Baru saja membaca satu kasus nyata, punggung saya agak merinding.
Ada orang yang menyimpan BTC di cold wallet ColdCard: perangkat mnemonic tidak pernah dihubungkan ke internet, lalu dikunci dalam brankas bank—secara akal sehat, ini sudah menjadi contoh standar dari self-custody yang benar. Namun hasilnya, pada malam 29 Juli, 18 BTC lebih, sekitar 1,6 juta CAD, dikuras habis dalam waktu tujuh menit.
Yang paling menyakitkan: dia tidak membocorkan mnemonic, dan perangkatnya juga tidak pernah tersentuh jaringan—semua hal yang seharusnya dilakukan sudah dilakukan. Masalahnya ada pada potongan kode saat hardware wallet menghasilkan seed; celah itu sudah ditanam sejak 2021. Penyerang kemudian menebak mnemonic dengan brute force menggunakan AI—penyimpanan offline tidak bisa mencegah “cacat sejak pabrik”.
Saya terus memikirkan kejadian ini. Di dunia kripto, “saya sudah sangat hati-hati” kadang masih belum cukup—risikonya bukan hanya datang dari phishing dan social engineering, tapi juga dari satu baris kode yang tidak terlihat di rantai pasok (supply chain). AI mengubah serangan yang awalnya berprobabilitas rendah menjadi sesuatu yang bisa dipindai secara masif dan terukur.
Saya tidak berpihak untuk menyerukan naik atau turun demi siapa pun. Yang saya rasakan, pelajaran dari kasus ini lebih keras daripada sekadar slogan: aset bisa dibangun kembali, tapi batas keamanan self-custody mungkin lebih rapuh daripada yang kebanyakan orang bayangkan. (´▽`ʃ♡ƪ)
Ada orang yang menyimpan BTC di cold wallet ColdCard: perangkat mnemonic tidak pernah dihubungkan ke internet, lalu dikunci dalam brankas bank—secara akal sehat, ini sudah menjadi contoh standar dari self-custody yang benar. Namun hasilnya, pada malam 29 Juli, 18 BTC lebih, sekitar 1,6 juta CAD, dikuras habis dalam waktu tujuh menit.
Yang paling menyakitkan: dia tidak membocorkan mnemonic, dan perangkatnya juga tidak pernah tersentuh jaringan—semua hal yang seharusnya dilakukan sudah dilakukan. Masalahnya ada pada potongan kode saat hardware wallet menghasilkan seed; celah itu sudah ditanam sejak 2021. Penyerang kemudian menebak mnemonic dengan brute force menggunakan AI—penyimpanan offline tidak bisa mencegah “cacat sejak pabrik”.
Saya terus memikirkan kejadian ini. Di dunia kripto, “saya sudah sangat hati-hati” kadang masih belum cukup—risikonya bukan hanya datang dari phishing dan social engineering, tapi juga dari satu baris kode yang tidak terlihat di rantai pasok (supply chain). AI mengubah serangan yang awalnya berprobabilitas rendah menjadi sesuatu yang bisa dipindai secara masif dan terukur.
Saya tidak berpihak untuk menyerukan naik atau turun demi siapa pun. Yang saya rasakan, pelajaran dari kasus ini lebih keras daripada sekadar slogan: aset bisa dibangun kembali, tapi batas keamanan self-custody mungkin lebih rapuh daripada yang kebanyakan orang bayangkan. (´▽`ʃ♡ƪ)
