Klaim keamanan mutlak dari penyimpan mandiri baru saja patah. David Schwartz, Ripple CTO Emeritus, buka suara menanggapi pembobolan dompet perangkat keras Coldcard yang baru saja menyedot koin ribuan penggunanya. Ia menyebut kejadian ini sebagai contoh nyata risiko outlier - sebuah kegagalan teknis langka yang berujung pada skala kerugian jauh melampaui ekspektasi para pengguna.
Bagi Schwartz, akar celahnya bukan pada konsep kripto itu sendiri. Ia mensejajarkan insiden Coldcard dengan runtuhnya pialang MF Global pada 2011 silam, ketika para nasabah mendadak kehilangan akses ke akun mereka karena dana yang semestinya dipisahkan justru disalahgunakan oleh pihak pialang. Poin utamanya lurus: praktik menyimpan koin sendiri tidak serta merta menghapus semua jenis risiko operasional. Para pengguna pada akhirnya tetap harus menaruh kepercayaan pada pembuat perangkat keras dan kode firmware yang dirilis.
Ilusi Aman Tanpa Jaring Penyelamat
Perbedaan tajam antara ekosistem kripto dan sistem keuangan tradisional langsung terlihat saat musibah melanda. Nasabah lembaga keuangan yang beroperasi di bawah payung regulasi dilindungi oleh asuransi simpanan, proses kebangkrutan yang teratur di pengadilan, dan mekanisme pemulihan dana. Di sisi lain, para pemilik Coldcard yang Bitcoin-nya dicuri kali ini benar-benar tidak memiliki jaring pengaman setara.
Bencana keamanan ini bersumber dari kelalaian teknis spesifik. Firmware yang dirilis pada Maret 2021 rupanya mengandalkan generator angka acak berbasis perangkat lunak, mengabaikan sistem entropi perangkat keras yang lebih memadai. Kelemahan krusial ini dibiarkan bersarang pada model Coldcard Mk2 dan Mk3 yang menjalankan versi 4.0.1 hingga 4.1.9, memberi celah yang menganga bagi peretas.
Data penelusuran Galaxy Research memetakan besaran pencurian ini. Sebanyak 1.596 BTC telah raib dari sekitar 7.300 alamat dalam tiga gelombang serangan yang sudah dikonfirmasi. Gelombang pembuka yang meletus pada 30 Juli lalu langsung menyapu lebih dari 1.000 BTC dari sedikitnya 1.200 alamat dalam waktu kurang dari satu jam. Peneliti Galaxy memprediksi gelombang keempat bisa saja menyusul, membawa potensi total koin curian ke angka 2.055 BTC, atau bernilai kira-kira $130 juta.
Sebagai langkah penanganan, tim Galaxy telah membagikan ratusan alamat dompet penyerang kepada para penyidik federal AS, sejumlah bursa kripto, dan perusahaan keamanan blockchain. Sampai catatan laporan terakhir turun, sekitar 90% dari keseluruhan Bitcoin hasil peretasan itu belum dipindahkan lagi oleh pelaku.
📌 Baca JugaHacker Coldcard Sikat $130 Juta dari 7.700 Dompet - Tapi 90% Target Justru Dibiarkan Diam
Apa Langkah Darurat Berikutnya?
Coinkite selaku pabrikan Coldcard telah merilis firmware korektif untuk menutup lubang keamanan ini. Tapi pembaruan peranti lunak saja tidak mengamankan kode seed lama yang sudah telanjur terekspos. Pengguna wajib membuat seed baru dan memindahkan sisa aset untuk memastikan lapisan keamanan kembali utuh.
Panduan resmi dari Coinkite menginstruksikan pelanggan untuk memperbarui alat ke versi 4.2.0 atau yang lebih baru, mencetak seed phrase baru, lalu mengirim transaksi uji coba bernominal kecil lebih dulu. Barulah setelah jaringan dipastikan normal, sisa dana bisa dipindahkan.
Rumitnya prosedur penyelamatan dan besarnya nilai uang yang melayang ini perlahan menggeser sentimen para pemilik kripto. Eksploitasi Coldcard memicu rekor aliran dana masuk menuju bursa sentral seperti OKX, pertanda bahwa banyak investor mulai berpikir ulang untuk menjaga dompetnya sendiri. Ketika opsi menjaga kunci sendiri terbukti bisa berujung pada kerugian tanpa ganti rugi, sebagian pengguna memilih berlindung di balik tembok pertahanan bursa besar. Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
