Komunitas pemegang Bitcoin di Korea Selatan hampir tidak mengalami kerugian langsung selama serangan terhadap dompet perangkat keras Coldcard — padahal perangkat ini tersebar luas justru di kalangan pengguna lokal yang paling berpengalaman. Kesalahan dalam pembuatan angka acak pada model Coldcard tertentu memungkinkan pelaku kejahatan mendapatkan akses ke frase seed yang rentan dan menarik Bitcoin setidaknya dari 15 alamat. Total kerugian melebihi 1.596 $BTC — sekitar $130 juta — dengan ribuan alamat yang menjadi korban.
Produsen merespons insiden tersebut dengan memutuskan untuk menghancurkan sisa stok perangkat yang rentan dan menyerukan pengguna untuk membuat frase seed baru. Menurut data analis independen, jumlah alamat yang terdampak mencapai sekitar 7.300, dan jika memperhitungkan kasus yang diduga tetapi belum dikonfirmasi, total volume kerugian bisa mencapai 2 ribu $BTC.
Dalam konteks ini, Korea Selatan menonjol secara tajam: laporan lokal mencatat kerusakan minimal, meskipun pemegang berpengalaman di sana adalah salah satu yang pertama mulai menggunakan Coldcard untuk fungsi penyimpanan 'dingin' tanpa koneksi jaringan. Analis Koji Higashi menjelaskan kesenjangan ini bukan karena keberuntungan teknis, melainkan budaya pendekatan penyimpanan aset yang mandiri dan hati-hati yang telah berkembang selama bertahun-tahun di dalam komunitas lokal.
Pembuatan Manual daripada Percaya pada Firmware
Pemimpin komunitas Korea telah lama mempromosikan ide untuk membuat frase seed dan entropi secara independen dari perangkat, tidak bergantung pada generator angka acak bawaan dari produsen mana pun. Metode yang direkomendasikan sengaja analog:
melempar dadu atau koin untuk mendapatkan keacakan sejati;
membuat frase mnemonik BIP39 sepenuhnya secara offline, tanpa perangkat yang terhubung;
untuk frase 12 kata — 128 lemparan koin, untuk 24 kata — 256, dengan mengonversi kode biner ke desimal menggunakan kalkulator biasa, bukan ponsel pintar.
Panduan lokal menjelaskan prosedur ini selangkah demi selangkah. Selanjutnya — mencocokkan kata yang diperoleh dengan daftar BIP39 tercetak dan menggunakan alat offline seperti SeedSigner hanya untuk memeriksa checksum, tanpa terhubung ke jaringan pada tahap apa pun.
Mengapa Komunitas Berbahasa Inggris Lebih Parah Terdampak
Pendukung penyimpanan mandiri berbahasa Inggris, meski memiliki tingkat literasi teknis yang tinggi, rata-rata menanggung kerugian yang jauh lebih signifikan. Higashi mengaitkan hal ini dengan karakteristik aliran informasi di dalam komunitas:
ketergantungan berlebihan pada influencer, yang beberapa di antaranya memiliki kesepakatan sponsor atau hubungan erat dengan produsen Coldcard — perusahaan Coinkite — yang mungkin memperkuat kepercayaan tidak berdasar pada pernyataan keamanan perangkat;
efek gema: solidaritas ideologis umum di dalam komunitas memperkuat keyakinan pada produk, yang kerentanannya tidak ada yang periksa secara independen;
pemimpin Korea bertindak berbeda — tanpa hubungan komersial atau pribadi dengan produsen, mereka memberikan penilaian risiko yang lebih netral, dan pengikut benar-benar mengikuti saran ini.
Prinsip Bitcoin 'jangan percaya, verifikasi' dalam kasus ini ternyata berlaku tidak hanya untuk kode, tetapi juga untuk sumber informasi. Kesimpulan praktis dari kisah ini sederhana: buat frase seed sendiri dengan metode fisik di mana memungkinkan, dan secara default jangan percaya generator angka acak bawaan perangkat apa pun.
Pendapat AI
Dari sudut pandang analisis data teknis, tidak semua metode pembuatan manual frase seed memberikan keluaran entropi yang sama per unit usaha. Melempar dadu membawa sekitar 2,585 bit informasi, dan skema standar 'genap/ganjil' membuang sebagian besar volume ini, mereduksi setiap lemparan menjadi satu bit, sedangkan pemrosesan melalui fungsi hash dapat mempertahankan hampir seluruh potensi lemparan. Menariknya, dokumentasi Coldcard sejak 2020 berisi instruksi yang merekomendasikan 99 lemparan dadu untuk mendekati cadangan keamanan 256-bit.
Kompleksitas terpisahnya adalah bahwa keacakan fisik lemparan tidak menjamin independensi penuh hasil jika pelaku lelah atau ceroboh, sementara generator perangkat keras berbasis proses noise menyelesaikan masalah ini dengan cara berbeda, tetapi membutuhkan kepercayaan pada chip itu sendiri. Kompromi mana — manual atau perangkat keras — yang lebih disukai untuk pengguna massal, tetap menjadi pertanyaan terbuka.
end-content
