Kerentanan Keamanan pada Dompet Coldcard
Sebuah kerentanan keamanan yang telah ada selama lima tahun pada dompet perangkat keras Coldcard kini membawa produsen Coinkite ke pengadilan. Penyerang diduga telah menguras lebih dari $140 juta dalam Bitcoin akibat masalah ini. Tuntutan class action yang diajukan pada 11 September 2026 di Pengadilan Tinggi Ontario menamai Coinkite Inc., yang berbasis di Toronto, serta para pendirinya, Rodolfo Novak dan Peter D. Gray, sebagai tergugat.
Klaim Penggugat
Penggugat, Amir Reza Naderi, seorang penduduk Los Angeles, mengklaim bahwa pembaruan firmware yang cacat yang dirilis pada Maret 2021 telah mengkompromikan keamanan dompet Coldcard selama lebih dari lima tahun. Dalam tuntutannya, Naderi menyatakan bahwa perangkat tersebut mengandung kerentanan yang “merusak seluruh tujuan dan fungsi perangkat“.
Masalah Keamanan
Dompet Coldcard dirancang untuk melindungi Bitcoin dengan menghasilkan frasa pemulihan rahasia, yang biasa disebut frasa benih. Frasa ini memungkinkan pemilik untuk memulihkan dana mereka jika perangkat hilang atau rusak. Namun, keluhan tersebut mengklaim bahwa perangkat lunak menghasilkan frasa yang dapat diprediksi, bukan yang benar-benar acak, sehingga memungkinkan penyerang untuk merekonstruksi kunci pribadi tanpa harus memiliki dompet tersebut secara fisik.
Masalah ini diduga berasal dari “kesalahan integrasi build dan link” yang menyebabkan perangkat yang terpengaruh menggunakan generator perangkat lunak Yasmarang dari Micropython, alih-alih generator angka acak berbasis perangkat keras yang seharusnya digunakan. Dengan kata lain, perangkat tersebut dilaporkan menghasilkan kode keamanan yang jauh lebih mudah ditebak daripada yang dijanjikan kepada pelanggan.
Pencurian Bitcoin
Penyerang mulai mengeksploitasi kelemahan ini pada 30 Juli 2026, dan diduga mencuri sekitar 594 BTC senilai $38 juta hanya dalam waktu 25 menit. Pencurian berikutnya mendorong perkiraan kerugian dalam tuntutan hukum melebihi $140 juta. Naderi mengklaim bahwa ia secara pribadi kehilangan 1.22940052 BTC, yang bernilai sekitar $79,764, melalui transfer yang tidak sah pada 6 Agustus.
Peringatan Sebelumnya
Keluhan tersebut juga menyebutkan bahwa insinyur Bitcoin, James O’Beirne, telah memperingatkan Coinkite tentang kerentanan ini pada Mei 2025, lebih dari setahun sebelum pencurian dimulai. Coinkite secara publik mengungkapkan kerentanan tersebut pada 30 Juli dan merilis firmware korektif pada hari berikutnya. Namun, menginstal perangkat lunak yang diperbarui saja tidak cukup untuk melindungi frasa pemulihan yang dihasilkan sebelumnya. Pelanggan juga perlu membuat frasa baru dan mentransfer Bitcoin mereka.
Tuntutan Hukum
Tuntutan hukum ini berargumen bahwa Coinkite gagal memberi tahu pelanggan yang terkena dampak secara langsung, meskipun mereka memiliki informasi kontak pelanggan tersebut. Tuntutan ini juga menantang batasan tanggung jawab kontraktual perusahaan, dengan mengklaim bahwa undang-undang perlindungan konsumen mengesampingkan ketentuan yang membatasi tuntutan hukum dan kompensasi.
Kelas yang diusulkan mencakup pembeli untuk penggunaan pribadi dari perangkat Coldcard Mk2, Mk3, Mk4, Mk5, dan Q. Penggugat mencari ganti rugi kompensasi, ganti rugi hukuman, dan bantuan lainnya. Kasus ini masih dalam tahap class action yang diusulkan, dan tuduhannya belum dibuktikan di pengadilan. Hingga saat ini, tidak ada ganti rugi yang telah diberikan.
Pertanyaan untuk Pelanggan
Bagi pelanggan yang terkena dampak, pertanyaan utama adalah apakah perusahaan yang menjual perlindungan terhadap pencurian Bitcoin dapat dimintai pertanggungjawaban secara finansial ketika perangkat lunak keamanannya sendiri diduga membuka celah. Bitcoin.com News telah menghubungi Coinkite untuk memberikan komentar mengenai tuntutan hukum dan tuduhannya. Perusahaan belum memberikan tanggapan pada saat publikasi, tetapi pernyataan yang diterima setelahnya akan ditambahkan ke laporan ini. Coinkite, perusahaan di balik Coldcard, dompet perangkat keras yang terkena kerentanan dalam kode generasi benihnya, mungkin menghadapi tindakan hukum.
