Kerugian Bitcoin yang Dicuri Akibat Eksploitasi Dompet Coldcard
Kerugian Bitcoin yang dicuri akibat eksploitasi dompet Coldcard telah mulai melambat, tetapi jumlah total BTC yang dicuri terus meningkat—dan yang terburuk mungkin belum berakhir. Informasi terbaru ini berasal dari Galaxy Research, sebuah perusahaan riset cryptocurrency yang telah melacak eksploitasi ini sejak awal.
Pada hari Kamis, perusahaan tersebut mengungkapkan bahwa eksploitasi rekreasi benih Coldcard kini telah menguras lebih dari 1.778 BTC—setara dengan sekitar $112 juta—dan angka akhir kemungkinan akan lebih tinggi. Galaxy menyatakan memiliki “kepercayaan yang sangat tinggi” terhadap perhitungan ini, yang mencakup pencurian yang telah dikonfirmasi dan teratribusi kepada pemilik sejak serangan dimulai pada 30 Juli, sesuai dengan utas yang sedang berlangsung di X.
“Para penyerang telah melaksanakan serangan ini sejak setidaknya pagi hari 30 Juli 2026, secara sistematis merekonstruksi benih yang dihasilkan Coldcard dan menguras dana di on-chain,” tulis Galaxy Research.
Di antara gelombang dan jejak yang dikonfirmasi oleh Galaxy, tidak ada yang menunjukkan aktivitas setelah 6 Agustus. Namun, ini tidak berarti bahwa metode tersebut telah berhenti berfungsi; ini menunjukkan bahwa target yang mudah telah hilang. Pembaruan firmware 2021 secara diam-diam mengalihkan generasi benih Coldcard dari chip angka acak perangkat kerasnya ke pengganti perangkat lunak, meruntuhkan kekuatan kunci dari 128 bit menjadi serendah 40.
Para penyerang dapat membangun kembali benih dari nomor seri perangkat dan status jam, kemudian menguras koin tanpa harus menggunakan teknik phishing atau malware, bahkan tanpa akses fisik ke perangkat yang sebenarnya.
Gelombang Pencurian dan Dampaknya
Menurut pembagian Galaxy, gelombang terbukti terbesar—Gelombang 1—mencatat 1.082,65 BTC yang diambil dari 1.195 alamat dalam beberapa menit pertama. Itu setara dengan sekitar $70,5 juta Bitcoin yang dicuri pada saat itu. Jejak E, kluster pemilik tunggal yang dikonfirmasi terbesar, mengambil 209,94 BTC (sekitar $13,3 juta) dari 2.148 alamat; Gelombang 3 mengambil 208,24 BTC (hampir $13,0 juta) dari 1.912 alamat.
Di antara tiga gelombang terbukti dan 41 jejak kecil, perusahaan mencatat lebih dari 5.200 alamat yang telah dikuras. Hingga blok 962.304 (data per 13 Agustus), 1.499,27 BTC (hampir $93,9 juta) masih berada di tangan para penyerang tanpa terpakai.
Dari potongan kecil yang dapat dilacak Galaxy ke titik akhir akhir—174,97 BTC—sebagian besar masuk ke putaran privasi coinjoin, dengan sejumlah kecil mencapai KuCoin dan Jump Crypto.
Galaxy telah berbicara dengan lebih dari 190 korban secara langsung untuk mengatribusi kerugian. “Pengurangan dalam gelombang serangan kemungkinan disebabkan oleh migrasi pengguna yang rentan atau sebagian besar dana telah dikuras,” tulisnya.
Perusahaan tersebut mengulangi nasihatnya: “Jika Anda masih memegang dana di dompet Coldcard tanda tangan tunggal, disarankan untuk memindahkan dana Anda ke alamat baru.”
Reaksi dan Perubahan dalam Keamanan Dompet
Episode ini telah mendorong sekitar $15 miliar dalam Bitcoin ke tempat penyimpanan yang lebih aman dan menarik perhatian dari Ledger bahwa keamanan dompet harus beradaptasi dengan penemuan yang dibantu AI. Rekan-rekan perusahaan perangkat keras juga telah melaporkan lonjakan phishing yang mengikuti kepanikan ini.
Galaxy masih mencatat kandidat gelombang keempat—638,5 BTC yang belum dikonfirmasi—yang akan meningkatkan jumlah total menjadi 2.417 BTC, di atas $151,3 juta dengan harga saat ini.
