Dompet Perangkat Keras Coldcard Diretas: Peretas Menarik 594 Bitcoin dalam 25 Menit
Dompet perangkat keras Coldcard berhasil diretas: peretas menarik 594 bitcoin dalam 25 menit.
Insiden ini merusak reputasi dompet perangkat keras sebagai metode penyimpanan mata uang digital teraman. Pada 30 Juli 2026, penyerang berhasil menarik 594,5 BTC (sekitar $40 juta) dari 500 alamat.
Akar masalahnya adalah bug perangkat lunak yang tak terdeteksi selama lima tahun. Kesalahan pengetikan dalam sebuah makro secara tidak sengaja menonaktifkan fungsi chip khusus untuk menghasilkan angka acak yang benar-benar aman di dompet Coldcard sejak Maret 2021. Alih-alih, perangkat menghasilkan kunci berdasarkan data yang dapat diprediksi, seperti nomor seri prosesor dan waktu sistem, sehingga sangat mengurangi keamanan kriptografinya.
Peretas tidak memerlukan akses fisik. Mereka hanya perlu memahami parameter generator yang bermasalah ini dan melakukan pencarian brute-force secara offline untuk menghasilkan kemungkinan frasa seed, menemukan alamat dengan saldo di blockchain publik, dan menandatangani transaksi penarikan.
Perusahaan di balik Coldcard, Coinkite, awalnya menyatakan versi baru tidak rentan, tetapi kemudian mengakui semua perangkat yang menjalankan firmware yang terpengaruh berisiko. CEO mereka meminta maaf namun mengecualikan kompensasi finansial kepada korban.
Pemilik yang terdampak harus segera:
1. Memperbarui firmware ke versi aman (4.2.0 untuk Mk3, 5.6.0 untuk Mk4/Mk5, atau 1.5.0Q untuk model Q).
2. Menghasilkan frasa seed baru yang benar-benar acak pada perangkat yang telah diperbarui.
3. Memindahkan semua dana ke alamat baru yang dibuat dari frasa seed tersebut.
Penggunaan frasa sandi BIP-39 dapat membantu, tetapi tidak menggantikan kebutuhan membuat kunci baru.
Insiden ini menyoroti bahwa bahkan perangkat keras khusus memerlukan audit kode independen yang berkelanjutan, terutama untuk fungsi kriptografi. Beberapa lanalisis, termasuk dari Galaxy Research, memperkirakan total dana yang dicuri bisa mencapai 1.000 BTC. Kasus ini mengingatkan pada insiden serupa di masa lalu, seperti bug OpenSSL di Debian, dan mempertanyakan apakah audit otomatis oleh AI dapat sepenuhnya menggantikan tinjauan manusia pada kode kritis.
cryptonews.ru16j yang lalu
