Kerugian Akibat Peretasan Coldcard Baru Saja Mencapai $116 Juta. Gelombang Keempat Masih Terus Menguras Dana

Empat Gelombang dalam Empat Hari

Apa yang awalnya diperkirakan sebagai pencurian senilai $30 juta telah meningkat lebih dari tiga kali lipat dalam waktu kurang dari seminggu. Bitcoin.com News pertama kali melaporkan eksploitasi ini saat pertama kali muncul, dengan angka yang terus meningkat seiring setiap gelombang baru transaksi yang ditarik penyerang dari dompet yang dihasilkan Coldcard: dari gelombang awal yang memindahkan $30 juta dalam sepuluh menit pertama, menjadi sekitar $75 juta setelah gelombang kedua, hingga hampir $89 juta saat pencurian menyebar ke 4.500 alamat.

Angka tersebut kini mencapai sekitar $116 juta dari 1.816 BTC yang ditarik dari lebih dari 5.200 alamat individu. Galaxy Research, yang telah memantau eksploitasi ini secara real-time, mengonfirmasi gelombang keempat pada 3 Agustus yang sendiri memindahkan sekitar 449 BTC setelah koreksi terhadap angka-angka sebelumnya.

Kepala perusahaan tersebut, Alex Thorn, menggambarkan aktivitas terbaru ini sebagai kemungkinan “gelombang keempat yang terorganisir” dari pencurian tersebut, dengan menyoroti tingkat penyapu sebesar 13,8 transfer per blok dibandingkan dengan jendela kontrol sebelum insiden yang hanya 0,3 transfer per blok, atau sekitar 45 kali lipat dari aktivitas dasar normal.

Analisis Thorn menunjukkan bahwa pola tersebut mengindikasikan adanya beberapa kelompok yang bergerak secara paralel di ruang kunci yang rentan, bukan hanya satu penyerang yang secara sistematis memperluas operasinya. Detail ini penting karena menyiratkan bahwa pencurian dapat terus berlanjut secara sporadis seiring dengan penemuan alamat-alamat yang masih terekspos oleh berbagai pelaku secara independen.

Mengapa Kelemahan Angka Acak Ini Penting

Akar masalahnya dapat ditelusuri lebih jauh dari minggu ini, karena pembaruan firmware tahun 2021 pada perangkat Coldcard tertentu mengubah proses pembangkitan seed dompet dari sumber keacakan berbasis perangkat keras yang kuat menjadi pola perangkat lunak yang ternyata dapat diprediksi, artinya setiap seed dompet yang dibuat pada firmware yang terpengaruh secara teori dapat ditebak alih-alih harus dipecahkan dengan serangan brute force.

Selama kekacauan awal, ZachXBT menolak membantu melacak dana yang dicuri, sehingga para korban dan peneliti independen harus berlomba melawan para penyerang yang sudah memahami dengan tepat alamat mana saja yang rentan.

Keunggulan waktu itulah yang menjadi alasan mengapa dompet-dompet terbesar menjadi sasaran pertama. Para penyerang menargetkan saldo terbesar dalam hitungan menit setelah eksploitasi tersebut aktif, dan dalam waktu sekitar 25 menit telah menarik ratusan bitcoin dari dompet tanda tangan tunggal sebelum sebagian besar pemegang dompet menyadari bahwa dana mereka berada dalam risiko.

Semua alamat yang disusupi dapat ditelusuri kembali ke seed dompet yang dihasilkan setelah firmware yang bermasalah dirilis pada Maret 2021, yang berarti celah keamanan ini telah ada selama lebih dari lima tahun, tanpa diketahui, hingga seseorang menemukannya dan mulai mengeksploitasinya bulan ini.

Tanggapan Coinkite dan Langkah Selanjutnya

Coinkite, produsen asal Kanada di balik Coldcard, telah mengakui skala kerusakan ini secara langsung. Dalam pernyataan yang menanggapi pencurian yang sedang berlangsung, perusahaan tersebut mengatakan "tiga hari terakhir ini merupakan salah satu masa tersulit dalam sejarah perusahaan ini, dan bagi banyak orang yang membaca ini, situasinya bahkan jauh lebih buruk," serta sangat menganjurkan siapa pun yang pernah menghasilkan seed dompet di perangkat Coldcard untuk memindahkan dana mereka ke dompet baru yang dihasilkan dengan aman sesegera mungkin.

Korban yang masih menjalani proses tersebut memiliki waktu yang sangat terbatas untuk mencoba transaksi Replace-By-Fee pada transfer yang belum dikonfirmasi, meskipun opsi tersebut hanya berguna jika pencurian yang dilakukan penyerang belum dikonfirmasi di blockchain.

Terakhir, para pelaku industri seperti Anthony Pompliano telah membantah narasi bahwa peretasan tersebut menargetkan bitcoin itu sendiri, dengan berargumen bahwa kelemahan tersebut terletak sepenuhnya pada firmware Coldcard, bukan pada protokol BTC.