Skala eksploit dompet perangkat keras Coldcard kini semakin terlihat jelas. Galaxy Research kini mengonfirmasi dengan tingkat keyakinan tinggi bahwa setidaknya 1.719 BTC telah dicuri melalui beberapa akun pengguna, dengan nilai kompromi sekitar $111 juta berdasarkan harga terbaru. Namun angka itu mungkin belum menjadi batasnya. Total kerugian, menurut penilaian terbaru tim riset yang dikutip dalam laporan asli, kemungkinan akan melampaui $130 juta setelah semua kasus yang belum selesai diverifikasi.
Lebih dari 25 pola serangan berbeda telah diidentifikasi, dan kini para penyelidik percaya bahwa beberapa aktor ancaman secara aktif mengeksploitasi kerentanan tersebut. Jumlah korban terus bertambah; Galaxy mengonfirmasi bahwa pihaknya telah menerima laporan dari lebih dari 250 individu. Jika setiap kasus pada akhirnya terbukti benar, total kerugiannya bisa meningkat melewati 2.300 BTC. Untuk saat ini, satu-satunya perangkat keras yang diketahui terdampak adalah Coldcard Mk3, Mk4, Mk5, dan model Q. Tidak ada bukti bahwa bug tersebut telah menyebar ke perangkat penandatanganan atau dompet lain, dan Galaxy belum menunjukkan bahwa perangkat lunak atau firmware apa pun yang terkait, di luar ekosistem Coldcard, ikut dikompromikan.
Mimpi buruk bagi self-custody
Insiden ini menghantam fondasi paling dasar dari budaya self-custody. Coldcard secara luas dianggap sebagai salah satu dompet perangkat keras Bitcoin yang paling aman, khusus dirancang untuk penyimpanan air-gapped dengan tingkat paranoia. Fakta bahwa perangkat ini berhasil dipecahkan pada skala sebesar ini—dengan apa yang tampaknya merupakan jendela eksploitasi yang berlangsung lama—akan mengguncang kepercayaan di antara pengguna yang mempertaruhkan seluruh nilai bersih mereka padanya. Insiden ini juga mempersulit percakapan legislatif yang sudah tegang mengenai perlindungan self-custody di Washington. Hanya beberapa hari sebelum pemungutan suara penting di Senat terkait undang-undang kripto yang monumental—yang dibahas dalam liputan kami tentang bagaimana bank berupaya membentuk rancangan undang-undang tersebut—eksploitasi sebesar ini memberi lawan aturan self-custody yang lebih liberal data baru yang sangat kuat.
Dompet perangkat keras telah dipasarkan sebagai pertahanan utama terhadap peretasan, namun perangkat tersebut tetap rentan terhadap serangan rantai pasok, manipulasi firmware, dan eksploitasi side-channel fisik. Dalam kasus ini, vektor masuk yang tepat belum dijelaskan secara terbuka oleh Coinkite atau Galaxy, tetapi banyaknya pola berbeda menunjukkan bahwa itu bukan satu bug tunggal. Generator bilangan acak yang salah konfigurasi, komponen rantai pasok yang dikompromikan, atau cacat pada protokol komunikasi perangkat semuanya bisa menjadi penyebab. Bagi pengguna yang kehilangan dana, ada kepahitan tambahan karena sifat Bitcoin yang tidak dapat diubah membuat pemulihan dana hampir mustahil.
Apa langkah berikutnya bagi para korban dan pasar
Dengan lebih dari 250 korban yang sudah teridentifikasi, konsekuensi hukum dan reputasi kian meningkat bagi Coinkite, produsen Coldcard. Perusahaan ini belum merilis postmortem teknis yang mendetail, dan pasar menunggu untuk melihat apakah patch bahkan memungkinkan untuk perangkat keras yang sudah ada atau apakah perlu penggantian. Setidaknya sejauh ini, yang tampak terinfeksi hanya lini Coldcard itu sendiri, tetapi ditemukannya beberapa penyerang independen menunjukkan bahwa kerentanan itu mungkin sudah diketahui secara luas di kalangan tertentu sebelum menjadi konsumsi publik. Ini memunculkan kemungkinan yang tidak nyaman: eksploitasi tersebut pertama kali ditemukan dan diperdagangkan secara privat, baru kemudian menjadi headline setelah kerugian membesar.
Dari perspektif institusional, peristiwa ini akan mendorong dana dan pemegang besar untuk mengkritisi pilihan perangkat mereka dengan lebih intens. Konfigurasi multi-sig dan solusi penyimpanan dingin berbasis kustodian mungkin akan kembali diminati. Pertanyaan tentang asuransi juga muncul lagi: kebanyakan pengguna self-custody tidak memiliki perlindungan, sementara kustodian yang diatur memasukkan asuransi dalam layanan mereka. Angka lebih dari $130 juta, meski kecil dibandingkan total kapitalisasi pasar Bitcoin, cukup besar untuk menarik perhatian regulator pada saat para pembuat undang-undang mempertimbangkan cara mengklasifikasikan dan mengawasi penyedia dompet.
Ketidakpastian mengintai
Beberapa pertanyaan yang belum terjawab membuat cerita ini akan berkembang lebih jauh. Laporan Galaxy tidak menjelaskan bagaimana para penyerang mampu mengekfiltrasi kunci privat atau menandatangani transaksi tanpa akses fisik ke perangkat. Kemungkinan, kerentanan ini memungkinkan penyerang yang memperoleh akses sementara—mungkin saat pengiriman atau melalui reseller yang dikompromikan—untuk kemudian menguras dana tanpa akses yang berkelanjutan. Fakta bahwa terdapat lebih dari 25 pola menunjukkan bahwa beberapa teknik digunakan, dan tidak dapat dikesampingkan bahwa beberapa korban tanpa sadar menggunakan pembaruan firmware berbahaya dari sumber yang tidak resmi.
Komunitas kini harus menimbang apakah merek Coldcard bisa memulihkan reputasinya. Keamanan dompet perangkat keras sama banyak soal kepercayaan seperti halnya soal desain kriptografis. Begitu kepercayaan itu rusak dalam skala ribuan koin, jalan untuk kembali menjadi panjang. Sementara itu, produsen lain kemungkinan akan memanfaatkan peristiwa ini untuk memasarkan perangkat mereka sebagai yang lebih unggul, dan pelajaran yang lebih luas bagi industri pun jelas: self-custody menuntut kewaspadaan konstan, dan tidak ada satu perangkat pun yang boleh dianggap sebagai pelindung ajaib.