Angkanya kembali membengkak. Berdasarkan temuan terbaru Galaxy Research, kerugian akibat eksploit pada dompet luring (hardware wallet) Coldcard kini mencapai $70,2 juta atau setara 1.082,65 BTC. Dana ini dikuras peretas dari 1.196 alamat dompet yang berbeda. Angka temuan baru itu melonjak hampir dua kali lipat dari estimasi awal yang dibuat oleh CEO AnchorWatch, Rob Hamilton. Pada perkiraan awal, ia mencatat kerugian berada di kisaran $38 juta atau 594 BTC yang berasal dari 500 dompet korban.
Semua koin lenyap dari dompet dalam jendela waktu 41 menit. Aksi pengurasan massal ini terjadi pada 30 Juli 2026 tepat antara pukul 01:10 hingga 01:51 UTC, membentang dari catatan transaksi blok 960.183 hingga 960.191 di jaringan Bitcoin. Tim pelacak on-chain dari Galaxy mendeteksi ada pola transaksi yang identik pada setiap penarikan dana. Peretas memasang tarif biaya gas tetap sebesar 30 satoshis per vB dan memindahkan semua koin tanpa menyisakan output kembalian (no change output). Jejak eksekusi seragam dan cepat ini menandakan bahwa pelaku mendayagunakan program bot otomatis untuk menyapu bersih dana sebelum korban bereaksi.
Bom Waktu dari Pembaruan 2021
Akar insiden ini ternyata sudah tertanam sejak tiga tahun lalu. Celah keamanan bermula dari kesalahan kompilasi (build error) pada perangkat lunak (firmware) Coldcard keluaran Maret 2021 yang dirilis oleh produsennya, Coinkite. Saat dompet diinisialisasi pada versi cacat ini, proses penciptaan seed phrase justru mengambil data dari generator cadangan berbasis perangkat lunak (software fallback generator). Seharusnya, kata sandi pemulihan ditarik dari generator acak perangkat keras asli yang dirancang untuk mencegah peretasan.
Kegagalan sistem acak perangkat keras ini membuat kombinasi kata pemulihan dompet yang diproduksi pada periode itu menjadi jauh lebih rentan untuk ditebak. Merespons kebobolan ini, Coinkite sudah merilis pembaruan darurat (hotfix) untuk membuang fungsi generator cadangan dari sistem mereka.
Sayangnya, pembaruan darurat ini hanya berlaku untuk melindungi pembuatan dompet baru ke depan. Sistem tambalan ini tidak bisa memperbaiki atau menguatkan seed phrase rentan yang sudah tercetak di masa lalu. Satu-satunya jalan keluar bagi mereka yang terimbas pembaruan Maret 2021 adalah membuat kunci pemulihan baru dari versi terkini, lalu memindahkan semua dana mereka satu per satu ke dompet aman.
📌 Baca JugaMantan CISO Twitter Kini Pimpin Keamanan Solana - Tapi Ancaman Terbesar yang Diwaspadainya Bukan Retasan Smart Contract
Mengatur Ulang Strategi Simpanan
Insiden kebobolan massal ini mematahkan asumsi bahwa penyimpan koin luring sudah pasti kebal peretasan. Mantan CEO Binance, Changpeng Zhao alias CZ, turut mengeluarkan peringatan keras kepada komunitas lewat akun X miliknya. Ia menekankan fakta bahwa tidak ada dompet perangkat keras yang menjamin keamanan 100 persen.
Alih-alih mengandalkan satu merek atau alat, CZ menyarankan para pemegang Bitcoin untuk mendiversifikasi lokasi penyimpanan aset mereka. Menyebar koin di beberapa tempat berbeda menjadi lapisan pelindung terakhir saat sistem utama gagal berfungsi. Ketika perangkat yang dirancang tangguh ternyata menyimpan cacat dari pabrik, membagi keranjang simpanan adalah langkah pertahanan yang masuk akal.
Dilansir dari Decrypt.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
