MARA Membuka Slipstream untuk Umum Saat Para Korban Coldcard Berusaha Secepatnya Melarikan Diri

MARA Menghapus Kode Akses

MARA Holdings, perusahaan penambang bitcoin dan penyedia infrastruktur kecerdasan buatan (AI) yang terdaftar di Nasdaq, yang sebelumnya dikenal sebagai Marathon Digital, membangun layanan Slipstream agar orang dapat mengirim transaksi bitcoin langsung ke kolam penambangannya alih-alih menyiarkannya ke jaringan publik.

Sebagian besar transaksi bitcoin melewati ruang tunggu bersama yang disebut mempool, di mana setiap node di jaringan dapat melihat transaksi tersebut sebelum dikonfirmasi ke dalam sebuah blok. Slipstream melewati ruang tunggu tersebut. Seorang pengguna mengirimkan transaksi yang telah ditandatangani langsung ke MARA, dan transaksi tersebut tetap tersembunyi hingga MARA menambang blok yang berisi transaksi tersebut.

Pada 3 Agustus 2026, MARA Foundation memposting pembaruan ini di X:

"MARA Slipstream kini tersedia sebagai layanan publik tanpa izin yang tidak memerlukan kode klien. Harap berhati-hati dan bijak dalam menentukan biaya untuk menghindari transaksi yang terjebak di mempool Slipstream jika tarif kompetitif melonjak. Untuk waktu yang dapat diprediksi, kami tidak mengenakan biaya tambahan untuk layanan ini, tetapi pengguna bertanggung jawab untuk membayar biaya transaksi Bitcoin yang sesuai."

Poin terakhir itu penting. MARA tidak menambahkan biaya tambahan sendiri. Pengguna tetap membayar biaya jaringan Bitcoin seperti biasa, mereka hanya mengirim transaksi melalui saluran pribadi alih-alih saluran terbuka.

Kelemahan Dompet Perangkat Keras Memaksa Penentuan Waktu

Waktunya bukanlah kebetulan. Pada akhir Juli, para peneliti mengungkap kelemahan serius pada dompet perangkat keras Coldcard, yang bermula dari kesalahan pengkodean firmware pada Maret 2021. Alih-alih mengambil keacakan dari generator perangkat keras khusus perangkat tersebut, model Coldcard yang terpengaruh beralih ke proses perangkat lunak yang lebih lemah saat membuat frasa seed 24 kata dompet. Kesalahan tersebut mengurangi keacakan efektif dari yang diharapkan sebesar 128 bit menjadi sekitar 40 bit pada model lama dan 72 bit pada model yang lebih baru. Semakin sedikit kemungkinan kombinasi berarti penyerang dengan daya komputasi yang cukup dapat menebak frasa seed dan membuka dompet tersebut.

Peretas Berlomba-lomba Menguras Dompet yang Rentan

Para penyerang bertindak cepat. Perhitungan awal mencatat sekitar 594 BTC, setara dengan hampir $38 juta pada saat itu, yang dikuras dari sekitar 500 alamat. Perkiraan selanjutnya menempatkan totalnya mendekati $70 juta hingga $88 juta seiring terungkapnya lebih banyak dompet yang diretas. Per 4 Agustus, diperkirakan para peretas telah mencuri sekitar 1.816 BTC, senilai sekitar $116 juta, dari lebih dari 5.200 dompet yang berbeda.

Patch firmware mencegah dompet baru mewarisi celah tersebut, tetapi tidak berpengaruh pada frasa seed yang sudah dihasilkan berdasarkan kode yang rusak. Siapa pun yang membuat Coldcard selama tahun-tahun yang terkena dampak harus memindahkan koin mereka ke dompet baru.

Memindahkan Dana Secara Publik Menciptakan Perangkap Tersendiri

Bagi pengguna yang menerapkan konfigurasi multi-tanda tangan—yang umum di kalangan pengguna Coldcard yang membagi kendali dana ke beberapa perangkat—proses migrasi itu sendiri mengandung risiko. Menyebarkan transaksi secara publik akan mengungkap kunci dompet dan syarat pengeluaran dana. Seorang penyerang yang sudah memiliki kunci pribadi lemah yang cocok dapat mendeteksi transaksi tersebut, membuat transaksi pesaing dengan biaya lebih tinggi, dan menggunakan fitur jaringan Bitcoin bernama Replace-by-Fee (RBF) untuk mendahului antrean dan mencuri dana sebelum transaksi asli dikonfirmasi.

Slipstream dari MARA menghilangkan celah kerentanan tersebut. Karena transaksi tersebut tidak pernah masuk ke mempool publik, penyerang tidak akan pernah melihat kunci atau detail pengeluaran sampai MARA telah menambang koin tersebut ke dalam blok yang telah dikonfirmasi.

Slipstream Telah Ada Dua Tahun Sebelum Krisis

MARA pertama kali meluncurkan Slipstream pada 22 Februari 2024, dengan tujuan membantu transaksi besar atau tidak biasa yang sering ditolak oleh banyak node Bitcoin untuk diteruskan berdasarkan kebijakan standar. CEO Fred Thiel saat itu menjelaskannya sebagai cara untuk memanfaatkan infrastruktur penambangan MARA bagi pengguna Bitcoin tingkat lanjut sambil tetap mematuhi aturan protokol. Sebelumnya, akses memerlukan kode klien selama periode permintaan tinggi atau pemeliharaan. Persyaratan tersebut kini telah dihapus.

Pengguna Tetap Menanggung Risiko Kepercayaan dan Waktu

Slipstream masih bergantung pada MARA untuk menemukan blok. Sebuah transaksi akan berada di antrian pribadi MARA hingga pool tersebut menambang satu blok, sehingga waktu penanganannya sepenuhnya bergantung pada pangsa MARA terhadap total hashrate Bitcoin.

Pada saat publikasi, pool MARA menguasai lebih dari 5% dari total daya hash yang mendukung Bitcoin. MARA mengimbau pengguna untuk menjaga biaya tetap kompetitif namun tidak berlebihan, karena transaksi yang terjebak di antrian pribadinya saat lonjakan biaya bisa tertahan cukup lama sebelum dikonfirmasi.

Apa yang Akan Terjadi Selanjutnya bagi Pemegang Coldcard

Komunitas Bitcoin secara luas memandang peluncuran ulang Slipstream sebagai alat praktis untuk mengatasi krisis keamanan, bukan sebagai perubahan permanen dalam cara sebagian besar transaksi seharusnya dilakukan. Untuk transfer sehari-hari, mempool publik tetap menjadi rute standar. Namun, bagi pengguna Coldcard yang masih menyimpan koin pada seed yang terkompromi, para peneliti keamanan dan pengembang dompet telah menunjuk Slipstream sebagai salah satu cara yang lebih andal untuk memindahkan dana tanpa terlebih dahulu memberi tahu penyerang.

Perhatikan perkiraan kerugian terbaru seiring munculnya lebih banyak alamat yang terkompromi, panduan tambahan dari Coldcard mengenai versi firmware dan rentang nomor seri yang terpengaruh, serta apakah penambang lain akan mengikuti MARA dalam menawarkan jalur pengiriman pribadi serupa.