$70M Lenjadi Dari Dompet Perangkat Keras "Secure" — Ini Cara Kejadiannya
Seorang penyerang baru saja berhasil melakukan salah satu eksploit dompet perangkat keras terbesar dalam sejarah Bitcoin — tanpa pernah menyentuh satu pun perangkat.
Dalam waktu lebih dari 41 menit pada 30 Juli, seseorang menguras 1.196 alamat Bitcoin, menyapu keluar 1.082,65 BTC (~$70,2 juta). Perusahaan keamanan Galaxy Research menelusurinya ke celah firmware pada Coldcard, dompet perangkat keras khusus Bitcoin buatan Coinkite. Bug integrasi tahun 2021 telah mengarahkan pembuatan seed melalui pengacak perangkat lunak yang dapat diprediksi, bukan melalui keacakan perangkat keras asli perangkat — artinya, penyerang yang bisa menebak beberapa parameter teknis dapat merekonstruksi seed dompet sepenuhnya secara offline, lalu tinggal menunggu dan menyapu.
CEO Coinkite telah mengakui kegagalan ini secara terbuka dan mendorong firmware darurat untuk setiap model yang terdampak. Namun, bagian yang paling penting bagi siapa pun yang memegang Coldcard adalah:
Pembaruan firmware saja TIDAK akan mengamankan dana yang sudah ada — seed yang terkompromi tetap saja terkompromi
Anda perlu membuat frasa pemulihan yang benar-benar baru pada firmware yang sudah diperbaiki dan memigrasikan semua dana ke sana
Galaxy memperingatkan bahwa serangan di masa depan masih mungkin menargetkan alamat apa pun yang dibuat dengan cara lama
Ini terjadi pada tahun yang sudah sulit untuk keamanan kripto — lebih dari $1B hilang akibat peretasan di seluruh industri pada H1 2026
Bitcoin nyaris tidak berkedip — hanya turun ~2% dalam sepekan meski demikian, kejutan The Fed yang hawkish, dan arus keluar dana dari ETF yang terjadi bersamaan. Ketahanan ini mengatakan banyak tentang di mana sentimen sudah berada.
Jika Anda menyimpan dana serius dalam satu dompet perangkat keras, apakah satu perangkat masih cukup — atau saatnya mulai memecah pengelolaan aset (custody)?
Seorang penyerang baru saja berhasil melakukan salah satu eksploit dompet perangkat keras terbesar dalam sejarah Bitcoin — tanpa pernah menyentuh satu pun perangkat.
Dalam waktu lebih dari 41 menit pada 30 Juli, seseorang menguras 1.196 alamat Bitcoin, menyapu keluar 1.082,65 BTC (~$70,2 juta). Perusahaan keamanan Galaxy Research menelusurinya ke celah firmware pada Coldcard, dompet perangkat keras khusus Bitcoin buatan Coinkite. Bug integrasi tahun 2021 telah mengarahkan pembuatan seed melalui pengacak perangkat lunak yang dapat diprediksi, bukan melalui keacakan perangkat keras asli perangkat — artinya, penyerang yang bisa menebak beberapa parameter teknis dapat merekonstruksi seed dompet sepenuhnya secara offline, lalu tinggal menunggu dan menyapu.
CEO Coinkite telah mengakui kegagalan ini secara terbuka dan mendorong firmware darurat untuk setiap model yang terdampak. Namun, bagian yang paling penting bagi siapa pun yang memegang Coldcard adalah:
Pembaruan firmware saja TIDAK akan mengamankan dana yang sudah ada — seed yang terkompromi tetap saja terkompromi
Anda perlu membuat frasa pemulihan yang benar-benar baru pada firmware yang sudah diperbaiki dan memigrasikan semua dana ke sana
Galaxy memperingatkan bahwa serangan di masa depan masih mungkin menargetkan alamat apa pun yang dibuat dengan cara lama
Ini terjadi pada tahun yang sudah sulit untuk keamanan kripto — lebih dari $1B hilang akibat peretasan di seluruh industri pada H1 2026
Bitcoin nyaris tidak berkedip — hanya turun ~2% dalam sepekan meski demikian, kejutan The Fed yang hawkish, dan arus keluar dana dari ETF yang terjadi bersamaan. Ketahanan ini mengatakan banyak tentang di mana sentimen sudah berada.
Jika Anda menyimpan dana serius dalam satu dompet perangkat keras, apakah satu perangkat masih cukup — atau saatnya mulai memecah pengelolaan aset (custody)?