Kerentanan dompet keras Coldcard menyebabkan hilangnya Bitcoin ($BTC) dari pemegang jangka panjang karena bug dalam firmware yang sebenarnya telah ditemukan sejak Maret 2021. Kerugian melebihi 116 juta dolar: lebih dari 1.800 $BTC dicuri dari lebih dari 5.200 alamat.
Insiden ini menjadi dorongan untuk pembentukan inisiatif sukarela bernama "Bitcoin Red Team", yang dipimpin oleh pengembang $BTC Calle bersama Rob Hamilton, CEO perusahaan asuransi Anchorwatch yang mengkhususkan diri pada asuransi self-custody. Mereka melakukan audit darurat terhadap ekosistem Bitcoin sumber terbuka yang lebih luas untuk memeriksa apakah dompet dan pustaka kode lain yang banyak digunakan memiliki kerentanan serupa yang menyebabkan hilangnya dana pengguna Coldcard.
Enam belas peneliti keamanan menghabiskan 27,5 jam untuk menganalisis secara teliti 390 repositori sumber terbuka terkait Bitcoin, menggabungkan analisis menggunakan kecerdasan buatan (AI) dengan peninjauan manual. Tim mencatat total 4.962 kerentanan, termasuk 85 yang diklasifikasikan sebagai kritis dan 635 dengan tingkat keparahan tinggi (rata-rata 2,31 kerentanan tingkat tinggi atau kritis per peneliti per jam).
Pendanaan sprint ini disediakan oleh Opensats—organisasi nirlaba yang mendukung pengembangan Bitcoin sumber terbuka—yang mengalokasikan hampir 40.000 dolar untuk mendukung pekerjaan para peneliti. Calle menggambarkan keadaan keamanan ekosistem sebagai "sangat buruk".
Analis yang melacak audit secara real-time mencatat bahwa hanya sekitar seperlima dari kerentanan yang ditemukan yang telah direproduksi secara independen sejauh ini, mengindikasikan bahwa banyak masalah yang teridentifikasi masih memerlukan konfirmasi sebelum para pengembang dapat menentukan dengan pasti tingkat keparahan sebenarnya.
Di Mana Kerentanan Berpusat
Konsentrasi tertinggi masalah serius terjadi pada alat privasi dan coinjoin (perangkat lunak yang dirancang untuk mengaburkan jejak transaksi Bitcoin di blockchain), yang menyumbang 24% temuan kritis, meskipun mereka merupakan porsi lebih kecil dari total proyek yang dianalisis. Pustaka kriptografi, sebaliknya, memberikan jumlah absolut masalah yang teridentifikasi terbanyak—1.101—namun hanya 10% yang relatif kecil dikategorikan dengan tingkat keparahan tinggi, menunjukkan bahwa kodenya secara umum lebih matang, meskipun ditinjau paling teliti oleh para peneliti.
Sebagian besar dari 390 proyek yang dianalisis memiliki sedikit atau tidak ada masalah kritis; bahaya nyata tampaknya terkonsentrasi pada sekelompok kecil alat yang bertanggung jawab untuk menghasilkan kunci privat, penandatanganan, dan transaksi yang menjaga privasi—kategori perangkat lunak yang sama yang mendasari kegagalan awal Coldcard yang memulai seluruh pekerjaan ini.
Waktu pengungkapan fakta-fakta ini sangat signifikan, mengingat komunitas pengguna Bitcoin yang mempraktikkan self-custody selama dua minggu terakhir telah berusaha memahami skala kerugian dari Coldcard, dengan pengguna Kanada saja menyumbang sekitar seperempat dari dana yang dicuri.
Kebutuhan untuk Menilai Tugas-Tugas Masa Depan
Tim Bitcoin Red Team mencatat bahwa audit adalah tahap pertama dari pekerjaan yang berkelanjutan, bukan acara satu kali; rencananya adalah untuk mengolah temuan yang menumpuk, mengkonfirmasi kerentanan mana yang benar-benar dapat dieksploitasi, dan mengoordinasikan pengungkapan yang bertanggung jawab dengan proyek-proyek yang terdampak sebelum rincian apa pun dipublikasikan.
Bagi komunitas pendukung self-custody yang masih menyadari besarnya kerugian dari Coldcard, audit ini sekaligus berfungsi sebagai bukti bahwa para peneliti 'white hat' sekarang berkembang dengan kecepatan yang mendekati kecepatan para penyerang jahat.
end-content
