Peretasan Coldcard Ungkap Celah Firmware 5 Tahun, Bitcoin $100 Juta Lebih Digondol

CEO Swan, Cory Klippsten, sedang menghadiri pesta pernikahan di Paris ketika pesan demi pesan masuk tanpa henti. Ia menggambarkan akhir pekan itu sebagai masa yang "brutal" bagi banyak orang yang kehilangan bitcoin. "Saya mengirim pesan jam 4 pagi untuk membantu seseorang di zona waktu Pasifik memindahkan koinnya ke tempat aman," ujarnya. Insiden itu bermula Kamis lalu, saat penyerang mulai menguras bitcoin dari ribuan dompet perangkat keras Coldcard. Mereka memanfaatkan celah firmware yang luput terdeteksi selama lima tahun. Sumber masalahnya disebut berasal dari pembaruan firmware Maret 2021 pada dompet buatan Coinkite, yang membuat sebagian pengguna memiliki private key dengan tingkat keamanan di bawah standar yang semestinya. Menurut Galaxy Research, setelah tiga gelombang serangan, hampir 1.600 BTC—bernilai lebih dari $100 juta—tersedot dari sekitar 7.300 alamat. Swan, platform berbasis di AS yang membantu individu membeli, menyimpan, dan melakukan self-custody bitcoin, merespons dengan menangguhkan penarikan bagi klien yang dinilai berisiko, mengirim peringatan di aplikasi, serta membuka dukungan migrasi bukan hanya untuk pengguna mereka. "Tim kami meninggalkan semua pekerjaan untuk mulai menelepon klien, lalu kami buka bantuan untuk siapa pun yang membutuhkan, entah pernah jadi klien Swan atau tidak," kata Klippsten. Sepekan setelah kejadian, hampir 90% bitcoin yang dicuri masih belum bergerak di jaringan. Alamat penyerang yang telah terkonfirmasi juga sudah dibagikan kepada aparat penegak hukum federal AS. Coinkite yang berbasis di Toronto menyatakan telah menambal semua lini perangkat yang terdampak. Tim relawan yang didanai OpenSats turut memindai lebih dari 150 repositori open-source dan tidak menemukan indikasi masalah serupa meluas di luar Coldcard. Kasus ini memicu perdebatan baru soal nilai self-custody. Sebagian pelaku industri menilai investor sebaiknya mempertimbangkan paparan bitcoin melalui instrumen seperti exchange-traded funds (ETF) ketimbang menyimpan sendiri. Klippsten menolak anggapan bahwa klien mulai mundur dari self-custody. Ia menyebut tren yang terjadi justru mengarah pada peningkatan proteksi agar bitcoin lebih sulit diakses pihak lain. "Orang-orang sekarang berpindah ke Swan Vault," katanya, merujuk pada produk multisig kolaboratif perusahaan, di mana tidak ada satu perangkat pun yang bisa sendirian membahayakan dana pengguna. "Bukan meninggalkan self-custody, banyak yang justru melakukan upgrade." Klippsten menutup pekan tersebut dengan optimisme yang terukur. "Mengerikan bahwa orang kehilangan koin, padahal mereka sudah melakukan semuanya dengan benar sesuai arahan banyak nama besar di industri. Tapi Bitcoin itu antifragile dan alat-alatnya makin kuat dari jam ke jam. Ini bisa saja berakhir menjadi hal terbaik yang pernah terjadi bagi self-custody."