Coldcard 重大漏洞, Puluhan ribu BTC dicuri
Teman-teman kripto, perhatikan! Dalam waktu singkat 25 menit, lima ratus dompet dingin kehilangan total 594 Bitcoin, setara 38 juta dolar AS.
Kali ini bukan penipuan phishing, juga bukan kebocoran private key. Akar masalahnya adalah firmware tingkat dasar Coldcard yang menyimpan cacat fatal.
Kerentanan ini sudah ditanam sejak Maret 2021. Hanya satu baris kode membuat modul pengacakan kripto menjadi tidak berfungsi: seed (mnemonic) hanya memakai rangkaian tetap nomor chip + waktu yang bisa diperkirakan untuk dibuat. Seolah-olah sandi brankas bisa dihitung dari nomor perangkat dan waktu saat ini—penyerang bisa membobol private key secara massal tanpa perlu menyentuh perangkat.
Banyak pengguna mengunci perangkat di dalam brankas, memutus jaringan sepenuhnya, dan membiarkan perangkat menganggur selama berbulan-bulan. Mereka merasa perlindungannya sudah maksimal. Namun penyerang tidak perlu menyentuh perangkat; cukup menghitung kunci dari jarak jauh lalu langsung menguras aset, sehingga hancur total rasa aman terhadap dompet dingin.
Data on-chain berikutnya bahkan lebih mengerikan: setelah alamat pencurian gelombang ketiga dibocorkan, jumlah BTC yang dicuri melonjak hingga 1367 BTC, setara 88,6 juta dolar AS, lebih dari 4500 alamat menjadi korban.
Model yang terdampak sangat luas: Mk3 lama semuanya kena; untuk Mk4 dan Mk5, mnemonic yang dihasilkan dari versi di bawah 5.6.0 tidak aman, begitu juga seri Q dari versi di bawah 1.5.0Q. Nilai entropi keamanan jatuh dari standar 128 bit menjadi 72 bit—nyaris seluruhnya gagal.
Peringatan darurat untuk pengguna Coldcard: segera periksa versi firmware! Mnemonic yang dihasilkan dari versi lama sudah sepenuhnya terekspos; sekadar upgrade firmware tidak akan menyelamatkan aset yang sudah ada. Wajib membuat mnemonic ulang pada perangkat yang sudah diperbarui, buat alamat penerimaan baru, lalu setelah uji transfer dengan nominal kecil dipastikan berhasil, barulah pindahkan seluruh kepemilikan.
Para eksekutif industri secara blak-blakan menyatakan, insiden ini menghantam kepercayaan pasar terhadap dompet self-custody.
Jangan lagi mengandalkan anggapan bahwa perangkat keras pasti absolut aman. Self-custody private key memang benar, tapi aset jangan pernah dipusatkan di satu tempat. Gunakan multisig, simpan dengan banyak perangkat/wallet perangkat keras secara terpisah dan tersebar, atau pilih penitipan pada institusi yang patuh regulasi—di dunia kripto, tidak pernah ada solusi 100% tanpa risiko.
#BTC #比特币
Teman-teman kripto, perhatikan! Dalam waktu singkat 25 menit, lima ratus dompet dingin kehilangan total 594 Bitcoin, setara 38 juta dolar AS.
Kali ini bukan penipuan phishing, juga bukan kebocoran private key. Akar masalahnya adalah firmware tingkat dasar Coldcard yang menyimpan cacat fatal.
Kerentanan ini sudah ditanam sejak Maret 2021. Hanya satu baris kode membuat modul pengacakan kripto menjadi tidak berfungsi: seed (mnemonic) hanya memakai rangkaian tetap nomor chip + waktu yang bisa diperkirakan untuk dibuat. Seolah-olah sandi brankas bisa dihitung dari nomor perangkat dan waktu saat ini—penyerang bisa membobol private key secara massal tanpa perlu menyentuh perangkat.
Banyak pengguna mengunci perangkat di dalam brankas, memutus jaringan sepenuhnya, dan membiarkan perangkat menganggur selama berbulan-bulan. Mereka merasa perlindungannya sudah maksimal. Namun penyerang tidak perlu menyentuh perangkat; cukup menghitung kunci dari jarak jauh lalu langsung menguras aset, sehingga hancur total rasa aman terhadap dompet dingin.
Data on-chain berikutnya bahkan lebih mengerikan: setelah alamat pencurian gelombang ketiga dibocorkan, jumlah BTC yang dicuri melonjak hingga 1367 BTC, setara 88,6 juta dolar AS, lebih dari 4500 alamat menjadi korban.
Model yang terdampak sangat luas: Mk3 lama semuanya kena; untuk Mk4 dan Mk5, mnemonic yang dihasilkan dari versi di bawah 5.6.0 tidak aman, begitu juga seri Q dari versi di bawah 1.5.0Q. Nilai entropi keamanan jatuh dari standar 128 bit menjadi 72 bit—nyaris seluruhnya gagal.
Peringatan darurat untuk pengguna Coldcard: segera periksa versi firmware! Mnemonic yang dihasilkan dari versi lama sudah sepenuhnya terekspos; sekadar upgrade firmware tidak akan menyelamatkan aset yang sudah ada. Wajib membuat mnemonic ulang pada perangkat yang sudah diperbarui, buat alamat penerimaan baru, lalu setelah uji transfer dengan nominal kecil dipastikan berhasil, barulah pindahkan seluruh kepemilikan.
Para eksekutif industri secara blak-blakan menyatakan, insiden ini menghantam kepercayaan pasar terhadap dompet self-custody.
Jangan lagi mengandalkan anggapan bahwa perangkat keras pasti absolut aman. Self-custody private key memang benar, tapi aset jangan pernah dipusatkan di satu tempat. Gunakan multisig, simpan dengan banyak perangkat/wallet perangkat keras secara terpisah dan tersebar, atau pilih penitipan pada institusi yang patuh regulasi—di dunia kripto, tidak pernah ada solusi 100% tanpa risiko.
#BTC #比特币
