Penjelasan Mengenai Kerentanan Coldcard: Siapa yang Kehilangan Bitcoin dan Siapa yang Berisiko

Menurut analisis mendalam dari Galaxy Research, pencurian inti tersebut terjadi dalam serangkaian serangan yang terkoordinasi dengan ketat selama sekitar 25 menit, sementara analisis yang lebih luas kemudian mengaitkan sekitar 1.196 alamat dan sebanyak 1.083 bitcoin, senilai hampir $70 juta, dengan aktivitas yang berlangsung selama sekitar 41 menit. Angka akhir dapat berubah seiring para penyelidik terus melacak transaksi di blockchain Bitcoin publik.

Bug Berusia 5 Tahun Menyerang Dompet Bitcoin di Seluruh Dunia

Dompet-dompet yang terkena dampak sebagian besar milik pemegang jangka panjang yang menghasilkan benih pemulihan (recovery seeds) menggunakan perangkat Coldcard yang menjalankan firmware rentan yang dirilis mulai Maret 2021. Coldcard adalah dompet perangkat keras yang terisolasi dari internet (air-gapped) buatan produsen Kanada Coinkite, yang dirancang untuk menjaga kunci Bitcoin (BTC) terpisah dari perangkat yang terhubung ke internet.

Banyak alamat yang dikosongkan tersebut telah tidak aktif selama bertahun-tahun. Penyerang bertindak dengan cepat, membayar biaya transaksi tetap yang tinggi, dan tidak meninggalkan sisa output, yang berarti setiap alamat dikosongkan sepenuhnya. Pola tersebut mengindikasikan adanya operasi otomatis yang menggunakan daftar kunci pribadi yang telah disiapkan, bukan pelanggan yang memindahkan dananya secara mandiri.

Pencurian tersebut tidak disebabkan oleh phishing, malware di komputer pengguna, pencurian perangkat fisik, atau pelanggaran jarak jauh konvensional. Sebaliknya, kesalahan firmware melemahkan keacakan yang digunakan saat beberapa perangkat Coldcard membuat seed dompet. Seed-seed tersebut tampak normal tetapi berasal dari rentang kombinasi yang jauh lebih kecil daripada yang dijanjikan kepada pengguna.

Generator Angka Acak Coldcard Diam-diam Gagal

Benih dompet Bitcoin adalah rahasia, biasanya ditampilkan sebagai 12 atau 24 kata, yang digunakan dompet untuk menghasilkan alamat dan kunci pribadinya. Benih 12 kata yang dihasilkan dengan benar mengandung 128 bit entropi, sebuah ukuran teknis yang menggambarkan jumlah kombinasi yang sangat besar sehingga menebak benih tersebut secara efektif tidak mungkin.

Perangkat Coldcard seharusnya memperoleh keacakan tersebut dari generator bilangan acak perangkat keras di dalam mikrokontroler perangkat. Komponen tersebut mengambil data dari gangguan listrik fisik yang seharusnya tidak dapat diprediksi oleh pengamat dari luar.

Namun, selama migrasi pustaka perangkat lunak pada tahun 2021, Coinkite mengungkapkan bahwa dua fungsi bilangan acak dengan antarmuka yang sama menjadi tercampur aduk. Salah satunya mengakses generator perangkat keras yang tepat pada perangkat. Yang lainnya adalah cadangan perangkat lunak yang lemah yang dimaksudkan untuk papan tanpa perangkat keras yang sesuai.

Sebuah pengaturan konfigurasi menonaktifkan jalur perangkat keras MicroPython default karena Coinkite menyediakan pembungkus perangkat kerasnya sendiri. Perangkat lunak tersebut hanya memeriksa apakah pengaturan tersebut ada, bukan apakah pengaturan tersebut diaktifkan. Karena pengaturan tersebut ada tetapi diberi nilai nol, proses pembangunan berhasil diselesaikan, sementara pembangkitan benih secara diam-diam beralih ke generator perangkat lunak yang lebih lemah.

Data Pabrik dan Waktu Menggantikan Keacakan Sejati

Solusi cadangan tersebut sangat bergantung pada informasi perangkat yang dapat diprediksi, termasuk pengenal chip yang mirip dengan nomor seri dan nilai jam internal yang terkait dengan waktu startup. Seorang penyerang yang dapat mempersempit masukan tersebut akan menghadapi ruang pencarian yang jauh lebih kecil daripada rentang 128-bit yang diharapkan dari benih yang dihasilkan secara aman.

