Penjualan Trezor, Onekey, dan Bitbox Melonjak di Tengah Krisis Coldcard; Model Keamanan Terus Berkembang

Dari 13 produsen dompet hardware yang dihubungi Bitcoin.com News untuk dimintai komentar, Trezor, Bitbox, dan Onekey mengonfirmasi bahwa penjualan mereka melonjak pada bulan Agustus. Ledger menolak memberikan komentar mengenai penjualan bulanan mereka, sementara Block, produsen Bitkey yang terdaftar di bursa, terikat oleh laporan triwulanan mereka.

Meskipun tidak ada perusahaan yang mengungkapkan angka pastinya, Bitbox adalah yang paling spesifik, dengan menyatakan bahwa penjualan melalui kartu kreditnya melonjak sekitar sepuluh kali lipat dibandingkan dengan angka dasar pada minggu-minggu sebelumnya. Angka ini belum termasuk penjualan yang dilakukan melalui metode pembayaran lainnya.

"Kami telah melihat lonjakan penjualan, sebagian besar berasal dari Amerika Utara, di mana diduga Coldcard memiliki pangsa pasar terbesar," kata CEO Bitbox, Douglas Bakkum, kepada Bitcoin.com News.

Tanda yang Menggembirakan bagi Penyimpanan Mandiri

Sementara itu, Trezor menyatakan bahwa mereka juga mengalami peningkatan penjualan, terutama pada produk-produk yang khusus untuk Bitcoin. Meskipun perusahaan tersebut tidak merinci angkanya, Kepala Keamanan Trezor, Jan Komárek, menyoroti bahwa lonjakan ini merupakan tanda yang menggembirakan bagi seluruh industri Bitcoin.

"Bagi kami, hal yang lebih menarik adalah apa yang disiratkan oleh hal tersebut: sepertinya orang-orang yang terdampak oleh situasi Coldcard beralih mencari dompet hardware lain daripada menyerah pada penyimpanan mandiri," ujarnya, sambil menambahkan bahwa ini adalah "kesimpulan yang menggembirakan, bahwa respons terhadap masa sulit adalah tetap mengendalikan kunci mereka sendiri, bukan mundur darinya."

Namun, menurut para analis industri, banyak pengguna dompet perangkat keras yang mengirimkan dana mereka ke bursa kripto atau memindahkan modal mereka ke ETF, sehingga meninggalkan penyimpanan mandiri. Dalam kedua kasus tersebut, tidak jelas seberapa besar migrasi ini atau apakah hal itu hanyalah langkah sementara sebelum pengguna kembali ke penyimpanan mandiri.

Onekey, meski juga mencatat peningkatan penjualan, mencatat bahwa hal ini mungkin juga dipengaruhi oleh faktor lain, termasuk siklus produk masing-masing. Menurut perusahaan tersebut, krisis Coldcard memicu diskusi yang jauh lebih luas mengenai masalah keamanan dompet perangkat keras yang biasanya tidak terlihat oleh pengguna akhir, seperti pembangkitan frasa benih.

Namun, eksploitasi firmware Coldcard memicu diskusi dan tindakan serupa tidak hanya di kalangan pengguna akhir tetapi juga di kalangan produsen dompet perangkat keras. Pertama, insiden tersebut mendorong tim-tim tersebut untuk meninjau model keamanan mereka saat ini.

Apa yang Telah Dilakukan oleh Para Produsen Dompet

Trezor meninjau proses pembangkitan frasa benihnya secara khusus untuk mengantisipasi mode kegagalan yang dieksploitasi dalam kasus Coldcard; BitBox melakukan “peninjauan mendetail lainnya” terhadap kode generator bilangan acaknya, sementara Onekey menyatakan telah melakukan verifikasi end-to-end tambahan terhadap jalur entropi dan pembangkitan frasa benih di seluruh jajaran dompet perangkat kerasnya.

