Eksploit Seed COLDCARD: 1.159 BTC Masih Ditahan, 64 BTC Mulai Dialirkan ke Mixer

Eksploit besar yang menargetkan COLDCARD masih terus terlihat di blockchain. Pelaku terbesar yang dikaitkan dengan kerentanan ini tercatat masih menahan 1.159 BTC di tujuh alamat, sementara aktor lain mulai mengalirkan dana dalam jumlah lebih kecil melalui mixer, memberi penyidik jejak baru untuk dipantau. Pantauan onchain dari Galaxy Research menunjukkan pencurian terbesar yang diketahui—1.159 BTC—dipindahkan (swept) ke tujuh alamat dalam waktu sekitar 41 menit. Sejak itu, saldo di alamat-alamat tersebut tidak bergerak. Penyidik juga belum melihat adanya transfer dari klaster ini ke bursa, mixer, atau layanan pencairan yang lazim. Secara teknis dana tersebut tidak "dibekukan"—protokol Bitcoin tidak dapat menghentikan transaksi hanya karena suatu alamat ditandai. Meski begitu, upaya memindahkan koin ke fiat atau layanan teregulasi berpotensi memicu kontrol AML/KYC. Penegak hukum, bursa, dan perusahaan analitik telah menandai sekitar 600 alamat yang terkait dengan pencurian secara lebih luas, sehingga setiap setoran ke platform patuh regulasi berisiko memancing pemeriksaan. Di sisi lain, analis melacak aliran 64 BTC yang masuk ke transaksi terkait mixer. Sekitar 10 BTC langsung dicampur, sementara kurang lebih 54 BTC kembali sebagai "change" dan kemudian dipecah menjadi output sekitar 7 BTC untuk proses mixing lanjutan. Mixer berupaya mengaburkan asal-usul dana dengan menggabungkan dan membentuk ulang transaksi, tetapi tidak menjamin anonimitas. Dalam kasus ini, output yang relatif besar dan seragam justru membuat pola pencucian lebih mudah diikuti, sehingga penyidik dapat terus memantau perpindahan berikutnya. Aktivitas mixer tersebut tampak tidak terhubung dengan klaster tujuh alamat yang menahan 1.159 BTC. Laporan sebelumnya mengindikasikan ada lebih dari satu pelaku yang kemungkinan mengeksploitasi celah yang sama pada mekanisme pembuatan seed COLDCARD, sehingga aktivitas dari satu klaster tidak bisa langsung diasumsikan berasal dari aktor yang sama. Galaxy Research sebelumnya mengonfirmasi sekitar 1.596 BTC dicuri dalam tiga gelombang serangan dari kurang lebih 7.300 alamat, serta mengidentifikasi 14 insiden terkait berukuran lebih kecil. Ada dugaan gelombang keempat yang dapat mendorong total mendekati 2.055 BTC, meski penambahan ini belum sepenuhnya terverifikasi melalui laporan korban. Kerentanan berawal dari bug firmware yang melemahkan randomness saat pembuatan seed phrase. Pelaku dapat mereproduksi kandidat seed secara offline, menurunkan (derive) alamat-alamatnya, lalu mencocokkannya dengan alamat aktif di blockchain—tanpa perlu akses perangkat, PIN, atau kompromi pada level protokol. Coinkite telah merilis firmware yang diperbaiki. Akan tetapi, memperbarui perangkat tidak memperbaiki seed yang dibuat memakai versi rentan. Pengguna yang terdampak perlu membuat seed baru dan memindahkan dana ke alamat yang diturunkan dari seed tersebut agar kembali aman. Terkait penegakan dan peluang pemulihan, Galaxy membagikan alamat pelaku dan korban yang telah dikonfirmasi kepada penegak hukum AS, bursa, serta kelompok investigasi siber. Daftar alamat yang lebih luas meningkatkan peluang mendeteksi upaya pelaku saat mencoba mengalirkan koin melalui jalur teregulasi. Meski begitu, pemulihan tetap tidak pasti karena pelaku dapat memecah dana ke banyak alamat, memakai mixer, platform terdesentralisasi, atau yurisdiksi di luar jangkauan AS sebelum mencoba mencairkan. Intinya, pelaku terbesar terkait COLDCARD saat ini masih "duduk" di atas 1.159 BTC yang tidak bergerak sejak pemindahan awal, membuatnya terus terekspos pengawasan publik. Pada saat yang sama, aktivitas mixer terbaru dari aktor lain menciptakan jejak yang masih dapat ditelusuri dan akan dipantau ketat seiring perkembangan kasus.