Eksploit Coldcard Kuras 1.778 BTC Senilai US$112 Juta

Produsen hardware wallet Coinkite menghadapi dampak serius setelah celah pada firmware Coldcard memudahkan penyerang menguras lebih dari 1.778 Bitcoin—setara sekitar US$112 juta pada harga saat ini—dari lebih dari 5.000 alamat. Aksi pencurian dimulai pada 30 Juli 2026. Dalam 41 menit, pelaku menyapu lebih dari 1.000 BTC dari lebih 1.000 alamat. Hingga pertengahan Agustus 2026, sekitar 1.531 BTC dilaporkan masih tersimpan dan belum dipindahkan di dompet yang dikuasai penyerang. Sumber masalahnya ditelusuri ke pembaruan firmware yang dirilis Coinkite pada Maret 2021, versi 4.0.1. Rilis itu menyisipkan cacat pada proses pembuatan seed phrase—tahap ketika hardware wallet membentuk kunci utama yang mengendalikan seluruh dana. Alih-alih mengambil entropi dari hardware random number generator (RNG) khusus di perangkat, kode bermasalah mengalihkan proses tersebut ke pseudorandom number generator (PRNG) berbasis perangkat lunak. Perbedaannya krusial: PRNG software jauh lebih mudah diprediksi dibanding RNG hardware, dan "randomness" yang bisa ditebak dalam kriptografi pada praktiknya membuka jalan bagi penyusupan. Menurut riset Galaxy Research, seorang pengembang sudah menandai isu terkait kepada Coinkite sejak Mei 2025. Celah ini tampaknya tidak ditambal cukup lama hingga pelaku dapat membangun dan menjalankan perangkat eksploitasi secara masif, menargetkan sejumlah model Coldcard termasuk Mk2, Mk3, Mk4, Q, dan Mk5. Galaxy Research juga mengonfirmasi sedikitnya selusin pelaku berbeda terlibat, semuanya memanfaatkan kelemahan yang sama. Coinkite merilis imbauan keamanan pada 30 Juli, bertepatan dengan dimulainya serangan. Pada 31 Juli, firmware yang sudah ditambal tersedia untuk model terdampak. CEO Rodolfo Novak menyampaikan permintaan maaf secara terbuka. Poin paling penting bagi pemilik Coldcard: memperbarui firmware saja tidak cukup. Karena cacat terjadi saat pembuatan seed, setiap seed phrase yang dibuat pada versi firmware rentan dianggap sudah kompromi, terlepas dari versi firmware yang terpasang saat ini. Panduan Coinkite mengharuskan pengguna terdampak membuat seed phrase baru pada firmware yang sudah ditambal, lalu segera memindahkan seluruh dana ke dompet baru. Insiden ini juga menambah lapisan baru dalam debat self-custody. Selama bertahun-tahun, industri kripto menekankan bahwa menyimpan aset sendiri lebih aman ketimbang mempercayai bursa terpusat. Kebocoran Coldcard memperumit narasi itu: ketika serangan terjadi di level firmware hardware wallet, pengguna menjadi garis pertahanan terakhir—dan sering kali baru mengetahui ada masalah setelah dana hilang. Bug yang masuk pada 2021, dilaporkan pada 2025, lalu dipersenjatai pada 2026 bukanlah kronologi yang nyaman bagi industri yang memasarkan hardware wallet sebagai standar emas keamanan. Pertanyaan yang kini mengarah ke para pesaing—dari konsumen maupun peneliti keamanan—sederhana: bagaimana memastikan implementasi RNG benar-benar memakai entropi hardware, dan seberapa cepat tambalan yang terverifikasi dapat didorong ketika ternyata tidak.