Galaxy Temukan 15 Pelaku pada Eksploit Coldcard, Kerugian Diperkirakan Mendekati US$130 Juta

TL;DR Galaxy Digital mengidentifikasi sedikitnya 15 pelaku berbeda setelah laporan korban baru mengungkap pencurian Coldcard yang sebelumnya tidak terdeteksi, termasuk kasus 12 BTC yang ditarik dari 126 alamat. Kerugian terkonfirmasi diperkirakan mendekati US$100 juta dalam tiga gelombang serangan, dan dugaan gelombang keempat bisa mendorong total kerugian Bitcoin hingga sekitar US$130 juta. Perdebatan muncul soal apakah pengujian AI berbiaya murah bisa mencegah celah ini, tetapi para peneliti sepakat penurunan entropi menjadi 40 bit membuat seed dompet yang terdampak jauh lebih mudah diserang secara mandiri. Galaxy Digital menyatakan sedikitnya 15 pelaku berbeda mengeksploitasi kerentanan Coldcard, berdasarkan laporan korban yang masuk setelah insiden dipublikasikan. Alex Thorn menjelaskan, pengungkapan individual membantu analis "memberi label" pada pelaku yang sebelumnya sulit terlacak karena pola eksploitnya tidak menyerupai pembobolan bursa terpusat. Rangkaian laporan terbaru menunjukkan kampanye yang terfragmentasi, bukan satu operasi pencurian yang terkoordinasi. Salah satu laporan korban yang kehilangan kurang dari 1 BTC justru membuka jejak serangan yang lebih besar: peneliti kemudian mengaitkannya dengan aksi yang menguras 12 BTC dari 126 alamat. Kasus ini menegaskan keluhan kecil dapat membongkar pola pencurian yang jauh lebih luas. Estimasi Kerugian Membesar, Perdebatan AI Menguat Galaxy kini memperkirakan kerugian terkonfirmasi mendekati US$100 juta dari tiga gelombang serangan dan menemukan indikasi gelombang keempat yang dapat mengangkat total kerugian hingga sekitar US$130 juta dalam Bitcoin. Membesarnya estimasi menunjukkan rekonstruksi exploit masih berlangsung, belum sepenuhnya terkunci atau dipahami. Berbeda dengan peretasan bursa yang biasanya memiliki satu titik masuk yang jelas, seed dompet yang sudah terkompromi dapat dieksploitasi secara terpisah oleh banyak pihak. Kondisi ini membuat atribusi pelaku, penghitungan korban, dan kalkulasi total kerugian menjadi sangat sulit. Bertambahnya jumlah pelaku juga memunculkan kembali pertanyaan tentang efektivitas self-custody ketika rahasia yang dihasilkan perangkat keras justru menjadi dapat diprediksi. Diskusi teknis bergeser ke isu seberapa murah AI dapat menemukan ulang celah firmware tersebut. Managing partner Dragonfly, Haseeb Qureshi, berpendapat bahwa penguatan berbasis AI senilai sekitar US$2 bisa mencegah insiden ini, merujuk pada uji coba di mana model diklaim mereproduksi kerentanan dalam hitungan menit. Klaim tersebut tetap memancing kontroversi karena celahnya sudah bersifat publik saat sejumlah demonstrasi dilakukan. Seorang peneliti memperingatkan pengujian itu tidak memenuhi kondisi blind, tidak memiliki metode terdokumentasi, serta tidak menyertakan analisis false-positive. Di sisi lain, sebuah model open-source dilaporkan menemukan masalah tersebut dalam 20 menit tanpa akses web, sehingga perdebatan soal kelayakan deteksi pra-pengungkapan semakin memanas. Castle Labs menyebut bug ini menurunkan entropi private key Coldcard menjadi sekitar 40 bit, jauh di bawah 128 bit yang lazim dikaitkan dengan seed 12 kata. Penurunan drastis itu membuat pencarian brute force jauh lebih mudah dan dapat menjelaskan mengapa banyak pelaku bisa terlibat. Insiden ini menyoroti kegagalan pengujian: janji keamanan hardware wallet pada akhirnya bergantung pada entropi yang diam-diam dilemahkan oleh firmware. Ketika AI menekan biaya review kode bagi pihak defensif maupun kriminal, tantangan yang belum terjawab adalah apakah produsen dompet dapat memperkeras rilis lebih awal sebelum alat otomatis mengubah kesalahan implementasi yang tersembunyi menjadi peluang pencurian berskala besar pada alamat Bitcoin yang lama tidak aktif.