Pencurian Coldcard Melonjak Menjadi $88 Juta Seiring Lonjakan Setoran di Bursa dan Pergerakan BTC Lama

Gelombang Ketiga Memperluas Kerugian

Galaxy Research mengungkapkan di X bahwa tiga gelombang yang diduga tersebut menguras sekitar 4.585 alamat dan mencuri bitcoin senilai sekitar $88,6 juta pada saat analisis dilakukan. Kelompok riset tersebut mengingatkan bahwa temuan mereka masih bersifat awal dan sepenuhnya didasarkan pada data blockchain Bitcoin yang tersedia untuk umum. Dasbor lain bernama Coldcard Sweep Watch mencatat jumlah pencurian sebesar 1.158,8480 BTC pada pukul 17.00 EDT hari Sabtu.

Menurut para peneliti Galaxy, gelombang pertama adalah yang terbesar, menguras 1.082,65 BTC dari 1.195 alamat dalam waktu 41 menit pada 30 Juli. Operasi kedua mengumpulkan 76,16 BTC dari 1.478 alamat pada hari berikutnya. Gelombang ketiga berlangsung dari 31 Juli hingga 1 Agustus dan menguras sekitar 208 BTC dari 1.912 alamat.

Operasi ketiga tersebut tampaknya tidak sekadar kelanjutan dari dua gelombang sebelumnya. Gelombang 1 dan 2 menyalurkan dana melalui sejumlah kecil alamat pengumpul dan penyimpanan. Sebaliknya, gelombang ketiga mengirimkan dana korban ke 293 brankas P2WSH terpisah, yaitu jenis alamat bitcoin yang dapat menyembunyikan kondisi pengeluarannya hingga koin tersebut dipindahkan.

Brankas-brankas terpisah tersebut mempersulit pengamat luar untuk mengelompokkan dana tersebut. Galaxy menjelaskan bahwa perubahan tersebut dapat mengindikasikan bahwa penyerang asli membangun kembali operasinya setelah penyapu dana pertama terungkap ke publik, atau bahwa pihak lain menemukan kumpulan alamat yang rentan yang sama. Catatan blockchain saja tidak dapat menentukan penjelasan mana yang benar.

Galaxy mengaitkan aktivitas tersebut dengan rilis firmware Coinkite Coldcard yang rentan, yang diluncurkan pada 17 Maret 2021. Tidak ada koin yang terpengaruh yang dibuat sebelum rilis tersebut, dan alamat korban median telah tidak aktif selama sekitar 3,5 tahun, sesuai dengan perilaku yang diharapkan dari penyimpanan dingin jangka panjang.

Setoran di Bursa Menjadi Sinyal Kedua

Saat para peneliti memetakan dugaan pencurian tersebut, bursa kripto terpusat mencatat lonjakan tajam dalam setoran bitcoin pada 31 Juli. Data yang dibagikan oleh Sani dari Timechainindex.com menunjukkan arus masuk bersih ke bursa sebesar 11.163 BTC sepanjang hari itu.

River menerima sekitar 3.679 BTC, diikuti oleh Binance dengan 3.224 BTC, Kraken dengan 2.848 BTC, dan OKX dengan 1.291 BTC. Entitas terpusat secara kolektif menerima 15.205 BTC dari alamat yang tidak teridentifikasi, sehingga meningkatkan kepemilikan yang dilaporkan secara signifikan dalam satu hari.

Arus masuk besar ke bursa sering kali menarik perhatian karena koin yang disetorkan ke platform perdagangan mungkin disiapkan untuk dijual, dijadikan jaminan, atau dipindahkan ke penyimpanan internal. Data tersebut tidak membuktikan bahwa setoran pada 31 Juli berasal dari pengguna Coldcard, penyerang, atau siapa pun yang merespons insiden tersebut secara langsung.

Waktunya tetap cukup mencolok. Ketakutan akan keamanan pasti dapat mendorong pemegang Bitcoin untuk mengatur ulang penyimpanan, memindahkan koin ke bursa, atau meninggalkan pengaturan dompet yang tidak lagi mereka percayai. Hal ini juga bisa bertepatan dengan transfer institusional yang tidak terkait, setoran pelanggan, dan pembukuan bursa, sehingga lonjakan arus masuk ini penting namun tidak dapat disimpulkan secara pasti.

Banyak Bitcoin yang Tidak Aktif Mulai Bergerak

Perkembangan ketiga muncul ketika sejumlah besar alamat yang dibuat antara tahun 2010 dan 2017 mulai memindahkan koin setelah tidak aktif selama sembilan hingga 16 tahun, menurut statistik yang dikumpulkan Bitcoin.com News dari btcparser.com. Transaksi yang terlihat dari 30 Juli hingga 1 Agustus berjumlah sekitar 306 BTC, termasuk transfer berulang sebesar 10 BTC dan 30 BTC.

Satu alamat yang dibuat pada 2 Juli 2010 memindahkan transaksi coinbase lama sebesar lebih dari 50 BTC. Transaksi lainnya mencakup 37,8 BTC dari alamat tahun 2014 dan serangkaian transfer terkoordinasi dari tiga dompet yang dibuat pada 29 Juli 2017. Ketiga dompet tersebut memindahkan 37,5 BTC dan dua jumlah terpisah sebesar 30 BTC dalam blok yang sama.

Aktivitas dompet yang tidak aktif ini tidak dapat dikaitkan dengan serangan Coldcard berdasarkan data yang tersedia. Faktanya, Galaxy Research menjelaskan bahwa koin milik korban yang diduga semuanya dibuat setelah firmware yang rentan dirilis pada tahun 2021, sementara banyak dompet yang tidak aktif dan baru aktif tersebut telah menyimpan bitcoin bertahun-tahun sebelum Coldcard ada.

Namun, sama seperti aktivitas pertukaran yang dilaporkan Sani, pemegang bitcoin (BTC) yang telah lama tidak aktif mungkin mempertanyakan pengaturan keamanan mereka dan memindahkan dana ke alternatif lain, termasuk layanan kustodian.

Sejauh yang kami ketahui, Galaxy Research mengungkapkan bahwa mereka sedang memantau tujuh alamat penyimpanan dari dua gelombang pertama dan 293 brankas dari gelombang ketiga. Pengeluaran pertama dari brankas-brankas tersebut dapat mengungkap skrip mereka dan menunjukkan apakah kunci penandatanganan atau struktur pengeluaran yang sama muncul di beberapa alamat.

Pada saat berita ini ditulis, sentimen online tetap sangat bearish, dengan BTC diperdagangkan di bawah $63.000, tepatnya di $62.326 per koin.