generator (TRNG) tingkat keras.
Salah rute itu membawa dampak yang mahal. Dompet seri Mk2 dan Mk3 yang diproduksi dengan kode cacat ini hanya punya 40 bit entropi efektif. Sementara generasi baru seperti seri Mk4, Mk5, dan perangkat Q hanya mengantongi 72 bit, jauh di bawah standar mutlak 128 bit yang semestinya melindungi kekayaan pengguna. Hanya mereka yang membuat kunci sejak awal lewat metode fisik - yakni minimal 50 kali lemparan dadu yang adil dan privat - yang kebal dari celah ini.
Bagi Chief Security Officer Kraken, Nick Percoco, rentetan peretasan ini menjadi pengingat bagi industri kripto. Ia mencatat auditor keamanan selama ini hanya memverifikasi apakah modul pembuat acak perangkat keras itu terpasang, bukan menguji apakah firmware produksi benar-benar memanggil fungsi itu saat dompet diciptakan. Industri dompet perangkat keras ternyata belum punya proses standar ketat setara industri pembayaran konvensional, seperti pedoman NIST SP 800-90B atau BSI AIS-31.
Jendela Penyelamatan Terakhir di Mempool
Di tengah aksi pencurian massal yang masih berlangsung, tersisa satu jalur sempit bagi korban yang transaksinya masih antre di mempool Bitcoin. Thorn memperingatkan bahwa ada sejumlah transaksi peretas yang belum dikonfirmasi penambang. Pengguna yang merasa rentan dan masih memegang kunci aslinya bisa mencoba menyalip langkah peretas ini. Caranya, mereka harus segera menyiarkan transaksi baru dengan biaya jaringan yang jauh lebih tinggi - lewat mekanisme Replace-by-Fee - agar uang mereka masuk ke dompet yang selamat.
📌 Baca JugaEksploitasi Coldcard $90 Juta Usir Holder Bitcoin dari Self-Custody - Ironinya Bursa Kripto Kini Jadi Tempat Berlindung
Bagi pemilik yang asetnya belum tersentuh, Coinkite sudah menambal lubang keamanan lewat rilis firmware versi 4.2.0 untuk model Mk2/Mk3, 5.6.0 untuk Mk4/Mk5, versi 1.5.0Q bagi seri Q, dan 6.6.0X/6.6.0QX untuk varian Edge. Namun, memperbarui perangkat ke versi ini tidak akan menyembuhkan kunci yang telanjur dicetak dengan entropi lemah. Pengguna wajib membuat seed kunci baru dari nol pada perangkat yang sudah diperbarui, memverifikasi alamatnya, mengirim tes saldo kecil, lalu memindahkan seluruh dana lamanya.
Menghadapi buntut panjang cacat tahun 2021 ini, Coinkite langsung menghentikan semua jadwal pengiriman. Pabrik mereka juga mengambil langkah ekstrem dengan menghancurkan setiap unit perangkat keras yang terlanjur dipasangi firmware bermasalah di fasilitas produksi mereka.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
