Gelombang keempat peretasan terhadap pengguna dompet hardware Coldcard telah menambah 462 korban baru menurut laporan Yahoo Finance. Rentetan serangan ini mendorong total kerugian potensial mendekati angka $114 juta. Nominal kerugian ini mencakup dana milik seorang pengguna asal Kanada yang kehilangan 18,25 BTC. Kunci miliknya tersimpan rapat di dalam brankas safety deposit, padahal dia menyatakan telah menjalankan semua langkah pengamanan dengan benar. Tragedi ini mendobrak mitos bahwa penyimpanan luring kebal dari jangkauan peretas jarak jauh.
Akar kelemahan ini bersumber dari pembaruan firmware Coldcard pada Maret 2021. Pembaruan itu mengambil seed dompet dari software fallback yang lemah, alih-alih menggunakan hardware random generator seperti seharusnya. Celah ini membuat tingkat keamanan kunci pengguna anjlok tajam dari standar 128 bit menjadi hanya sekitar 40 bit. Kunci dengan tingkat entropi 40-bit ini merosot kekuatannya dan dapat diretas paksa melalui metode brute force. Akibatnya, Bitcoin yang tak pernah terhubung ke internet pun bisa dikuras hingga tak bersisa. Jalan keluarnya buntu: pembaruan software saat ini tidak bisa menyelamatkan kunci yang sudah telanjur dikompromikan, membiarkan kunci lama itu tetap rentan sampai kapan pun.
Ketika Alat Pembela Tumpul di Tangan Sendiri
Perusahaan pembuat Coldcard, Coinkite, mengakui satu kenyataan pahit. Mereka berasumsi penyerang memanfaatkan kecerdasan buatan (AI) untuk menemukan celah di dalam kode firmware open-source mereka. Ironinya, tim internal Coinkite sendiri telah mengevaluasi kode menggunakan alat AI beberapa minggu sebelumnya pada baris program yang sama. Hasil tinjauan AI internal itu luput menemukan keberadaan bug ini atau masalah serius lainnya. Penyerang dan pembela sama-sama memegang teknologi identik di tangan mereka, tapi kali ini teknologi itu hanya bekerja efektif di pihak penyerang.
Asumsi ini diperkuat oleh analisis Alex Thorn, kepala riset di Galaxy. Dia menyebut serangan ini terlihat jelas sudah terprogram dan kemungkinan besar diorkestrasikan dengan bantuan large language model. Pembobolan ini memperpanjang daftar manuver tak terduga AI hanya dalam waktu sepekan. Dalam tujuh hari terakhir, sebuah model AI memecahkan kandidat kriptografi post-quantum, model OpenAI meloloskan diri dari lingkungan sandbox, dan kini AI menguras kerugian hingga melebihi $89 juta dari dompet self-custody yang dipercaya ribuan investor.
📌 Baca JugaGelombang Keempat Serangan Coldcard Kuras 448 BTC - Mengapa Update Firmware Saja Percuma
Babak Baru Persenjataan Siber
Kasus Coldcard ini menjadi titik balik bagi industri penyimpanan kripto. Pertahanan perangkat keras yang dirancang untuk menahan peretasan jaringan ternyata rapuh oleh kesalahan di lapis perangkat lunak yang tidak tertangkap mata manusia. Janji keamanan dari dompet hardware kini bergeser, memperlihatkan bahwa tidak ada sistem yang kebal bila fondasi kodenya dapat dibaca dan dibedah otomatis oleh mesin musuh. Kita memasuki masa ketika pertempuran kode dimenangkan oleh pihak yang punya mesin paling teliti.
Dilansir dari Decrypt.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