Sebagaimana dilaporkan oleh Bitcoin.com News, secara terpisah dan tidak terkait dengan Coldcard, BitBox mengungkap dan memperbaiki bug firmware-nya sendiri pada bulan Agustus ini. Belum ada laporan mengenai eksploitasi. Sementara itu, pada bulan yang sama, Trezor mengungkapkan bahwa hampir 14.000 pelanggannya terdampak oleh kebocoran data di salah satu penyedia layanan pengiriman Trezor.

Dalam kedua kasus tersebut, pertarungan keamanan utama masih menunggu di depan, seiring dompet perangkat keras untuk bitcoin dan aset kripto lainnya menyesuaikan diri dengan realitas baru yang dipicu oleh AI.

Dua Hal yang Perlu Diperhatikan

"Para penyerang sudah bekerja dengan kecepatan mesin, jadi kita juga harus demikian agar tetap selangkah lebih maju dari mereka," kata Charles Guillemet, CTO Ledger, sambil menambahkan bahwa saat ini langkah pertahanan masih bergerak lebih lambat daripada para penyerang. Setidaknya, menurutnya, selang waktu antara peluncuran patch dan pemanfaatan patch tersebut untuk menyerang semakin menyempit.

CTO tersebut menekankan bahwa perusahaan sekarang harus fokus pada dua hal: meningkatkan pengungkapan informasi dan edukasi pengguna.

"Pertama, pengungkapan yang bertanggung jawab perlu berkembang seiring dengan perbaikan yang lebih cepat, jadwal pengungkapan yang lebih singkat, dan strategi migrasi yang mengasumsikan bahwa penyerang yang cakap dan dibantu AI merupakan bagian dari model keamanan, bukan sekadar peningkatan opsional," kata Guillemet kepada Bitcoin.com News.

Selain itu, menurutnya, membantu orang-orang memahami dompet perangkat keras "akan menjadi hal yang sangat penting untuk menjaga keamanan industri ini."

Perbarui Bahkan Perangkat Elektronik Rumah Anda

Sehubungan dengan hal tersebut, dalam “refleksi mereka mengenai insiden Coldcard,” para pengembang dompet Blockstream Jade mendesak pengguna dompet perangkat keras untuk selalu memperbarui perangkat lunak mereka. Blockstream Jade baru saja merilis pembaruan firmware dengan sejumlah perbaikan. Namun, menurut tim tersebut, selain dompet perangkat keras, pengguna juga harus memastikan aplikasi, sistem operasi, perangkat, router, dan bahkan peralatan rumah tangga mereka tetap diperbarui.

"Menjaga keamanan adalah proses berkelanjutan, dan Anda sebagai pengguna juga harus turut berpartisipasi," tegas mereka, sambil menambahkan bahwa bug Coldcard merupakan "kasus yang disayangkan di mana pengguna tidak dapat dilindungi dengan melakukan pembaruan" pada perangkat lunak dan firmware mereka.

Sementara itu, Onekey menambahkan bahwa keamanan dompet perangkat keras perlu dibangun di atas entropi dan penyimpanan kunci yang didukung perangkat keras, perangkat lunak sumber terbuka yang dapat diverifikasi, tinjauan keamanan independen, pemisahan yang ketat antara komponen-komponen yang sangat penting bagi keamanan, serta verifikasi transaksi yang jelas bagi pengguna.

"Seiring dengan AI yang menurunkan biaya analisis perangkat lunak dan otomatisasi serangan, tujuannya adalah memastikan bahwa menemukan satu kelemahan implementasi saja tidak cukup untuk membahayakan seluruh model keamanan," kata produsen dompet tersebut.

Rencana Keamanan Jangka Pendek, Menengah, dan Panjang

Perusahaan-perusahaan tersebut sendiri sudah menerapkan perubahan keamanan jangka pendek, menengah, dan panjang. Misalnya, Trezor, "sebagai tanggapan langsung atas temuan Coldcard," menambahkan "pemeriksaan validasi lebih lanjut" terhadap entropi yang dihasilkan secara internal oleh perangkat itu sendiri saat memverifikasi apakah entropi eksternal benar-benar digunakan.