Coinkite memperkirakan ruang pencarian efektif untuk benih Mk3 yang rentan sekitar 40 bit berdasarkan asumsi saat ini. Angka tersebut masih merupakan jumlah kemungkinan yang besar, tetapi dapat dicari dengan peralatan komputasi khusus, terutama ketika penyerang dapat membandingkan benih kandidat dengan alamat bitcoin yang terlihat di blockchain.

Model Coldcard yang lebih baru, termasuk Mk4, Q, dan Mk5, menambahkan unsur acak dari elemen aman. Namun, hanya sebagian kecil yang mencapai generator yang terpengaruh, sehingga menyisakan entropi efektif sekitar 72 bit pada benih yang dibuat sebelum firmware yang telah diperbaiki diinstal. Hal itu lebih kuat daripada jalur Mk3, tetapi masih di bawah standar 128-bit yang dimaksudkan.

Perbedaannya mirip dengan mengganti kombinasi kunci yang benar-benar acak dengan kombinasi yang diturunkan dari nomor seri kunci dan waktu pertama kali kunci tersebut dinyalakan. Kombinasi yang dihasilkan mungkin terlihat acak, tetapi seseorang yang mengetahui rumusnya dan dapat memperkirakan informasi awalnya dapat mereproduksinya. Banyak pengguna yang beralih, tidak hanya dari perangkat Mk3, tetapi juga dari Mk4, Q, dan Mk5.

Coinkite Mengimbau Pengguna untuk Membuat Seed yang Sepenuhnya Baru

Coinkite merilis peringatan keamanan dan memperbaiki firmware setelah menyadari adanya ancaman aktif tersebut. Perusahaan tersebut mengatakan bahwa pengguna yang membuat seed pada firmware yang terpengaruh harus membuat seed yang benar-benar baru menggunakan versi yang telah diperbaiki dan mentransfer bitcoin mereka ke alamat yang dikendalikan oleh seed tersebut.

Hanya menginstal pembaruan saja tidak cukup. Seed yang dibuat di bawah sistem yang bermasalah akan tetap rentan secara permanen karena pembaruan firmware tidak dapat menambahkan keacakan pada kata-kata yang sudah ada.

Coinkite menyarankan pengguna untuk memperbarui perangkat mereka, membuat seed baru, memverifikasi cadangan dan sidik jari dompet, mengonfirmasi alamat penerima, mengirim transaksi uji coba kecil, dan kemudian memindahkan sisa saldo. Pengguna disarankan untuk menyimpan cadangan lama hingga transfer dikonfirmasi, tetapi tidak boleh lagi menganggap seed lama tersebut aman.

Perusahaan tersebut mengidentifikasi rilis yang telah diperbaiki, termasuk Mk3 versi 4.2.0 atau yang lebih baru, Mk4 dan Mk5 versi 5.6.0 atau yang lebih baru, serta Q versi 1.5.0Q atau yang lebih baru, bersama dengan versi Edge yang sesuai. Produk Tapsigner, Opendime, dan Satscard menggunakan kode yang berbeda dan dilaporkan tidak terpengaruh.

Keamanan Tambahan Melindungi Beberapa Pemilik Coldcard

Pengguna yang menambahkan cukup banyak lemparan dadu independen saat menghasilkan seed terlindungi secara substansial karena keacakan yang mereka hasilkan sendiri mengalahkan masukan perangkat lunak yang cacat. Coinkite menyatakan bahwa setidaknya 50 lemparan dadu acak yang adil memberikan perlindungan memadai terhadap masalah ini, meskipun lemparan tambahan dapat memberikan margin keamanan yang lebih luas.

Kata sandi BIP-39 yang kuat juga menciptakan dompet terpisah yang tidak dapat direkonstruksi hanya dari kata-kata seed saja. Dompet multi-tanda tangan, yang memerlukan kunci dari beberapa perangkat atau lokasi sebelum bitcoin dapat dipindahkan, sebagian besar atau sepenuhnya terlindungi ketika seed Coldcard yang rentan hanya mewakili satu bagian dari pengaturan penandatanganan.

Namun, langkah-langkah pengamanan tersebut bersifat opsional. Banyak korban tampaknya telah mengikuti saran keamanan standar yang tersedia saat itu: Beli dompet perangkat keras yang terpercaya, hasilkan seed secara offline, lindungi cadangannya, dan jangan pernah memasukkannya ke perangkat yang terhubung ke internet.

