Celah Keamanan Coldcard Picu Pencurian Bitcoin Hampir 2.000 BTC Senilai Lebih US$100 Juta, Industri Resah

Kerentanan yang muncul lima tahun lalu tak disangka berujung pada pencurian Bitcoin terbesar tahun ini. Pada 30 Juli, terdeteksi anomali ketika ratusan BTC dengan cepat dikonsolidasikan dari ratusan alamat. Serangan kemudian melebar: pelaku memindai ribuan alamat Bitcoin dan menguras hampir 2.000 BTC, bernilai ratusan juta dolar. Sumber masalah segera mengerucut pada Coldcard, dompet perangkat keras (hardware wallet). Ada bug pada proses pembuatan mnemonic yang terkait kualitas angka acak (random number) yang lemah, sehingga nilai acaknya dapat diprediksi. Karena pengguna Coldcard di China relatif sedikit, isu ini awalnya kurang mendapat perhatian. Di luar negeri, tempat Coldcard jauh lebih dikenal, kabar ini memicu kegaduhan besar dan berkembang cepat selama beberapa hari. Pada 31 Juli, sentimen panik mencapai puncak. Volume total transfer Bitcoin untuk transaksi di bawah 1 BTC tercatat 39.600 BTC, tertinggi sejak kolapsnya FTX pada 2022. Kerentanan ini diduga ditemukan dan dieksploitasi dengan bantuan model AI—menggemakan kekhawatiran yang sebelumnya terlihat pada Zcash, yang sempat turun 50% dalam satu hari. Dampak kali ini dinilai lebih berat, terutama pada sisi kepercayaan, sesuatu yang sulit diukur lewat data harga semata. Untuk melihat dampak langsung dari lapangan, BlockBeats menghubungi Yu Xian, pendiri SlowMist, yang membantu sebagian korban dan memantau kasus Coldcard sejak awal. Menurut Yu Xian, dampaknya terasa dalam karena menghantam komunitas inti para penganut Bitcoin. 律动 BlockBeats: Apakah Coldcard sudah menggandeng firma keamanan untuk membantu pemulihan aset? Dengan nilai BTC yang dicuri kini sudah di atas US$100 juta, apakah pemulihan masih mungkin? Cosine: Belum jelas kelompok peretas mana yang bertanggung jawab; perlu melihat pola pemindahan dana berikutnya untuk menelusuri asalnya. Jika pada akhirnya terkonfirmasi ini organisasi peretas yang disponsori negara (misalnya peretas Korea Utara), pemulihan akan sangat sulit. Selain merilis sejumlah imbauan keamanan, tim resmi belum tampak melibatkan tim keamanan. Saat ini, korban individu dari perangkat Coldcard yang dikuras sudah menghubungi kami untuk meminta bantuan pemulihan. 律动 BlockBeats: Dari detail yang muncul, akar masalahnya pada dasarnya angka acak yang tidak lagi benar-benar acak. Dalam sejarah industri kripto, isu random number hampir muncul tiap tahun—mengapa yang ini terlihat begitu parah? Cosine: Jika hanya melihat jumlah dan nilai, ribuan BTC bukan yang terbesar secara historis; dulu ada Mt. Gox, BitFinex, atau insiden pool LBank yang menelan ratusan ribu bahkan jutaan BTC, atau satu peretasan bridge saja bisa melampaui angka ini. Masalahnya, Coldcard punya reputasi sangat baik—opensource, transparan, minimalis, dan lama menjadi favorit banyak Bitcoin OG dan para believer. Ketika sesuatu yang dianggap nyaris sempurna gagal, pukulannya besar bagi pengguna paling loyal. Inti teknisnya adalah entropy yang sangat tidak memadai saat pembuatan mnemonic, membuat randomness seed jauh lebih lemah dari yang diharapkan. Ini memungkinkan peretas melakukan bruteforce collision dan memulihkan mnemonic pengguna. Ini cacat keamanan paling mendasar dan paling kritis dalam perlindungan aset kripto. Yang paling absurd, di era model AI yang kuat seperti sekarang, Coldcard maupun komunitas Bitcoin tidak mengambil langkah mundur untuk meninjau kode dengan bantuan AI—sementara peretas melakukannya. Untuk isu yang spesifik pada randomness seed mnemonic, AI modern relatif mudah mengidentifikasi dan mendeteksinya. Karena itu, kasus ini membesar karena menghantam kelompok inti para believer. 律动 BlockBeats: Jika mengikuti pandangan Anda, apakah pencurian ini akan berdampak sangat jauh terhadap industri kripto? Cosine: Ketika hardware wallet geek opensource yang sudah lama dipercaya mengalami masalah dalam asumsi bahwa produknya "sempurna", kepercayaan komunitas terhadap produk sejenis ikut terguncang. Pengguna mulai bertanya: apakah dompet yang saya pakai sekarang juga bermasalah? apakah mnemonic yang saya buat nanti benar-benar aman? 