Pelaku Serangan Coldcard Mencuri $30 Juta dalam 10 Menit dengan Menargetkan Dompet Digital Berisi Saldo Besar

Penyerang Memprioritaskan Dompet Coldcard dengan Saldo Terbesar

Perusahaan analisis blockchain Chainalysis mengungkapkan pada 31 Juli bahwa penyerang menargetkan dompet perangkat keras Coldcard bernilai tinggi sejak awal, sehingga dengan cepat meningkatkan jumlah total yang dicuri. Perusahaan tersebut menemukan bahwa tiga dari 10 dompet terbesar yang terkena dampak menyimpan setidaknya 10 BTC, senilai sekitar $636.000 selama analisis.

Seorang korban kehilangan sekitar $1,8 juta, sementara nilai kumulatif yang dicuri mendekati $30 juta selama 10 menit pertama operasi. Urutan kejadian tersebut menunjukkan bahwa penyerang telah menganalisis populasi dompet yang tersedia sebelum memulai serangan sistematis.

Chainalysis melaporkan:

“Pola ini menunjukkan bahwa penyerang telah mempelajari populasi dompet korban sebelum melanjutkan aksinya.”

Selama sekitar 25 menit, penyerang menguras 500 dompet berbeda, yang menyebabkan lonjakan tajam dalam nilai yang dicuri sebelum meluas ke saldo yang lebih kecil. Chainalysis menggunakan platform investigasi Reactor-nya untuk menganalisis aliran dana, alamat korban, dan konsentrasi kerugian terbesar.

Urutan tersebut menunjukkan upaya yang disengaja untuk memaksimalkan hasil awal daripada memproses dompet secara acak atau mengikuti urutan pembuatannya yang asli. Memprioritaskan saldo yang lebih besar juga mengurangi risiko bahwa peringatan, kontrol pertukaran, atau transfer defensif akan membatasi peluang paling berharga bagi penyerang.

Akun Layanan Blockchain Berbayar Dilacak Selama Operasi Penyisiran

Penyelidikan Block terhadap pengosongan dompet Coldcard dimulai setelah tim teknik dan keamanan bitcoin perusahaan menerima laporan bahwa dompet di luar platform Bitkey milik perusahaan sedang dikosongkan. Pimpinan Teknik Bitkey, Clay Garrett, menjelaskan pola permintaan yang tidak biasa yang membantu penyelidik mengidentifikasi alur kerja operasional yang dicurigai.

Para penyelidik menyimpulkan bahwa pelaku telah menggunakan akun berbayar di penyedia layanan blockchain ternama untuk menelusuri alamat sumber dan melakukan aktivitas terkait. Catatan internal penyedia tersebut dilaporkan sesuai dengan jumlah, waktu, dan urutan permintaan yang dicurigai, dengan tingkat spesifisitas yang luar biasa menurut Garrett.

Garrett menyatakan:

“Penyedia tersebut menyediakan layanan standarnya sebagai tanggapan atas permintaan yang tidak mengungkapkan tujuan yang lebih luas.”

Block tidak menemukan bukti bahwa penyedia yang tidak disebutkan namanya tersebut secara sadar terlibat dalam dugaan pencurian tersebut atau dengan sengaja membantu operator melaksanakannya. Perusahaan tersebut menghubungi penyedia tersebut secara langsung dan mulai membagikan informasi yang relevan kepada pihak berwenang yang sesuai sambil membatasi pengungkapan informasi yang dapat mengganggu penyelidikan.

Pemberitahuan Keamanan Coinkite Mengidentifikasi Firmware Coldcard yang Terkena Dampak

Saat para penyelidik melacak dana yang dicuri, Coinkite menegaskan kembali perangkat mana saja yang terpengaruh oleh kerentanan tersebut. Pemberitahuan keamanan Coldcard Mk3 dari perusahaan tersebut mencakup perangkat yang menghasilkan seed pada versi firmware 4.0.1 hingga 5.0.3. Temuan awal menunjukkan bahwa model Mk4, Q, dan Mk5 tidak terpengaruh, sementara laporan mengaitkan sekitar 594 BTC, senilai hampir $38 juta, dengan sekitar 500 dompet yang tidak aktif yang dibersihkan dalam waktu sekitar 25 menit.

Banyak alamat yang terpengaruh telah tidak aktif selama bertahun-tahun dan umumnya memiliki saldo berkisar antara 0,15 BTC hingga 0,26 BTC. Coinkite merekomendasikan untuk membuat seed pengganti pada perangkat yang tidak terpengaruh, mengirimkan transaksi uji coba kecil, mengonfirmasi alamat penerima di layar perangkat keras, dan menyimpan cadangan sebelumnya hingga migrasi berhasil.

Kode Benih yang Rentan Tetap Terpapar Setelah Pembaruan Firmware

Pemilik Coldcard yang menghasilkan seed menggunakan firmware yang rentan menghadapi risiko yang tidak dapat diatasi hanya dengan menginstal hotfix terbaru. Chainalysis menyarankan pengguna yang terdampak untuk membuat seed yang sepenuhnya baru pada perangkat yang telah diperbarui sebelum mentransfer bitcoin mereka dari dompet yang terdampak.

Perusahaan tersebut juga merekomendasikan penggunaan frasa sandi BIP-39 yang kuat sebagai perlindungan tambahan. Chainalysis terus memantau dompet pelaku eksploitasi, alamat konsolidasi, serta laporan serangan yang berpotensi masih berlangsung terhadap alamat-alamat yang diduga berasal dari kunci pribadi yang rentan. Block menyatakan akan merilis temuan tambahan setelah hal tersebut tidak lagi berisiko mengganggu penyelidikan.