MARA Holdings — perusahaan penambangan Bitcoin dan penyedia infrastruktur kecerdasan buatan (AI) yang terdaftar di Nasdaq, sebelumnya dikenal sebagai Marathon Digital — telah meluncurkan layanan Slipstream yang memungkinkan pengguna mengirim transaksi Bitcoin langsung ke kolam penambangannya, alih-alih menyiarkannya ke jaringan publik.
Sebagian besar transaksi Bitcoin melewati ‘ruang tunggu’ umum yang disebut mempool, di mana setiap node jaringan dapat melihat transaksi sebelum dikonfirmasi dalam suatu blok. Slipstream melewati ‘ruang tunggu’ ini. Pengguna mengirim transaksi yang sudah ditandatangani langsung ke MARA, dan transaksi tersebut tetap tersembunyi hingga MARA menambang blok yang berisi transaksi itu.
Pada 3 Agustus 2026, Yayasan MARA memposting pembaruan di X:
“MARA Slipstream kini tersedia sebagai sumber daya publik tanpa batasan akses dan tanpa memerlukan kode klien. Harap berhati-hati dan konservatif dalam memilih biaya agar transaksi tidak terjebak di mempool Slipstream jika terjadi lonjakan tajam tarif kompetitif. Untuk masa mendatang yang dapat diperkirakan, kami tidak mengenakan biaya tambahan untuk layanan ini, tetapi pengguna tetap bertanggung jawab membayar biaya transaksi Bitcoin yang sesuai.”
Poin terakhir ini penting. MARA tidak mengenakan biaya premium sendiri. Pengguna tetap membayar biaya jaringan Bitcoin biasa, hanya saja mereka mengirim transaksi melalui saluran pribadi alih-alih saluran terbuka.
Kerentanan Dompet Perangkat Keras Menentukan Waktu
Pemilihan waktu ini bukan kebetulan. Pada akhir Juli, para peneliti mengungkapkan kelemahan serius pada dompet perangkat keras Coldcard, terkait dengan bug dalam kode firmware yang diperkenalkan pada Maret 2021. Alih-alih menggunakan angka acak yang dihasilkan oleh generator perangkat keras khusus perangkat, model Coldcard yang rentan beralih ke proses berbasis perangkat lunak yang kurang aman saat membuat frasa benih dompet 24 kata. Kesalahan ini mengurangi tingkat keacakan efektif dari yang diharapkan 128 bit menjadi sekitar 40 bit pada model lama dan 72 bit pada model baru. Jumlah kombinasi yang lebih sedikit berarti penyerang dengan daya komputasi yang cukup dapat menebak frasa benih dan membuka kunci dompet.
Peretas Bergegas Menguras Dompet yang Rentan
Pelaku jahat bertindak cepat. Menurut perkiraan awal, sekitar 594 $BTC dicuri dari sekitar 500 alamat, yang saat itu bernilai hampir 38 juta dolar AS. Berdasarkan perkiraan terbaru, total kerugian mendekati 70-88 juta dolar AS karena kasus peretasan dompet baru terus terungkap. Hingga 4 Agustus, diperkirakan peretas telah mencuri sekitar 1.816 $BTC senilai sekitar 116 juta dolar AS dari lebih dari 5.200 dompet berbeda.
Tambalan firmware mencegah kerentanan ini muncul di dompet baru, tetapi tidak membantu untuk frasa benih yang sudah dibuat berdasarkan kode yang rentan. Siapa pun yang mengatur Coldcard selama periode tersebut harus memindahkan koin mereka ke dompet baru.
Transfer Dana Publik Menciptakan Jebakannya Sendiri
Bagi pengguna yang menggunakan konfigurasi multisig — umum di antara pemilik Coldcard yang membagi kendali dana antara beberapa perangkat — proses pemindahan itu sendiri mengandung risiko. Menyiarkan transaksi secara publik mengungkapkan kunci dompet dan kondisi pembelanjaan. Penyerang yang sudah memiliki kunci pribadi rentan terkait dapat mendeteksi transaksi ini, membuat transaksi bersaing dengan biaya lebih tinggi, dan menggunakan fitur jaringan Bitcoin yang disebut ‘Replace-by-Fee’ (RBF) untuk menyalip antrian dan mencuri dana sebelum transaksi asli dikonfirmasi.
Fitur Slipstream dari MARA menghilangkan jendela kerentanan ini. Karena transaksi tidak pernah masuk ke mempool publik, penyerang tidak dapat melihat kunci atau detail pembelanjaan hingga MARA menambang koin ke dalam blok yang dikonfirmasi.
Slipstream Muncul Dua Tahun Sebelum Krisis
MARA pertama kali meluncurkan Slipstream pada 22 Februari 2024 dengan tujuan membantu transaksi besar atau tidak biasa yang ditolak untuk disiarkan ulang oleh banyak node Bitcoin sesuai kebijakan standar. CEO Fred Thiel menggambarkannya saat itu sebagai cara untuk memanfaatkan infrastruktur penambangan MARA untuk kepentingan pengguna Bitcoin tingkat lanjut, sambil tetap mematuhi aturan protokol. Sebelumnya, akses memerlukan kode klien selama periode permintaan tinggi atau pemeliharaan teknis. Kini persyaratan tersebut telah dihapus.
Pengguna Tetap Menanggung Risiko Kepercayaan dan Risiko Waktu
Slipstream masih bergantung pada penemuan blok oleh MARA. Transaksi berada dalam antrean pribadi MARA hingga kolam mereka menambang blok, sehingga waktu sepenuhnya bergantung pada pangsa MARA dalam total hashrate Bitcoin.
Saat artikel diterbitkan, kolam MARA mengontrol lebih dari 5% dari total daya hash yang menggerakkan Bitcoin. MARA merekomendasikan pengguna untuk menetapkan biaya pada tingkat yang kompetitif namun tidak berlebihan, karena transaksi yang terjebak dalam antrean pribadi selama lonjakan biaya mungkin memerlukan waktu sebelum dikonfirmasi.
Apa yang Dihadapi Pemilik Coldcard
Komunitas Bitcoin luas melihat peluncuran ulang Slipstream secara terbuka sebagai alat praktis untuk mengatasi krisis keamanan, bukan sebagai perubahan permanen untuk sebagian besar transaksi. Untuk transfer sehari-hari, mempool publik tetap menjadi saluran standar. Namun, bagi pengguna Coldcard yang masih menyimpan koin pada frasa benih yang sudah dikompromikan, peneliti keamanan dan pengembang dompet menunjukkan Slipstream sebagai salah satu cara paling andal untuk mentransfer dana tanpa memberi tahu pelaku jahat sebelumnya.
Pantau terus perkiraan kerugian terkini seiring terungkapnya alamat-alamat yang dikompromikan, panduan tambahan dari Coldcard tentang versi firmware dan rentang nomor seri mana yang terpengaruh, dan apakah penambang lain akan mengikuti jejak MARA dengan menawarkan saluran pengiriman transaksi pribadi serupa.
