Kerugian akibat eksploitasi terhadap hardware wallet Bitcoin Coldcard diperkirakan telah mencapai 1.367,05 BTC atau sekitar US$88,6 juta, setara Rp1,59 triliun.
Pada Minggu (2/8/2026), Galaxy Research telah mengidentifikasi sedikitnya tiga gelombang pengurasan yang menyasar 4.585 alamat, memperbesar estimasi kerugian dari laporan awal sebesar 594 BTC atau sekitar US$38 juta.
Serangan terhadap pengguna Bitcoin dan Coldcard tersebut diduga memanfaatkan kelemahan pada proses pembuatan seed phrase di sejumlah versi firmware lama.
Celah itu membuat seed yang seharusnya dihasilkan dari sumber angka acak perangkat keras memiliki tingkat keacakan lebih rendah, sehingga penyerang dapat mencari dan menebak private key tanpa memegang perangkat, mengetahui PIN, ataupun memperoleh frasa pemulihan langsung dari korban.
Kronologi Pengurasan Bitcoin dan Asal Mula Kerentanan Coldcard
Temuan terbaru menunjukkan serangan berlangsung dalam sedikitnya tiga gelombang dengan pola pemindahan dana yang relatif konsisten. Gelombang ketiga menguras sekitar 207,7 BTC dan membawa total aset yang dicuri menjadi lebih dari 1.367 BTC.
Dana kemudian dikonsolidasikan menuju alamat tujuan tertentu, sementara sebagian besar aset dilaporkan belum dipindahkan lagi pada saat artikel ini disusun.
Pada tahap awal penyelidikan, laporan hanya mengidentifikasi sekitar 594 BTC yang diambil dari kurang lebih 500 wallet single-signature.
Pengurasan tersebut berlangsung kurang dari 30 menit dan menyasar alamat yang masing-masing menyimpan lebih dari 0,15 BTC. Sejumlah alamat diketahui telah tidak aktif selama bertahun-tahun sebelum dananya tiba-tiba dipindahkan oleh pelaku.
Estimasi kemudian meningkat setelah Galaxy Research menemukan gelombang lebih besar yang melibatkan 1.196 alamat. Sekitar 1.082,65 BTC senilai lebih dari US$70 juta dilaporkan berpindah dalam rentang waktu sekitar 41 menit pada 30 Juli 2026.
Aktivitas itu terjadi sekitar 30 jam sebelum Coinkite, perusahaan Kanada yang memproduksi perangkat tersebut, menyampaikan peringatan kepada publik.
Gelombang ketiga memperlihatkan bahwa dampak insiden tidak terbatas pada kelompok alamat yang pertama kali teridentifikasi. Dengan total ribuan alamat terdampak, kasus ini menjadi salah satu insiden keamanan terbesar yang dikaitkan dengan kelemahan proses pembuatan private key pada perangkat penyimpanan kripto.
Celah keamanan Bitcoin pada Coldcard dilaporkan bermula dari perubahan firmware yang diperkenalkan pada Maret 2021.
Dalam kondisi tertentu, perangkat melewati hardware random-number generator dan beralih ke generator berbasis perangkat lunak MicroPython yang menggunakan informasi chip tidak rahasia, termasuk nomor seri dan pencatat waktu, sebagai bagian dari sumber keacakannya.
Seed Lama Tetap Berisiko Meski Firmware Diperbarui
Masalah tersebut dinilai serius karena keamanan wallet bergantung pada kemampuan perangkat menghasilkan seed yang tidak dapat ditebak. Seed phrase berfungsi sebagai sumber utama untuk membentuk private key yang mengendalikan aset.
Ketika ruang kemungkinan seed menjadi lebih sempit, pelaku dapat menghitung kandidat seed secara sistematis sampai menemukan alamat yang berisi dana.
Kerentanan itu tidak berarti jaringan BTC berhasil diretas. Serangan terjadi pada lapisan pengelolaan kunci milik pengguna, bukan pada mekanisme konsensus atau blockchain.
Penyerang yang menemukan private key valid tetap dapat menandatangani transaksi secara sah dari sudut pandang jaringan, meskipun kunci tersebut diperoleh melalui eksploitasi kelemahan generator angka acak.
Coinkite memperingatkan pengguna yang membuat seed memakai firmware terdampak agar segera melakukan migrasi. Peringatan awal secara khusus menyebut Mk3 dengan firmware versi 4.0.1 atau lebih baru pada periode tertentu.
Laporan berikutnya turut mengaitkan risiko dengan beberapa generasi perangkat lain, bergantung pada model dan versi firmware yang digunakan ketika seed kali pertama dibuat.
Pengguna Bitcoin yang memakai Coldcard tidak cukup hanya memasang firmware terbaru karena pembaruan tidak dapat mengubah seed lama yang telanjur memiliki tingkat keacakan rendah.
Mereka disarankan memperbarui perangkat, membuat seed baru, memverifikasi fingerprint serta alamat penerima langsung melalui layar perangkat, lalu mengirim transaksi percobaan dalam jumlah kecil.
Setelah alamat baru dipastikan berada di bawah kendali pengguna, seluruh saldo perlu dipindahkan dari wallet lama. Seed terdampak tidak disarankan untuk digunakan kembali, termasuk pada perangkat berbeda, karena kelemahannya melekat pada frasa pemulihan yang sebelumnya dihasilkan, bukan semata-mata pada kondisi perangkat saat ini.
Insiden Bitcoin dan Coldcard ini menegaskan bahwa status air-gapped atau penyimpanan offline tidak otomatis menghilangkan seluruh risiko keamanan. Perlindungan aset juga bergantung pada kualitas entropi, integritas firmware, proses pembentukan seed, serta ketelitian pengguna dalam memperbarui perangkat dan memverifikasi setiap transaksi.
Itulah rangkuman berita kripto hari ini yang bisa kamu simak untuk mengikuti perkembangan dunia aset digital dan teknologi blockchain. Tetap pantau Blockchain Media Indonesia untuk update terbaru seputar pasar kripto, berita bitcoin, hingga panduan belajar crypto untuk kamu yang masih pemula. [st]
Disclaimer: Konten di Blockchainmedia.id hanya bersifat informatif, bukan nasihat investasi atau hukum. Segala keputusan finansial sepenuhnya tanggung jawab pembaca.