Peretas Curi Ratusan Juta Dolar Bitcoin via Bug Dompet Kripto Coldcard
Bug Firmware Buka Celah Pencurian Masif Bitcoin dari Dompet Hardware Coldcard
Komunitas kripto global tengah dihebohkan oleh kasus pencurian masif yang menargetkan pengguna dompet perangkat keras Coldcard, produk buatan Coinkite asal Kanada. Hingga Selasa kemarin, peretas berhasil menguras sedikitnya 1.367 Bitcoin dengan nilai berkisar antara 88,6 juta hingga 130 juta dollar AS — setara Rp 1,4 hingga Rp 2,3 triliun. Ironisnya, pencurian ini terjadi pada perangkat yang seharusnya menjadi benteng teraman penyimpanan aset kripto karena beroperasi sepenuhnya tanpa koneksi internet.
Menurut firma riset Galaxy Research yang memantau aktivitas blockchain secara langsung, serangan ini memanfaatkan celah fatal pada firmware Coldcard yang telah ada sejak Maret 2021. Tom Robinson, salah satu pendiri dan kepala ilmuwan perusahaan pemantau kripto Elliptic, mengonfirmasi bahwa estimasi nilai kerugian tersebut cukup akurat. Sementara itu, TRM Labs mencatat bahwa total kerugian dari lebih dari 200 serangan siber terhadap perusahaan kripto sepanjang tahun ini telah melampaui 950 juta dollar AS — menjadikan kasus Coldcard sebagai salah satu insiden paling signifikan tahun ini.
Akar Masalah: Kesalahan Kode yang Melemahkan Sistem Keamanan
Celah keamanan ini bersumber dari kesalahan integrasi pada kode firmware yang gagal memanfaatkan chip generator angka acak STM32 secara optimal. Alih-alih menghasilkan seed phrase — kode sandi utama yang melindungi akses ke Bitcoin — dengan tingkat entropi atau keacakan 128-bit yang mustahil ditebak, perangkat justru menggunakan sistem cadangan berbasis perangkat lunak yang jauh lebih lemah. Akibatnya, tingkat keacakan anjlok drastis menjadi hanya 40 hingga 72-bit, membuka peluang bagi peretas untuk melakukan serangan brute-force menggunakan komputer biasa.
Tim peneliti dari Block menjelaskan bahwa peretas tidak perlu meretas brankas fisik atau mencuri perangkat korban. Mereka cukup mengetahui detail waktu nyala perangkat dan nomor seri untuk merekonstruksi pola angka acak yang digunakan dalam pembuatan seed phrase. Dengan informasi tersebut, peretas dapat menghasilkan kunci yang sama dan mengakses dompet korban dari jarak jauh — tanpa phishing, tanpa malware, dan tanpa kontak fisik sama sekali. “Mungkin bagian tersulit dari ini adalah saya sudah melakukan semuanya dengan benar,” tulis Jonathan Goodman, salah satu korban yang kehilangan 1,6 juta dollar AS, di platform X. “Saya tidak pernah membagikan seed phrase kepada siapa pun. Perangkat saya tidak pernah terhubung ke internet. Semuanya disimpan di beberapa brankas dan kotak deposit keamanan. Tidak ada yang berhasil.”
Tiga Gelombang Serangan dengan Strategi Berbeda
Galaxy Research mencatat bahwa pencurian ini berlangsung dalam tiga gelombang terpisah sejak 30 Juli lalu. Gelombang pertama merupakan yang paling agresif: peretas menguras 1.083 BTC dari 1.196 alamat dompet hanya dalam waktu 41 menit. Setiap transaksi menyasar satu korban dengan rata-rata kehilangan hampir 1 BTC, dan seluruh hasil curian dikumpulkan ke beberapa alamat penampung yang sama.
Gelombang kedua mengikuti pola serupa, namun pada gelombang ketiga yang terdeteksi pada dini hari tanggal 2 Agustus, strategi peretas berubah signifikan. Kali ini mereka mengincar dompet dengan saldo lebih kecil — sekitar 0,1 BTC per alamat — dan berhasil mencuri tambahan 207,7 BTC dari 1.912 alamat. Menariknya, peretas kini menggabungkan rata-rata enam korban dalam satu transaksi dan mengirim hasil curian ke alamat tujuan yang berbeda-beda, kemungkinan untuk mempersulit pelacakan oleh pihak berwenang. Total korban dari ketiga gelombang ini mencapai 4.585 alamat dompet, dan Galaxy Research memperingatkan bahwa angka tersebut kemungkinan masih akan terus bertambah seiring penelusuran lebih lanjut di blockchain.
Update Firmware Tidak Cukup: Migrasi Segera Diperlukan
Merespons krisis keamanan yang mengancam reputasi produknya, Coinkite telah merilis pembaruan firmware darurat pada 31 Juli untuk semua model Coldcard yang terdampak. Namun, perusahaan menegaskan satu hal krusial: memperbarui firmware saja tidak akan menyelamatkan aset yang tersimpan di seed phrase lama. Pengguna harus segera menginstal pembaruan, membuat seed phrase baru menggunakan sistem yang telah diperbaiki, lalu memindahkan seluruh Bitcoin mereka ke alamat baru yang dihasilkan dari seed phrase tersebut.
Satu-satunya kelompok pengguna yang terbebas dari ancaman ini adalah mereka yang sejak awal membuat seed phrase secara manual menggunakan metode lemparan dadu, bukan mengandalkan generator otomatis perangkat. Insiden ini menjadi tamparan keras bagi konsep “cold storage” yang selama ini dianggap sebagai standar tertinggi keamanan penyimpanan kripto. Ketika bahkan perangkat yang sepenuhnya offline pun bisa dibobol melalui cacat desain perangkat lunak, kepercayaan terhadap sistem keamanan berbasis isolasi fisik kini dipertanyakan kembali.
