Peretasan Coldcard: 87% dari BTC Curian Senilai Lebih dari US$114 Juta Masih Diam

Sebagian besar Bitcoin yang terkait dengan eksploit Coldcard terbaru masih belum bergerak. Kondisi ini memberi peneliti on-chain peluang langka untuk memetakan kepemilikan penyerang, saat penelusuran terhadap kerugian bernilai ratusan juta dolar terus dilakukan. Temuan utama Galaxy Research melalui Alex Thorn melacak 1.789,28 BTC yang dicuri dari 8.865 alamat dan dikaitkan dengan insiden Coldcard. Nilainya sekitar US$114,7 juta saat pencurian (sekitar US$138,8 juta pada harga saat ini). Dari total tersebut, 1.561 BTC atau 87,3% masih tersimpan di alamat pengumpulan/penampungan yang dikendalikan penyerang dan belum dibelanjakan. Jika memasukkan alamat dengan tingkat keyakinan menengah, estimasi total bisa naik menjadi sekitar 1.824 BTC (≈US$140 juta pada saat pencurian). Rangkuman metrik dari analisis Galaxy - Alamat terdampak: 8.865; median kerugian per alamat 0,00152 BTC; rata-rata 0,20184 BTC. - Dormansi (lama koin tidak bergerak sebelum dicuri): median 3,2 tahun; rata-rata 3,6 tahun. - Laporan korban: 221 laporan mencakup 790,72 BTC (44,2% dari total yang terlacak); median kerugian yang dilaporkan 1,04272 BTC; rata-rata 3,57792 BTC; median dormansi 3,25 tahun. Pola transaksi dan upaya pengaburan Dana yang dicuri pada gelombang-gelombang belakangan mulai bergerak. Galaxy mencatat penyerang memanfaatkan transaksi CoinJoin, peel chain, dan teknik mixing lain untuk menyulitkan pelacakan. Koin dari tiga gelombang pertama yang teridentifikasi belum dipindahkan maupun dicampur. Ini membuat penyidik memiliki rekam jejak on-chain yang "bersih" untuk memantau setiap aktivitas keluar. Akar kerentanan TRM Labs menelusuri pencurian ini ke kegagalan randomness terkait firmware. Kesalahan konfigurasi build yang diperkenalkan pada Maret 2021 menyebabkan perangkat Coldcard yang terdampak beralih menggunakan generator angka acak perangkat lunak yang lebih lemah, alih-alih sepenuhnya mengandalkan entropi hardware. Penurunan entropi tersebut dapat membuat private key bisa dipulihkan lewat brute-force tanpa perlu akses fisik ke perangkat. Pembaruan firmware yang sudah ditambal tidak memperbaiki seed yang sudah terkompromi. Pengguna yang terdampak perlu membuat seed baru pada hardware yang aman lalu memindahkan dana ke alamat baru. Respons lanjutan dan implikasi Galaxy Research membagikan alamat penyerang yang telah terkonfirmasi kepada bursa, firma kepatuhan, dan aparat penegak hukum untuk membantu identifikasi dan potensi pembekuan dana jika koin dikirim ke layanan terpusat. Karena sebagian besar saldo terbesar masih tersimpan dan belum dicampur, penyidik masih memiliki keunggulan dalam pelacakan. Aktivitas mixing pada gelombang belakangan membuat prosesnya lebih kompleks. Konteks keamanan dompet yang lebih luas Insiden Coldcard menegaskan risiko randomness yang lemah dalam pembuatan seed. Musim panas ini juga mencatat: - Temuan Coinspect "Ill Bloom" (randomness buruk pada beberapa software wallet) — sekitar US$5 juta berpindah dari dompet yang terekspos. - Ledger Donjon mendemonstrasikan serangan laser terhadap kartu Tangem yang membutuhkan akses fisik dan peralatan lab berbiaya tinggi. - Kritik publik dari investigator on-chain ZachXBT soal kelayakan hardware wallet untuk transaksi sangat besar dan kritis (penilaian pribadi, tidak terkait bukti baru kompromi). Berbeda dari serangan yang mensyaratkan kepemilikan fisik, masalah Coldcard berasal dari entropi pembuatan seed, sehingga kunci lemah dapat dieksploitasi dari jarak jauh. Langkah yang perlu dilakukan pengguna Jika Anda memakai perangkat Coldcard yang terdampak untuk membuat seed wallet, Anda perlu membuat seed baru pada hardware yang aman dan menyapu dana ke alamat yang berasal dari seed baru tersebut. Pembaruan firmware saja tidak memadai. Praktik umum yang disarankan: selalu perbarui firmware, prioritaskan RNG berbasis hardware bila memungkinkan, dan pertimbangkan membagi kepemilikan besar ke beberapa solusi yang aman. Penyidik terus memantau 1.561 BTC yang masih tidak bergerak sambil memetakan alamat tambahan dan gelombang serangan berikutnya. Jika penyerang pada akhirnya berinteraksi dengan layanan terpusat, sifat dana yang masih "parkir" ini dapat menjadi faktor penentu.