Peretas Mencuri Lebih dari 1.700 BTC dari Dompet Rentan Coldcard

Akibat serangan terhadap dompet keras yang rentan Coldcard, pelaku kejahatan mencuri setidaknya 1.778,84 $BTC ($112,7 juta). Tidak ada kasus peretasan baru yang tercatat setelah 6 Agustus, demikian dilaporkan Galaxy Research.

Serangan terhadap Coldcard

Peneliti perusahaan telah menghubungi 190 korban dan mengkonfirmasi pencurian bitcoin dari lebih dari 8.600 alamat. Sementara itu, kerugian akhir bisa jadi jauh lebih besar: jika memperhitungkan episode yang belum dikonfirmasi, volume aset yang dicuri diperkirakan mencapai 2.417,35 $BTC atau sekitar $153 juta.

Serangan dimulai setidaknya pada pagi hari 30 Juli 2026. Pelaku kejahatan secara sistematis memulihkan frasa benih yang dibuat oleh perangkat Coldcard yang rentan, kemudian mentransfer dana ke alamat yang mereka kendalikan.

Penyebabnya adalah kesalahan dalam perangkat lunak. Pada tahun 2021, produsen Coldcard, perusahaan Coinkite, memperbarui firmware perangkat, mengubah mekanisme pembangkitan entropi kriptografis. Karena bug tersebut, generator angka acak baru bekerja tidak benar, dan perangkat beralih secara tak terlihat ke sumber entropi lain, yang ternyata sangat tidak memadai untuk melindungi kunci privat.

Pada dasarnya, masalah ini telah ada selama beberapa tahun, tetapi baru muncul sekarang: dengan sumber daya komputasi yang cukup, pelaku kejahatan dapat mereproduksi kunci privat yang dibuat pada perangkat yang rentan.

Serangan Baru Telah Berhenti

Galaxy mencatat bahwa di antara rantai serangan yang dikonfirmasi, yang terakhir adalah tanggal 6 Agustus. Setelah tanggal itu, korban baru terus menghubungi peneliti, namun belum ditemukan kasus peretasan lanjutan yang dikonfirmasi.

Para peneliti menduga serangan berhenti karena dua alasan: pemilik dompet yang rentan telah berhasil memindahkan dananya ke alamat baru, atau sebagian besar dana yang tersedia telah dicuri. Para ahli merekomendasikan kepada pengguna yang masih menyimpan bitcoin di Coldcard single-signature untuk segera memindahkan aset mereka ke alamat baru.

Sementara itu, tampaknya ini bukan dilakukan oleh satu pelaku kejahatan saja. Galaxy menemukan setidaknya 33 jejak aktivitas tambahan dan dengan probabilitas tinggi menyimpulkan bahwa kerentanan ini digunakan secara bersamaan oleh beberapa penyerang.

Sebagian Besar Bitcoin Tetap di Tangan Peretas

Dari sekitar 1.778 $BTC yang berhasil dikonfirmasi sebagai hasil pencurian, sekitar 1.531 $BTC masih berada di alamat yang dikendalikan oleh pelaku kejahatan. Sekitar 246 $BTC lainnya telah dipindahkan setelah pencurian.

Sekitar 65% dari dana ini telah melalui transaksi CoinJoin, yang mempersulit pelacakan asal koin. 35% lainnya terus berpindah di blockchain, termasuk melalui skema Peel Chain, yang banyak digunakan untuk pencucian uang kripto. Prinsip kerjanya adalah bahwa dari jumlah besar, transaksi mikro kecil berulang kali "dipisahkan", sementara sisa bagian utama ditransfer ke alamat baru.

Sebagian kecil bitcoin yang dicuri terlihat di bursa terpusat dan jembatan silang rantai (cross-chain bridges). Galaxy telah menyerahkan daftar alamat kepada bursa, perusahaan yang bergerak di bidang kepatuhan dan investigasi, serta lembaga penegak hukum.

Pukulan terhadap Gagasan Penyimpanan Mandiri

Keunikan insiden ini tidak hanya pada skala kerugiannya. Korban terutama adalah pengguna yang justru sangat serius dalam menerapkan gagasan penyimpanan mandiri bitcoin.

Galaxy mencatat bahwa para korban tidak mengirim koin ke bursa yang mencurigakan, tidak menggunakan protokol DeFi yang berisiko, dan tidak mencoba menghasilkan uang dengan instrumen berpenghasilan tinggi. Mereka menyimpan bitcoin di dompet keras, yang dianggap sebagai salah satu cara teraman untuk menyimpan mata uang kripto.

Akibatnya, insiden ini memberikan pukulan terhadap narasi penyimpanan mandiri itu sendiri. Menurut data Galaxy, setelah serangan dimulai, jumlah transfer bitcoin kecil ke bursa meningkat, dan dalam empat hari pertama, lebih dari 22.000 $BTC masuk ke platform terpusat. Pada 8 Agustus, saldo kumulatif di bursa mencapai 3,683 juta $BTC — rekor tertinggi sepanjang sejarah.

Multi-Signature sebagai Pengganti Titik Kegagalan Tunggal

Salah satu konsekuensi tak terduga dari serangan ini adalah meningkatnya minat terhadap dompet multi-sig. Galaxy menekankan bahwa tidak ada satu pun pencurian yang dikonfirmasi dilakukan dari alamat yang dilindungi oleh multi-signature.

Perwakilan layanan Casa dan Anchorwatch melaporkan lonjakan jumlah klien baru dan volume bitcoin yang ditransfer ke penyimpanan multi-signature. Salah satu pendiri Unchained, Dhruv Bansal, berpendapat bahwa menganggap kejadian ini sebagai kemenangan layanan kustodian atas solusi non-kustodian adalah salah. Menurutnya, masalah sebenarnya adalah adanya titik kegagalan tunggal: hal itu bisa berupa bursa, produsen dompet keras, atau pengguna itu sendiri.

Dengan demikian, insiden ini lebih memaksa untuk meninjau ulang pendekatan terhadap penyimpanan mandiri. Alih-alih mempercayai satu perangkat, pengguna dapat mendistribusikan risiko di antara beberapa kunci dan komponen infrastruktur yang independen.

Kecerdasan Buatan Mungkin Membantu Penyerang

Aspek mengkhawatirkan lainnya terkait dengan penggunaan kecerdasan buatan (AI). Galaxy percaya bahwa setidaknya sebagian penyerang dengan probabilitas tinggi menggunakan model AI tanpa batasan ketat terkait keamanan siber — khususnya, LLM terbuka dari Tiongkok.

Sementara itu, peneliti Bitcoin Red Team, yang setelah serangan mulai memeriksa basis kode ekosistem secara massal untuk mencari kerentanan, menghadapi masalah sebaliknya: pembatasan dari perusahaan AI terkemuka AS menghambat mereka menggunakan model paling kuat untuk tujuan perlindungan.

Galaxy mencatat bahwa hal ini sangat penting di tengah penyebaran AI: kemampuan untuk menemukan dan mengeksploitasi kesalahan dalam kode menjadi lebih mudah diakses tidak hanya oleh pengembang dan peneliti, tetapi juga oleh pelaku kejahatan.

Sebagai informasi, pada paruh pertama tahun 2026, proyek-proyek kripto kehilangan sekitar $1,1 miliar akibat peretasan, dan jumlah eksploitasi yang dikonfirmasi menjadi rekor untuk periode enam bulan, menurut perhitungan Blockaid.