Pelaku pencurian kripto dari pengguna dompet keras Coldcard kembali melancarkan aksinya. Satu jam sebelum pelacak on-chain @lookonchain merilis laporannya, peretas memindahkan 30,185 BTC senilai $1,94 juta ke sebuah alamat dompet baru.
Langkah ini mengakhiri masa tenang pasca insiden 30 Juli. Sebelumnya, sekitar 90% Bitcoin curian masih mengendap tak tersentuh, dengan peretas utama membiarkan 1.159 BTC terdiam di tujuh alamat berbeda. Pergerakan dana 30 BTC ini mengubah pola tidur panjang itu dan memberi sinyal awal bahwa pelaku mulai mencoba memutar hasil retasannya.
Menurut catatan Galaxy Research, 1.596 BTC sudah terkonfirmasi hilang dari sekitar 7.300 alamat dompet. Gelombang peretasan keempat yang saat ini belum sepenuhnya dikonfirmasi berpotensi mendorong total kerugian makin tinggi, menyentuh 2.055 BTC atau setara $130 juta.
Kenapa Penghapusan Data Ditangguhkan?
Di saat peretas mulai memindahkan dana curian, pihak pembuat dompet justru terjebak birokrasi investigasi. Coldcard resmi menangguhkan sistem penghapusan data pelanggan otomatis mereka akibat kewajiban hukum terkait rentetan insiden peretasan ini. Masa retensi data terpaksa diperpanjang, meski pelanggan yang keberatan dipersilakan menghubungi layanan dukungan teknis perusahaan untuk mencari jalan keluar.
Semua rentetan bencana keamanan ini berawal dari kelalaian pemrograman. Bukannya memakai perangkat keras penghasil angka acak (RNG) yang disediakan komponen, firmware dompet tidak sengaja menggunakan modul MicroPython PRNG deterministik sejak Maret 2021. Keputusan teknis keliru ini membuat lapisan keamanan saat pembuatan dompet rapuh dan mudah direkayasa ulang oleh penyerang.
Pembaruan firmware saat ini memang sudah dirilis dan celah kodenya sudah ditambal. Tapi dompet yang terlanjur dibuat menggunakan seed phrase lama sama sekali tidak otomatis aman. Pemilik dompet wajib membuat seed baru di bawah sistem firmware terbaru dan segera memindahkan seluruh sisa dana mereka tanpa menunda.
📌 Baca JugaJepang Minta Bursa Kripto Jeda Penarikan Dana - Benteng Baru Lawan Penipu Ini Datang Tanpa Kewajiban Hukum
Ruang Gerak yang Makin Sempit
Peretas boleh saja merasa percaya diri memindahkan 30 BTC ke dompet baru, tapi kesempatannya mencairkan uang tunai makin mengecil. Para investigator on-chain telah membagikan daftar alamat penyerang kepada lembaga penegak hukum di Amerika Serikat, platform bursa kripto, hingga berbagai grup investigasi siber.
Artinya, koin curian ini otomatis masuk pantauan ketat di hampir semua pintu keluar konvensional. Setiap platform bursa yang kelak mendeteksi aliran koin dari alamat kotor ini bisa langsung menahan dananya berdasarkan instruksi dari penyidik.
Insiden Coldcard menunjukkan betapa rentannya perangkat keras premium jika fondasi kodenya usang. Perusahaan dompet kini menanggung beban berat: menyelesaikan perbaikan keamanan bagi pengguna di tengah birokrasi hukum yang justru menahan penghapusan data privasi pelanggan. Dilansir dari @lookonchain di X.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
