ZachXBT Menolak untuk Melacak Peretasan Coldcard Senilai $88 Juta

ZachXBT Mengatakan Ia Memiliki "Kewajiban yang Lebih Sedikit" untuk Membantu

Penyelidik on-chain yang produktif ini, yang dikenal karena mengungkap identitas peretas di balik beberapa pencurian terbesar di dunia kripto, memposting di X bahwa ia saat ini tidak berencana untuk memantau atau melacak insiden Coldcard. Ia mengatakan waktunya difokuskan pada ekosistem yang menghargai pekerjaannya, sambil menambahkan bahwa para pendukung Bitcoin maximalist bukanlah donatur atau pendukung penyelidikannya, sehingga ia memiliki kewajiban yang lebih sedikit untuk membantu.

Pernyataan tersebut muncul saat insiden peretasan Coldcard memasuki hari kelima dan jumlah kerugian terus meningkat. ZachXBT sebelumnya pernah bekerja secara pro bono pada kasus-kasus besar, dan postingannya tersebut menunjukkan adanya kesenjangan besar antara niat baik yang ditunjukkan komunitas Bitcoin kepadanya dan upaya yang diminta darinya ketika terjadi masalah.

Pembobolan Coldcard Sejauh Ini

Kerentanan tersebut bermula dari kelemahan firmware pada dompet perangkat keras yang diproduksi oleh pabrikan Kanada, Coinkite. Bug tersebut memengaruhi perangkat Coldcard Mk3 yang menjalankan versi 4.0.1 hingga 4.1.9, menyebabkan beberapa dompet menghasilkan entropi seed melalui generator bilangan acak perangkat lunak alih-alih chip khusus pada perangkat kerasnya, sebuah cacat yang membuat seed tertentu dapat ditebak.

Gelombang pertama terjadi pada 30 Juli ketika sekitar 594 BTC, senilai sekitar $38 juta pada saat itu, dikuras dari hampir 500 alamat yang tidak aktif dalam waktu kurang dari 30 menit. Coinkite merilis firmware yang telah diperbaiki dalam waktu dua hari, namun kerugian terus meluas dan hingga 2 Agustus, Galaxy Research mencatat total kerugian mencapai 1.367 BTC, senilai $88,6 juta, yang ditarik dari 4.585 alamat dalam tiga gelombang serangan terpisah.

Kecepatan dan ketepatan pencurian tersebut memicu spekulasi bahwa alat otomatis, kemungkinan dengan bantuan AI, membantu penyerang mengidentifikasi dan menguras alamat-alamat yang rentan dalam hitungan menit pada setiap gelombang serangan. Pencurian terus membengkak bahkan saat setoran ke bursa dari dana yang dicuri melonjak dan BTC lama yang sebelumnya tidak aktif yang terkait dengan kasus ini mulai bergerak kembali.

Retensi Data Memperparah Reaksi Negatif

Penanganan Coinkite terhadap dampak pasca-peristiwa ini telah menjadi kontroversi tersendiri, mengingat perusahaan tersebut mengirim email ke setiap alamat pelanggan yang dapat dijangkau dari catatan toko dan buletinnya—beberapa di antaranya berasal dari tahun 2019—untuk memperingatkan mereka tentang celah keamanan tersebut.

Hal ini bertentangan dengan pernyataan sebelumnya dari CEO Rodolfo Novak bahwa Coinkite menghapus data pelanggan 90 hari setelah pembelian dan menawarkan opsi pembelian anonim. Coinkite kemudian mengakui bahwa mereka menyimpan alamat email pembelian tanpa batas waktu dan mengakui tidak memiliki kebijakan penghapusan untuk data tersebut, sebuah pengungkapan yang memicu gelombang kritik tersendiri terlepas dari serangan peretasan itu sendiri.

Novak membela rekam jejak keamanan perusahaan secara keseluruhan, dengan mencatat bahwa pesaing sering mengalami pelanggaran keamanan dan bahwa Coinkite menangani masalah ini dengan sangat serius. Namun, insiden ini telah mulai mengikis kepercayaan terhadap penyimpanan mandiri dan berpotensi mendorong investor yang lebih berhati-hati kembali ke reksa dana yang diperdagangkan di bursa (ETF) daripada mengelola kunci mereka sendiri.

Insiden ini juga telah meluas menjadi drama on-chain di luar pencurian itu sendiri. Sebuah tawaran pencucian Bitcoin yang terang-terangan yang ditujukan kepada peretas diposting langsung ke blockchain Bitcoin, mengubah kasus ini menjadi tontonan publik yang berlangsung secara real-time di media sosial dan data on-chain.

Dengan mundurnya tokoh-tokoh berpengaruh seperti ZachXBT, beban untuk melacak 1.367 BTC yang dicuri kini semakin berat bagi perusahaan seperti Galaxy Research, yang telah menerbitkan pembaruan bertahap seiring dengan perkembangan aktivitas dompet pelaku. Telah muncul laporan bahwa bug entropi yang memengaruhi perangkat Coldcard Mk3 bermula dari versi firmware Maret 2021, yang berarti setiap seed dompet yang dihasilkan pada versi tersebut selama lebih dari empat tahun masih berisiko terekspos hingga pemiliknya menggantinya dengan seed baru pada firmware yang telah diperbaiki.