Eksploitasi kerentanan di Coldcard menunjukkan perlunya peninjauan ulang terhadap pemeriksaan generator acak di perangkat penyimpanan Bitcoin. Hal ini dinyatakan oleh CTO Ledger, Charles Guillemet, seperti dilaporkan Decrypt.
Menurutnya, insiden ini menunjukkan keterbatasan pendekatan 'kode terbuka berarti kode yang telah diperiksa'. Sang spesialis menunjuk pada fakta bahwa kesalahan tersebut telah berada di basis data publik selama lebih dari lima tahun, tetapi tidak terdeteksi hingga serangan dimulai.
"Kode terbuka dan kode yang telah diperiksa adalah dua hal yang berbeda," tegas CTO Ledger.
Menurut dokumentasi Ledger, perangkat perusahaan menghasilkan 256 bit acak melalui generator perangkat keras di Secure Element. Guillemet menyatakan bahwa dalam arsitektur seperti itu tidak ada jalur cadangan perangkat lunak, yang menjadi masalah di Coldcard.
Sleep at Night Technology: Bagaimana Coldcard Mengubah Tidur Penggunanya Menjadi Mimpi Buruk
Ledger menghubungkan insiden ini dengan meningkatnya peran alat AI dalam analisis kode. Menurut Guillemet, sistem seperti itu mempercepat pencarian kerentanan baik bagi penyerang maupun pihak bertahan. Namun, pada saat penulisan, belum ada bukti publik bahwa pelaku kejahatan benar-benar menggunakan kecerdasan buatan.
U.Today menyoroti publikasi di Reddit dan X. Menurut klaim pengguna, Claude Code dikatakan menemukan kerentanan tersebut hanya dalam sekitar delapan menit setelah diminta untuk memeriksa kode sumber.
ini gila
— Medusa (@MedusaOnchain) 2 Agustus 2026
claude code menemukan kerentanan dompet COLDCARD dengan satu perintah, hanya dalam 8 menit berpikir
kita belum siap untuk apa yang akan datang pic.twitter.com/wh1LtEWuje
Sebelumnya, Managing Partner di dana ventura Dragonfly, Haseeb Qureshi, menyatakan bahwa serangan terhadap dompet dingin Coldcard dapat dicegah dengan memeriksa kode menggunakan kecerdasan buatan seharga $2.
Menurut data Galaxy Research, kerentanan tersebut dieksploitasi oleh setidaknya 15 pelaku kejahatan yang berbeda. Kerugian dari tiga gelombang yang dikonfirmasi diperkirakan oleh analis mencapai $100 juta. Dengan mempertimbangkan gelombang keempat yang diduga, jumlahnya dapat meningkat menjadi sekitar $130 juta.
Sebagai pengingat, pada 4 Agustus, produsen dompet kripto perangkat keras Trezor dan Foundation memperingatkan pengguna tentang serangan phishing menyusul insiden tersebut. Dalam beberapa kasus, penipu mengirim email yang diklaim atas nama produsen dan menawarkan 'audit perangkat keras'.
end-content
