Angka kerugian terus bertambah. Sebanyak 1.367 BTC atau setara $89 juta telah dikuras dari 4.585 alamat Bitcoin milik pengguna dompet keras Coldcard lewat tiga gelombang eksploitasi berurutan. Gelombang pertama pada 30 Juli lalu menyapu 1.083 BTC dari 1.196 alamat hanya dalam 41 menit, mencatat rata-rata pencurian nyaris 1 BTC per korban.
Laporan terbaru Galaxy Research mendeteksi gelombang ketiga yang beraksi antara Jumat siang hingga Sabtu dini hari UTC. Pada fase ini, peretas meraup 208 BTC tambahan dari 1.912 alamat. Ada perbedaan pola: rata-rata tangkapan turun ke angka 0,1 BTC per korban. Pergeseran sasaran ke saldo-saldo kecil menandakan ujung ruang kunci yang menguntungkan sudah mulai mengering. Temuan ini menguatkan publikasi WatcherGuru yang melaporkan total kerugian kejadian ini telah melampaui $88 juta dan mengumpulkan 1.053 likes di platform X.
Taktik Baru Mengincar Saldo Kecil
Selain menyasar nominal lebih kecil, operator gelombang ketiga mengubah pola pencucian uang mereka. Setiap dana korban dikirim ke alamat tujuan yang unik, bukan lagi ditumpuk pada satu dompet penampung bersama seperti aksi hari pertama. Mereka menggunakan format keluaran pay-to-witness-script-hash dan menyapu rata-rata 6 dompet korban sekaligus dalam setiap putaran transaksi.
Meski cara kerjanya rapi, analis dari tim riset Galaxy menyatakan tidak ada bukti yang mengaitkan ketiga gelombang serangan ini menjadi satu operasi terpusat. Berdasarkan jejak aktivitas di jaringan blockchain, tim riset menyimpulkan setiap gelombang dijalankan oleh satu operator internal yang mandiri tanpa ada kaitan dengan kelompok lain.
Akar Masalah dari Tahun 2021
Titik masuk peretasan bernilai jutaan dolar ini berasal dari perangkat lunak lawas. Semua bermula dari pembaruan firmware Coldcard versi rilis Maret 2021. Sistem pada saat itu menggunakan pengacak perangkat lunak yang algoritmanya bisa diprediksi, bukan mengandalkan cip perangkat keras khusus penghasil angka acak (RNG). Pendiri pendamping Coinkite, Rodolfo Novak, secara terbuka mengakui bug di firmware lama itu adalah bagian dari tanggung jawab perusahaannya.
Perusahaan pembuat dompet keras itu sudah merilis perbaikan untuk menghapus celah jalan pintas perangkat lunak itu. Tapi masalah strukturalnya belum beres. Benih atau seed phrase yang dibuat pada saat memakai firmware rentan itu akan selamanya membawa kelemahan bawaan. Memperbarui mesin fisik pengguna ke perangkat lunak versi terbaru tidak menambal lubang pada benih lama yang susunan angkanya sudah bisa ditebak.
📌 Baca JugaPeretas Kuras $70 Juta Kripto dari 1.196 Dompet Coldcard - Tapi Celahnya Sudah Ada Sejak Tiga Tahun Lalu
Merespons eksploitasi berskala besar ini, Changpeng Zhao lewat akun X miliknya mengingatkan para pemegang Bitcoin bahwa tidak ada sistem penjagaan aset yang sepenuhnya kebal. Pesan singkatnya merangkum realitas peretasan kripto: “Nothing is 100%.”
Bagi pengguna dompet keras ini, menekan tombol perbarui di komputer saja tidak cukup. Anda wajib membuat benih baru yang bersih dari awal, lalu memindahkan semua aset kripto ke alamat itu secepatnya sebelum peretas gelombang keempat mengincar saldo Anda.
Dilansir dari CoinDesk.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
