Dompet perangkat keras Coldcard diretas — saat ini gelombang penarikan dana dari perangkat yang rentan sedang diamati. Menurut data Galaxy Research, total volume yang dicuri mencapai 1.367,05 $BTC (sekitar $88,6 juta) dari 4.585 alamat — jumlah ini jauh lebih besar dari 594,5 $BTC awal yang diketahui pada 30 Juli 2026. Sebagian besar aset yang dicuri masih tersimpan utuh di alamat para penyerang. Galaxy Research pada 2 Agustus 2026 mengonfirmasi bahwa pengosongan alamat yang rentan terus berlanjut.
Masalahnya bukan di firmware, tapi di seed-phrase yang sudah dibuat
Masalahnya bukan karena perangkat tidak berfungsi dengan benar — firmware telah lama diperbarui oleh Coinkite. Masalahnya adalah seed-phrase yang dihasilkan sejak Maret 2021 karena kesalahan pemrogram, ternyata mudah ditebak, dan pembaruan firmware tidak mengubah seed-phrase itu sendiri. Selama pemilik belum memindahkan dana ke alamat baru dengan seed-phrase baru, dompet lama tetap rentan — tidak peduli berapa versi firmware yang diinstalnya. Itulah mengapa Bitcoin terus ditarik bahkan dari mereka yang sudah lama memperbarui perangkatnya.
Penyebabnya adalah karena saat mengintegrasikan pustaka libNgU, perangkat berhenti menggunakan pembangkit bilangan acak perangkat keras STM32 dan beralih ke pembangkit perangkat lunak Yasmarang, yang diinisialisasi dengan data yang tersedia publik — nomor seri chip dan status timer. Akibatnya, seed-phrase dapat ditebak dengan brute-force secara offline, tanpa akses fisik ke perangkat.
Pengembang Coinkite memperjelas seed-phrase mana yang berisiko:
-
Mk2/Mk3 dengan firmware 4.0.1–4.1.9 (dan hingga 5.0.3)
-
Mk4/Mk5 hingga versi 5.6.0 (Edge — hingga 6.6.0X)
-
Q hingga versi 1.5.0Q (Edge — hingga 6.6.0QX)
Pengecualian — seed-phrase yang dibuat menggunakan setidaknya 50 lemparan dadu independen atau passphrase BIP-39 yang kuat dan unik. Semua pemilik perangkat tersebut lainnya perlu membuat seed-phrase baru pada firmware yang sudah diperbaiki (4.2.0 dan lebih baru untuk Mk2/Mk3, 5.6.0 dan lebih baru untuk Mk4/Mk5, 1.5.0Q dan lebih baru untuk Q) dan mentransfer semua asetnya ke sana — selama ini belum dilakukan, dana tetap dalam ancaman terlepas dari versi firmware yang diinstal.
Delapan tahun kerja keras — dan beberapa menit untuk kehilangan segalanya
Kisah seorang investor berusia 39 tahun menjadi pengingat keras tentang betapa rentannya strategi penyimpanan cryptocurrency yang paling konservatif sekalipun. Pria itu kehilangan 2 $BTC (sekitar $130.000) hanya dalam beberapa menit akibat peretasan Coldcard. Koin-koin itu dia beli selama delapan tahun, dengan kerja fisik yang berat, dan berhasil dipertahankan bahkan di tengah periode kejatuhan pasar terdalam.
Tragisnya, korban bertindak dengan sangat hati-hati. Dia tidak mempertaruhkan modalnya pada memecoin yang hype dan tidak mempercayakan tabungannya ke bursa terpusat. Baginya, Bitcoin bukan alat spekulasi, melainkan pelampung penyelamat. Pria itu tinggal di negara di bawah sanksi internasional yang keras di tengah hiperinflasi yang menghancurkan mata uang lokal. Dia membeli cryptocurrency sebagai perlindungan dari emisi uang yang tidak terkendali, untuk melindungi keluarganya dari kehancuran finansial dan pensiun dini pada usia 50 tahun.
Setelah memindahkan asetnya ke dompet dingin, dia percaya bahwa kerja kerasnya selama bertahun-tahun berada dalam keamanan penuh. Namun, kerentanan di Coldcard menghapus segalanya: setelah pencurian dana yang instan, pria itu mengakui bahwa dia benar-benar hancur dan meninggalkan cryptocurrency selamanya, karena mimpinya untuk pensiun dini sudah sirna.
Kasus ini sangat menarik karena korban kerentanan ini bukanlah spekulan yang ceroboh, melainkan para pemegang jangka panjang, yang strategi 'beli dan simpan di dompet dingin'-nya selalu dianggap sebagai teladan pendekatan hati-hati. Sekarang komunitas crypto berharap perusahaan produsen dapat menemukan cara untuk memulihkan dana dan mengembalikannya kepada pengguna, untuk sedikit meringankan situasi yang benar-benar menyedihkan ini.
Pendapat AI
Dari sudut pandang analisis data historis, kasus Coldcard bukanlah contoh pertama di mana kelemahan pembangkit bilangan acak menghancurkan kepercayaan pada penyimpanan 'dingin'. Situasi serupa pernah terjadi pada 2011–2015, ketika pustaka browser BitcoinJS menghasilkan kunci privat yang tidak cukup acak; kerugian kumulatif dari kompromi kunci privat selama sepuluh tahun kemudian diperkirakan oleh platform DefiLlama mencapai 17 miliar dolar.
Aspek teknis, yang kurang terlihat di balik sisi emosional kisah ini: penggantian pembangkit perangkat keras STM32 dengan pembangkit perangkat lunak Yasmarang mengurangi entropi justru di tempat pengguna paling tidak mengharapkan kerentanan — di dalam perangkat 'tertutup' tanpa internet. Detail ini mempertanyakan pandangan umum bahwa penyimpanan offline secara otomatis berarti keandalan kriptografis.