律动 BlockBeats: Apakah Anda menyarankan proyek-proyek kripto mulai menjalankan alat AI sendiri untuk memindai kode dari kerentanan? Bagaimana SlowMist menanganinya saat ini? Cosine: Saya menyarankan itu. Dampak AI ke industri keamanan jauh lebih besar dari yang dipahami publik saat ini. Peretas nyaris tak punya pembatas dan bisa sengaja membangun model yang kuat, sedangkan pihak defensif dibatasi kelayakan akses model, daya komputasi, sensor, dan lain-lain. Kami tidak mengaudit source code blockchain publik seperti Bitcoin dan Ethereum karena keterbatasan sumber daya; prioritas kami adalah klien-klien kunci untuk membantu menurunkan risiko di era AI. Dengan memakai AI untuk meninjau proyek-proyek lama, kami memang menemukan banyak isu yang sebelumnya terlewat—hasilnya sangat baik. BlockBeats: Ini memunculkan pertanyaan yang lebih pesimistis: seiring model makin kuat, apakah ketidakpercayaan terhadap teknologi kripto generasi awal akan meningkat—misalnya seperti yang terjadi pada Zcash? Cosine: Ya. Keamanan tidak pernah 100%—serangan dan pertahanan terus meningkat saling mengejar. Peretas punya motivasi dan kemampuan lebih besar untuk memanfaatkan AI dibanding pihak defensif, karena jika berhasil menembus sistem mereka bisa langsung memonetisasi, ROI-nya sangat tinggi. Sebaliknya, pihak defensif terikat proses dan sumber daya terbatas. Dengan ketimpangan ini, insiden keamanan dengan skala yang melampaui sebelumnya hampir tak terhindarkan—potensinya bisa mencapai kerugian miliaran dolar—dan bahkan kode Bitcoin sendiri bisa saja suatu hari ditemukan memiliki kerentanan. Secara keseluruhan, saya tidak pesimistis terhadap kemampuan industri untuk merespons; serangan dan pertahanan akan selalu berdampingan, dan sistem kriptografi pada akhirnya akan makin tangguh. 律动 BlockBeats: Sebagian opini mulai mengarah pada penekanan keunggulan bursa terpusat, dengan argumen lebih aman. Bagaimana pandangan Anda? Cosine: Beberapa bursa terpusat papan atas sudah berinvestasi kuat di keamanan dasar dan memiliki kemampuan fallback jika terjadi masalah, kecuali ada peristiwa yang benar-benar katastrofik. Bagi mayoritas pengguna, menangani hal rumit seperti mnemonic dan pengaturan multisignature secara mandiri itu sulit; selama ini mereka memilih wallet lewat rekomendasi dan word-of-mouth. Insiden ini membuat pengguna sadar bahwa bahkan wallet yang sangat dipercaya pun bisa memiliki celah, sehingga sebagian merasa lebih tenang menyimpan aset di bursa terpusat bereputasi—itu perspektif yang masuk akal. 律动 BlockBeats: Untuk pengguna biasa yang tidak paham teknologi atau tidak meninjau kode wallet, bagaimana cara melindungi diri dari kejadian seperti Coldcard? Cosine: Pertama, kami menyarankan semua pengguna memakai passphrase bersama mnemonic—kata sandi kedua yang menambah lapisan keamanan, jauh lebih baik daripada tanpa passphrase sama sekali. Gunakan passphrase minimal 8 karakter dengan kompleksitas tertentu, dan pastikan tidak pernah lupa. Kebanyakan hardware wallet arus utama sudah mendukung fitur ini. Jika insiden serupa terjadi lagi, peretas akan memprioritaskan pemindahan dana dari alamat tanpa passphrase, sehingga aset utama Anda mendapat perlindungan signifikan. Misalnya, simpan dana kecil di alamat biasa tanpa passphrase dan simpan jumlah besar di alamat yang dilindungi passphrase. Bila dana kecil itu hilang, itu menjadi sinyal seed phrase Anda sudah bocor—sementara biaya bruteforce passphrase yang tinggi memberi Anda waktu berharga. Bagi pengguna yang benar-benar asing dengan industri, cukup gunakan layanan institusi terpusat dan mengandalkan dukungan mereka bila terjadi masalah. Selain itu, tiga saran umum untuk semua pihak: · Tinjau aset Anda: luangkan waktu menilai apakah Anda kurang yakin dengan proses pembuatan wallet dulu atau seed phrase mungkin pernah terekspos. Jika ada keraguan, pertimbangkan mengganti metode penyimpanan. · Tetap tenang: jangan terburu-buru lalu terjebak wallet palsu atau penipuan phishing. · Pola pikir isolasi: pisahkan aset yang meragukan ke perangkat terpisah (bahkan yang bisa diputus dari internet); jangan dicampur—lebih aman daripada menganggap semuanya baik-baik saja. Langkah-langkah ini dapat mencegah lebih dari 90% risiko umum.