"Selain itu, tinjauan kami telah mendorong kami untuk memperkuat pengujian internal dan mekanisme peringatan dini seputar generator uji yang tidak aman, serta memperluas cara kami memverifikasi jalur panggilan dari setiap sumber entropi," kata Komárek, sambil mencatat bahwa generator yang tidak aman tersebut hanya ada untuk pengujian internal.

Perusahaan ini juga sedang menindaklanjuti laporan dari peneliti keamanan independen dan, dalam jangka menengah, berencana melakukan pengujian penetrasi baru terhadap fitur-fitur inti firmware, yang akan dilaksanakan oleh "lembaga keamanan eksternal yang terkemuka." Laporan audit keamanan direncanakan akan dipublikasikan.

"Dalam jangka panjang, fokus kami adalah untuk selalu selangkah lebih maju dalam menghadapi serangan yang didukung AI, bukan sekadar bereaksi terhadapnya," kata Kepala Keamanan tersebut, sementara produsen dompet kripto lainnya juga menekankan bahwa mereka sudah menggunakan AI untuk meninjau kode mereka, di samping program hadiah.

"Laboratorium penelitian Donjon kami (laboratorium peretas white hat) didirikan untuk mencoba meretas produk kami sebelum orang lain melakukannya, dan secara internal kami memanfaatkan LLMs secara intensif untuk mencari kerentanan dalam produk kami sendiri," tambah Guillemet dari Ledger.

Onekey mengatakan bahwa mereka kini berfokus pada penguatan tinjauan jalur kode yang kritis bagi keamanan, pembangunan firmware, pembangkitan entropi, dan alur penandatanganan transaksi, sementara dalam jangka menengah, fokus mereka akan tertuju pada verifikasi transaksi, merujuk pada solusi Clear Signing, yang relevan bagi banyak aset kripto utama di luar bitcoin.

Tanggung Jawab Bersama dan Bug Kritis Baru

Sementara itu, para peneliti keamanan di Block, produsen Bitkey, berperan penting dalam membantu industri Bitcoin dan dompet perangkat keras selama krisis Coldcard, karena mereka secara aktif terlibat dengan komunitas untuk membagikan temuan kritis dan mengoordinasikan upaya tanggapan.

"Kami membagikan temuan kami secara transparan baik melalui diskusi publik di X maupun saluran pribadi karena kami percaya bahwa ketika kerentanan keamanan memengaruhi ekosistem, semua produsen memiliki tanggung jawab untuk bertindak cepat," kata perusahaan tersebut kepada Bitcoin.com News, sambil menambahkan bahwa dompet perangkat keras harus tetap memegang kendali atas model keamanan kunci.

Saat artikel ini ditulis, pada 26 Agustus, laporan mengenai "bug kritis lainnya pada vendor dompet perangkat keras besar" mulai beredar. Rob Segers, seorang konsultan keamanan Bitcoin dan pendiri Bitsaga, yang menemukan bug tersebut bersama dengan "beberapa bug lain dengan tingkat keparahan tinggi," mengatakan bahwa vendor yang tidak disebutkan namanya tersebut telah mengonfirmasi adanya bug-bug ini, "tetapi perbaikan sudah disertakan dalam rilis mendatang."

Menurut Segers, bug kritis tersebut ditemukan dalam “firmware perangkat keras resmi, namun memerlukan perangkat lunak host yang berbahaya” untuk mencuri dana. Ini berarti bug tersebut dapat dieksploitasi jika, misalnya, pengguna mengunduh dompet palsu. Marek "Slush" Palatinus, salah satu pendiri Trezor, mengonfirmasi bahwa celah keamanan yang dilaporkan tersebut tidak terkait dengan dompet ini. Sementara itu, Seger melaporkan bahwa ia telah menemukan dua celah keamanan lainnya, yang menuai kritik karena dianggap menimbulkan kepanikan.

Tetap waspada.