Para 'White Hat' Mengalahkan Para Penyerang Coldcard, Menyelamatkan Bitcoin Senilai Jutaan Dolar

Serangan terhadap Coldcard tampak seperti bencana yang jelas ketika bitcoin mulai menghilang dari dompet-dompet yang rentan pada musim panas ini. Para penyerang telah menemukan bahwa beberapa seed Coldcard dapat direkonstruksi secara offline, dan perlombaan pun tiba-tiba dimulai untuk mencapai koin-koin yang terpapar. Namun, penyelidikan Thorn telah mengungkap detail menarik dalam kisah tersebut.

Beberapa orang yang mengosongkan dompet-dompet tersebut sama sekali bukan pencuri. Mereka adalah peretas "white hat" yang berusaha mengalahkan para pencuri dalam merebut uang tersebut, dan setidaknya 52,37 BTC tampaknya selamat dari perlombaan tersebut.

Thorn Menemukan 52,37 BTC yang Ditransfer ke Sebuah Trust

“COLDCARD WHITE HAT MEMINDAHKAN DANA KE TRUST,” tulis Thorn pada hari Selasa, sebelum memaparkan apa yang telah ia temukan di blockchain. Menurut peneliti Galaxy tersebut, “52,37 BTC yang terdiri dari koin-koin dari Wave 2, Footprints AA, AU, AX” telah dikonsolidasikan ke alamat baru di blok 967.948.

Transaksi tersebut bahkan membawa pesan OP_RETURN yang berbunyi “claim:cryptorecoverytrust dot com,” yang secara efektif meninggalkan petunjuk di blockchain yang menjelaskan ke mana bitcoin yang diselamatkan itu pergi. Thorn menghitung bahwa koin-koin yang diselamatkan tersebut berjumlah “2,8% dari eksploitasi Coldcard.” Yang lebih penting, analisisnya mengubah gambaran seputar Wave 2, salah satu dari beberapa kelompok transaksi yang telah dilacak para peneliti sejak pencurian dimulai.

“Kami sekarang tahu bahwa ~40% dari Wave 2 sebenarnya adalah white hat yang mengumpulkan koin untuk melindungi dana korban,” jelas Thorn. Koin-koin tersebut, tambahnya, “sekarang tampaknya telah dikirim ke alamat yang dikendalikan oleh Crypto Recovery Trust,” sebuah lembaga perwalian di Wyoming yang didirikan untuk membantu white hat yang sah mengembalikan aset yang telah dipulihkan kepada para korban.

Angka-angka yang Semakin Aneh

52,37 BTC—senilai lebih dari $4,4 juta pada saat artikel ini ditulis—mungkin bukan seluruh hasil penarikan. Thorn memperhatikan adanya 3,0134 BTC lainnya yang masuk ke alamat Crypto Recovery Trust dalam transaksi yang sama, namun ia sengaja bersikap hati-hati dalam menghitungnya.

“Kami belum pernah melihat koin-koin ini sebelumnya,” tulisnya dalam utas X-nya, sambil menambahkan bahwa koin-koin tersebut “diperkirakan” merupakan dana Coldcard tambahan yang dipulihkan oleh para white hat, meskipun timnya belum dapat memastikan asal-usulnya.

Kehati-hatian tersebut penting karena Thorn sedang berusaha merekonstruksi serangan yang melibatkan jumlah uang yang jauh lebih besar. Perhitungannya mengenai Gelombang 1, 2, dan 3, bersama dengan dana perwalian, mencakup 1.393 BTC, atau 76,1% dari total kerugian Coldcard yang dipublikasikan akibat serangan tersebut. Gelombang 1 sendiri masih utuh sebesar 1.082,57 BTC. Gelombang 3 memiliki 116,98 BTC yang masih utuh, sementara 97,09 BTC telah digabungkan (coinjoined) atau dialihkan melalui Thorchain ke Ethereum, dan kemudian para penyerang menggunakan Tornado Cash untuk mencampur ether tersebut. Sebaliknya, jejak AX, AA, dan AU kini dianggap “100% white-hatted.”

Bagaimana dengan Sisa Bitcoin?

Misteri ini belum sepenuhnya terpecahkan. Thorn mengatakan para peneliti masih belum tahu apakah 60% sisa dana Gelombang 2 diambil oleh penyerang jahat atau oleh kelompok white-hat lain. Yang dapat ia katakan adalah bahwa kedua bagian tersebut tampaknya melibatkan operator yang berbeda. Thorn juga telah berbicara dengan korban Coldcard individu yang terwakili di kedua bagian Gelombang 2, memperkuat hubungan antara transaksi-transaksi tersebut dan insiden Coldcard yang lebih luas.

“Kami tidak tahu apakah 60% dana lainnya yang diambil dalam Gelombang 2 juga berasal dari pihak yang beretika,” tulis Thorn. Ia mengatakan bahwa, baik white hat maupun bukan, koin yang tersisa tampaknya telah ditangani oleh “operator (atau operator) yang berbeda” dari kelompok yang bitcoin-nya pada akhirnya sampai ke Crypto Recovery Trust. Dengan kata lain, para penyelidik kini dapat menjelaskan sebagian besar dari apa yang awalnya tampak seperti bitcoin curian, tetapi tumpukan besar lainnya masih menjadi teka-teki.

Membuktikan Siapa Pemilik Sebenarnya dari Bitcoin Tersebut

Pemulihan koin-koin tersebut menimbulkan masalah lain: Bagaimana sebuah trust menentukan siapa yang sebenarnya memilikinya ketika baik korban maupun penyerang mungkin memiliki kredensial yang mampu mengakses dompet tersebut? Ketika seorang pengguna X mengajukan pertanyaan itu kepada Thorn, dia mengatakan ada beberapa bukti yang dapat digabungkan daripada mengandalkan satu tes definitif.

“Ada beberapa cara untuk melakukannya,” jawab Thorn, sambil menyarankan bahwa “bukti-bukti tersebut secara keseluruhan dapat membentuk bukti yang lebih meyakinkan.” Di antara bukti yang ia sebutkan adalah forensik perangkat yang menunjukkan siapa yang pertama kali membuat seed, catatan know-your-customer (KYC) bursa yang menunjukkan penarikan ke alamat yang kemudian dikosongkan, korban yang sebelumnya memberikan xpub atau zpub (kunci publik yang diperluas) kepadanya, serta laporan awal FBI.

Crypto Recovery Trust juga memungkinkan korban Coldcard untuk mencari alamat mereka guna menentukan apakah bitcoin mereka mungkin termasuk di antara dana yang diselamatkan oleh para white hat.

Bug Coldcard yang Memicu Perburuan

Di balik kerja detektif Thorn terdapat bug firmware Coldcard yang melemahkan proses pembangkitan seed dompet, sehingga memungkinkan penyerang merekonstruksi seed dari jarak jauh. Mulai 30 Juli, eksploitasi tersebut akhirnya memengaruhi lebih dari 8.600 alamat dan sekitar 1.779 BTC.

Temuan terbaru Thorn menambahkan twist baru. Pada dasarnya, para white hat juga menemukan koin-koin yang rentan, mengalahkan penyerang dalam mengamankan 52,37 BTC dan memindahkannya ke tempat penyimpanan yang aman. Kini tantangannya adalah membuktikan kepemilikan dan mengembalikan bitcoin tersebut kepada pemilik yang sah.