Setidaknya 15 penyerang berbeda telah mengeksploitasi kerentanan Coldcard, menurut Kepala Penelitian Galaxy Digital, Alex Thorn, yang mengutip laporan korban baru yang diterima sejak insiden tersebut.
Thorn mengatakan pada hari Selasa bahwa laporan korban tersebut membantu perusahaan melabeli penyerang-penyerang baru yang mungkin tidak akan terdeteksi, karena sifat eksploitasi ini berbeda dari peretasan di bursa terpusat.
“Berdasarkan laporan satu korban tunggal tentang pencurian kurang dari 1 BTC, kami mengidentifikasi serangan baru dengan 12 BTC yang dikuras dari 126 alamat,” tulis Thorn dalam postingan X hari Selasa.
Perkiraan kerugian dari eksploitasi Coldcard telah tumbuh menjadi $100 juta di tiga gelombang serangan yang dikonfirmasi, menurut Galaxy Research. Perusahaan juga mengidentifikasi gelombang keempat yang diduga yang dapat membawa total kerugian menjadi sekitar $130 juta dalam Bitcoin (BTC).
Serangan yang sedang berlangsung ini kembali memicu perdebatan tentang keamanan dompet penyimpanan dingin (cold storage) dan apakah pengguna lebih aman dengan menyimpan Bitcoin mereka sendiri.
Pengerasan AI senilai $2 dapat mencegah eksploitasi: Mitra Dragonfly
Kira-kira “$2 pengerasan AI” dapat mencegah eksploitasi Coldcard, tulis mitra pengelola Dragonfly, Haseeb Qureshi, mengutip laporan media sosial bahwa beberapa model AI menemukan kembali kerentanan yang menyebabkan serangan dalam waktu kurang dari 20 menit.
Pernyataan Qureshi muncul sebagai tanggapan atas klaim beberapa pengguna media sosial bahwa Claude mampu meregenerasi kerentanan tersebut hanya dalam delapan menit. Dia berargumen bahwa hasil ini mungkin telah terkontaminasi oleh pencarian web dan menambahkan bahwa model AI sumber terbuka GLM 5.2 dapat menemukan kembali serangan tersebut dalam 20 menit dengan akses web dimatikan.
Namun, kecil kemungkinan model AI akan secara independen menemukan kerentanan ini sebelum menjadi publik, kata pemimpin data platform analitik crypto Tokenomist, Tatsapat Saerejittima, kepada Cointelegraph. Dia berkata:
“Klaim bahwa AI menemukannya dalam 2 menit berasal dari pengguna Reddit anonim yang memindai kode setelah kerentanan tersebut menjadi publik. Tidak ada uji buta, tidak ada metodologi yang didokumentasikan, dan tidak ada penilaian tingkat positif palsu model.”
Terkait: AI Belum Memicu ‘Hackpocalypse’ DeFi, Kata Mitra Dragonfly
Kerentanan Terlihat dalam Pengaturan Kunci Pribadi
Pendiri bersama perusahaan riset crypto Castle Labs, Francesco, mengatakan bahwa kemampuan model AI yang semakin berkembang secara drastis mengurangi biaya dan waktu yang dibutuhkan untuk menemukan kerentanan cryptocurrency baru, tetapi menambahkan bahwa kunci pribadi Coldcard mungkin berperan dalam kerentanan tersebut.
Coldcard menggunakan “tingkat entropi kunci pribadi (40 bit) jauh lebih rendah daripada standar yang diadopsi oleh dompet lain (benih 12 kata adalah 128 bit), akibat dari bug firmware, yang membuat pekerjaan lebih mudah,” katanya kepada Cointelegraph.
Francesco, yang meminta Cointelegraph untuk tidak menggunakan nama belakangnya, mengatakan dia mengharapkan biaya penemuan bug akan terus menurun seiring model AI mendapatkan lebih banyak kemampuan dan menjadi lebih menonjol baik dalam keamanan siber maupun eksploitasi.
Majalah: Apakah Kegagalan Botanix Membuktikan Bitcoiners Tidak Peduli dengan DeFi?