Coinkite Mengakui Kesalahan Saat Perdebatan Beralih ke AI

CEO Coinkite, Rodolfo Novak, yang dikenal luas sebagai NVK, meminta maaf secara terbuka pada 31 Juli dan mengatakan bahwa perusahaannya menerima tanggung jawab penuh atas kegagalan firmware tersebut. “Saya minta maaf dan merasa sangat terpukul. Tim kami sangat sedih mendengar berita kemarin," tulis Novak. Ia mengakui bahwa hotfix tersebut mengamankan seed yang baru dibuat, tetapi tidak dapat memperbaiki seed yang dihasilkan menggunakan perangkat lunak yang rentan.

Novak menjelaskan bahwa Coinkite akan menerbitkan laporan teknis lengkap setelah memverifikasi detailnya dan akan membantu pengguna yang terdampak dalam mengajukan laporan polisi, klaim asuransi, atau penyelidikan independen. Ia juga memperingatkan para pengembang bahwa alat kecerdasan buatan (AI) kini dapat memindai kode publik lama untuk mencari kelemahan tersembunyi lebih cepat daripada proses peninjauan tradisional.

Coinkite menekankan bahwa mereka harus mengasumsikan penyerang menggunakan AI untuk memeriksa firmware open-source-nya, meskipun belum ada bukti yang menunjukkan bagaimana celah tersebut ditemukan. Perusahaan tersebut juga mengakui bahwa tinjauan terbaru yang dilakukan dengan model AI terkemuka gagal mengidentifikasi masalah tersebut. Beberapa produsen dompet perangkat keras pesaing telah menggunakan media sosial untuk menyatakan bahwa produk mereka tidak terpengaruh.

"Ledger tidak terpengaruh oleh peringatan Coldcard Mk3 yang baru-baru ini dipublikasikan," kata perusahaan tersebut kepada pengguna X setelah insiden Coldcard. "Perangkat Ledger menggunakan True Random Number Generator (TRNG) bersertifikat yang terintegrasi langsung ke dalam chip Secure Element kami, yang menghasilkan entropi penuh 256 bit untuk setiap Frasa Pemulihan Rahasia yang terdiri dari 24 kata."

"Pengguna Trezor: dana Anda aman," jelas produsen dompet hardware Trezor pada hari Jumat. "Masalah Coldcard baru-baru ini terbatas pada firmware khusus mereka sendiri dan cara beberapa perangkat mereka menghasilkan keacakan. Trezor tidak menggunakan kode tersebut."

Akun Trezor X menambahkan:

"Kami selalu menggabungkan beberapa sumber keacakan independen (perangkat keras + host + elemen aman pada model terbaru). Kami sungguh menyesal kepada semua orang yang telah kehilangan bitcoin."

Hal yang Harus Diperhatikan Pengguna Coldcard Selanjutnya

Identitas penyerang masih belum diketahui, dan bitcoin yang dicuri dapat dipindahkan dari alamat konsolidasi kapan saja. Para penyelidik masih berupaya menentukan berapa banyak seed yang rentan yang sebenarnya dihasilkan, berapa banyak bitcoin yang masih terpapar, dan apakah dompet bernilai tinggi lainnya telah diidentifikasi oleh penyerang. Namun, Coinkite mungkin tidak memiliki banyak informasi mengenai pemilik yang sudah lama tidak aktif.

"Hal yang menarik sekaligus berisiko: Coinkite menghapus semua catatan pelanggannya setelah 120 hari untuk melindungi dari kebocoran data," lapor Jameson Lopp, salah satu pendiri Casa, di X. "Artinya, mereka tidak dapat menghubungi pelanggan yang membeli coldcard rentan selama 5 tahun terakhir untuk memperingatkan mereka mengenai kerentanan ini."

Insiden ini juga akan menguji apakah Coinkite dapat memulihkan kepercayaan terhadap Coldcard dan apakah produsen dompet perangkat keras akan menerapkan tinjauan independen yang lebih ketat terhadap proses pembuatan seed. Bagi pengguna, prioritas utamanya lebih sederhana: Siapa pun yang membuat seed pada firmware yang terpengaruh tanpa entropi dadu independen yang kuat, frasa sandi, atau perlindungan multisignature harus menganggapnya telah disusupi dan memindahkan dana dengan hati-hati ke dompet yang baru dibuat.

Di luar pencurian yang menghancurkan ini, para pengguna Bitcoin di seluruh komunitas sedang membunyikan peringatan dan mendorong orang lain untuk menyebarkan informasi ini sebelum dompet-dompet yang lebih rentan dikosongkan.