Coinkite Mengeluarkan Peringatan kepada Pemilik Coldcard Mk3 Setelah Munculnya Laporan Kerugian Bitcoin Senilai $38 Juta

Insiden dompet perangkat keras jarang terjadi sebagai peristiwa yang terisolasi. Ketika alamat yang telah lama tidak aktif mulai bergerak dalam pola yang terkoordinasi dengan ketat, waktu kejadiannya saja sudah patut dicermati. Hal itu terjadi pada 30 Juli 2026, ketika diduga 594 BTC, senilai sekitar $38 juta, dipindahkan dari sekitar 500 alamat dengan tanda tangan tunggal dalam waktu kurang lebih 25 menit.

Banyak dari dompet tersebut telah tidak aktif selama bertahun-tahun, dengan saldo yang biasanya berkisar antara 0,15 hingga 0,26 BTC. Pada saat artikel ini ditulis, meskipun ada diskusi luas di dunia maya, perusahaan belum mengonfirmasi apakah transfer hampir 600 BTC tersebut terkait langsung dengan peringatan keamanan Coldcard.

Apa Kata Coinkite

CEO Coinkite, Rodolfo Novak, yang dikenal di industri ini sebagai NVK, mengatakan bahwa perusahaan menangani laporan-laporan tersebut dengan segera. "Kami semua sedang bekerja keras untuk menyelidiki semuanya secara mendalam, posting teknis akan segera dirilis," kata Novak di X. Ia menambahkan bahwa saluran komunikasi perusahaan "dibombardir" dengan pertanyaan setelah munculnya laporan-laporan tersebut. Dalam pembaruan terpisah, Novak menekankan, "Kami telah melakukan banyak penyelidikan terkait laporan COLDCARD, postingan blog akan segera dirilis."

Posting blog pemberitahuan keamanan perusahaan tersebut menyebutkan rentang perangkat tertentu yang terpengaruh. Siapa pun yang menghasilkan seed pada Mk3 yang menjalankan versi firmware 4.0.1, yang dirilis pada Maret 2021, hingga versi 5.0.3—rilis terakhir yang mendukung Mk3—mungkin terpengaruh. Coinkite menjelaskan bahwa analisis awalnya menunjukkan model Mk4, Q, dan Mk5 tidak terpengaruh.

Coinkite menggambarkan peringatan tersebut sebagai cerminan temuan awal, dan menyatakan bahwa tinjauan teknis formal akan menyusul seiring berlanjutnya penyelidikan. Para peneliti komunitas telah meninjau aktivitas on-chain yang terkait dengan laporan tersebut. Diskusi berfokus pada kemungkinan adanya kelemahan dalam keacakan saat pembangkitan seed pada versi firmware Mk2 dan Mk3 yang lebih lama, bukan karena adanya pelanggaran rantai pasokan. Pada saat publikasi, Coinkite belum mengonfirmasi penyebab utamanya.

Pengguna Frasa Sandi Menghadapi Risiko yang Lebih Rendah

Menurut peringatan tersebut, dompet yang dilindungi dengan frasa sandi BIP-39—sebuah frasa yang ditambahkan pengguna dan berbeda dari PIN perangkat—tampaknya memiliki risiko minimal berdasarkan analisis awal Coinkite. Perusahaan menyarankan pengguna frasa sandi untuk terus melindungi frasa tersebut dan menghindari memasukkannya di perangkat atau situs web yang tidak tepercaya.

Bagi pemilik Mk3 yang tidak menggunakan frasa sandi, Coinkite merekomendasikan untuk bermigrasi ke seed baru yang dihasilkan pada perangkat yang tidak terpengaruh. Perusahaan tersebut menyatakan bahwa proses ini tidak boleh terburu-buru. Mereka menyarankan untuk mengirim transaksi uji coba kecil terlebih dahulu, memverifikasi dompet baru dan alamat penerima di layar perangkat, serta menyimpan cadangan lama hingga migrasi dikonfirmasi.

Opsi Sementara

Coinkite menguraikan dua langkah sementara bagi pemilik yang hanya memiliki perangkat Mk3:

• Tambahkan frasa sandi BIP-39 yang kuat dan unik, lalu pindahkan dana ke dompet yang baru terlindungi.
• Buat seed pengganti menggunakan jalur impor dadu (dice-roll) Mk3, yang tidak bergantung pada generator angka acak perangkat, meskipun Coinkite menggambarkan ini sebagai prosedur lanjutan yang memerlukan verifikasi cermat.

Coinkite telah menerbitkan langkah-langkah teknis lengkap dalam pemberitahuannya, yang tersedia di blog perusahaan. Perusahaan menjelaskan bahwa penyelidikannya masih berlangsung dan rincian tambahan akan menyusul. Sejak diluncurkan, Coldcard telah membangun reputasi sebagai pilihan dompet perangkat keras yang berfokus pada keamanan dan terisolasi (air-gapped), dan laporan-laporan ini telah menarik perhatian luas di seluruh komunitas Bitcoin saat para pemilik mengevaluasi perangkat mereka sendiri.