Lebih dari 15 pelaku kejahatan terpisah telah memanfaatkan kerentanan Coldcard — demikian perkiraan yang diberikan oleh Kepala Departemen Riset Galaxy Digital, Alex Thorn, berdasarkan laporan baru dari para korban. Thorn menyampaikan di jejaring sosial X bahwa keluhan korban membantu perusahaan mengidentifikasi para penyerang yang jika tidak demikian akan tetap tidak terdeteksi: sifat eksploit ini berbeda dari peretasan terhadap bursa terpusat.
"Berkat laporan dari hanya satu korban tentang pencurian kurang dari 1 $BTC, kami menemukan serangan baru yang telah menguras 12 $BTC dari 126 alamat," tulis Thorn.
Perkiraan kerugian dari eksploit Coldcard telah meningkat menjadi $100 juta dalam tiga gelombang serangan yang dikonfirmasi, menurut data Galaxy Research. Gelombang keempat juga telah diidentifikasi, yang dapat mendorong total kerugian mendekati sekitar $130 juta dalam Bitcoin.
Serangan ini menghidupkan kembali diskusi tentang keamanan dan kelayakan menyimpan Bitcoin di dompet dingin.
"$2 untuk Perlindungan dari AI" Dapat Mencegah Eksploit — Pendapat Dragonfly
Sekitar $2 yang dihabiskan untuk memeriksa kode dengan bantuan AI dapat mencegah eksploit Coldcard — demikian komentar mitra pengelola Dragonfly, Haseeb Qureshi, menanggapi postingan di media sosial yang menyatakan bahwa beberapa model kecerdasan buatan mendeteksi kerentanan tersebut dalam waktu kurang dari 20 menit.
Namun, kecil kemungkinan model AI dapat secara mandiri menemukan kerentanan ini sebelum informasinya menjadi publik.
Kerentanan dalam Pengaturan Kunci Pribadi
Kemampuan model AI yang terus meningkat secara signifikan menurunkan biaya dan waktu yang dibutuhkan untuk menemukan kerentanan baru di bidang kripto. Sementara itu, mekanisme pembentukan kunci pribadi perangkat itu sendiri mungkin turut berperan dalam keberhasilan serangan terhadap Coldcard.
Tingkat entropi kunci pribadi Coldcard hanya 40 bit — jauh lebih rendah dari standar yang diadopsi oleh dompet lain, di mana frase benih 12 kata menyediakan 128 bit entropi. Pelanggaran terhadap standar yang diterima umum ini merupakan hasil dari kesalahan dalam firmware, yang sangat mempermudah tugas para pelaku kejahatan.
Biaya untuk menemukan kerentanan semacam ini akan terus menurun seiring dengan meningkatnya kemampuan model AI dan penerapannya yang lebih luas, baik dalam keamanan siber maupun dalam melancarkan serangan.
Serangan terhadap Coldcard tetap menjadi salah satu insiden terbesar dalam sejarah dompet keras: kerugian yang dikonfirmasi mencapai $100 juta, dan dengan mempertimbangkan gelombang keempat, dapat meningkat menjadi $130 juta. Keterlibatan lebih dari 15 pelaku kejahatan terpisah menunjukkan betapa luasnya informasi tentang kerentanan ini tersebar setelah diungkapkan.
Pandangan AI
Dari perspektif analisis data mesin, kasus Coldcard mengingatkan pada sejarah kerentanan 'Milk Sad', yang ditemukan pada tahun 2023 dalam alat Libbitcoin Explorer. Saat itu, generator kunci membatasi entropi hanya pada 32 bit, bukan 256 bit yang disyaratkan, yang memungkinkan pelaku kejahatan memulihkan kunci pribadi dari ribuan dompet. Paralel ini cukup signifikan: 40 bit entropi pada Coldcard lebih tinggi dari angka Libbitcoin, tetapi masih jauh di bawah standar 128 bit, yang berarti kesalahan firmware semacam ini dapat berulang di berbagai produk terlepas dari reputasi mereka.
