GAMBARAN UMUM
Selama bertahun-tahun, Coldcard adalah dompet perangkat keras yang ditunjuk oleh pemegang Bitcoin serius ketika diminta ke mana sejumlah besar dana seharusnya pergi. Dibuat oleh perusahaan Kanada Coinkite sejak 2017, ia membangun reputasi sebagai pilihan penyimpanan dingin favorit para Bitcoiner yang paranoid. Tanpa koneksi daring (air gapped). Hanya Bitcoin. Firmware sumber terbuka. Dual secure elements. Jenis dompet yang membuat orang merasa benar-benar aman.
Lalu pada 30 Juli 2026, semuanya berubah.
Pada pagi 30 Juli 2026, seorang penyerang tunggal mengosongkan 1.196 alamat Bitcoin dalam waktu sekitar 41 menit. Sekitar 1.082 BTC senilai sekitar $70 juta pada saat itu berpindah dari dompet yang sama sekali belum pernah tersentuh internet.
Saat debu mulai mereda, jumlah yang dikonfirmasi telah melewati $130 juta ke lebih dari 5.200 alamat dan masih terus bertambah. Ini adalah eksploit dompet perangkat keras terbesar dalam sejarah kripto dan peretasan kripto terbesar ketiga pada tahun 2026.
APA ITU COLDCARD
Coldcard dibuat oleh perusahaan Kanada Coinkite sejak 2017. Mereka membangun reputasi pada desain khusus Bitcoin, elemen pengaman ganda, firmware open source, dan fitur keamanan fisik berlapis yang tidak ditawarkan oleh kebanyakan pesaing.
Ini bukan dompet untuk pemula. Ini adalah dompet yang direkomendasikan oleh para pendukung serius self custody untuk orang yang menyimpan jumlah Bitcoin yang signifikan. Jenis perangkat yang membuat pengguna merasa seolah mereka telah melakukan semuanya dengan benar.
Seperti yang diungkapkan salah satu korban setelah kehilangan $1,6 juta: "Mungkin bagian tersulit dari ini adalah bahwa saya melakukan semuanya dengan benar. Saya tidak pernah membagikan seed phrase saya kepada siapa pun. Perangkat saya tidak pernah menyentuh internet. Semuanya disimpan di beberapa brankas dan kotak deposit keamanan. Tak ada yang berarti. Semua karena perangkat keras yang membuat seed phrase pada awalnya memiliki satu baris kodenya dari 2021 yang mengandung kerentanan."
Satu baris kode dari tahun 2021 itu adalah tempat kisahnya benar-benar dimulai.
BUG YANG TELAH DISEMBUNYIKAN SEJAK 2021
Kesalahan konfigurasi build pada firmware Coldcard versi 4.0.1 yang dikirim pada Maret 2021 mengarahkan pembuatan seed ke generator pseudorandom perangkat lunak yang deterministik, bukan ke generator bilangan acak perangkat keras STM32 di perangkat, sehingga mengurangi entropi efektif dari 128 bit menjadi sekitar 40 bit pada perangkat Mk3 dan 72 bit pada model Mk4, Mk5, dan Q.
Mari kita uraikan itu dengan bahasa yang sederhana.
Saat Anda menyiapkan dompet perangkat keras untuk pertama kali, perangkat itu menghasilkan seed phrase. Seed phrase itu diturunkan dari sebuah bilangan acak. Keacakan bilangan itu adalah segalanya. Semakin acak bilangan tersebut, semakin sulit bagi siapa pun untuk menebak atau membuat ulang kunci privat Anda.
Firmware Coldcard seharusnya menggunakan generator bilangan acak perangkat kerasnya untuk menciptakan keacakan tersebut. Namun, kesalahan kode malah mengirimkannya ke generator perangkat lunak yang jauh kurang acak dan memakai konstanta yang dapat diprediksi. Hasilnya adalah seed phrase yang terlihat normal tetapi secara matematis jauh lebih lemah daripada yang seharusnya.
Elemen aman tidak pernah ditembus. Seed yang mereka lindungi sudah lemah sejak saat pembuatan.
Tidak ada yang tahu. Dompetnya terlihat baik-baik saja. Seed phrase terlihat baik-baik saja. Keamanannya terlihat baik-baik saja. Tapi di balik setiap dompet yang dihasilkan pada firmware yang terdampak antara Maret 2021 dan rilis patch pada Juli 2026 ada kunci privat yang secara teori bisa dipaksa (brute force) oleh siapa pun dengan kekuatan komputasi dan pengetahuan yang cukup tentang kelemahannya.
BAGAIMANA SERANGAN TERUNGKAP
Seorang penyerang mulai menyapu dompet pada 30 Juli 2026, menguras 1.082 BTC dari 1.196 alamat dalam 41 menit pada gelombang pertama.
Dua puluh lima menit setelah gelombang pertama dimulai, ratusan pemegang Bitcoin sudah kehilangan semuanya di dompet penyimpanan dingin mereka. Kecepatan itu mungkin karena penyerang tidak perlu akses fisik ke perangkat mana pun. Mereka hanya menggunakan pengetahuan tentang kelemahan firmware untuk menghitung ulang kunci privat yang dilemahkan dan menguras dompet dari jarak jauh.
Awalnya, yang tampak seperti serangan terkoordinasi tunggal ternyata berubah menjadi sesuatu yang sama sekali lain. Eksploitasi Coldcard terpecah dari segelintir gelombang terkoordinasi menjadi ajang gratis yang terbuka, dengan estimasi Galaxy Research bahwa setidaknya 15 pelaku terpisah sedang menguras dompet yang rentan.
Perusahaan analitik blockchain TRM Labs menelusuri aktivitas tersebut ke setidaknya 15 aktor ancaman yang berbeda, beberapa kemungkinan besar penjiplak yang memanfaatkan peluang. Dana yang dicuri dialihkan melalui alat privasi termasuk Wasabi dan Tornado Cash menurut CertiK.
Begitu kerentanan itu diketahui, itu bukan hanya penyerang awal yang mengeksploitasinya. Pihak lain yang memahami kelemahan tersebut ikut masuk untuk mencari dompet yang rentan dan yang belum sempat dikuras.
KORBAN TIDAK MELAKUKAN KESALAHAN APA PUN
Inilah bagian cerita yang membuatnya sangat sulit untuk diproses.
Bagian yang tidak nyaman adalah tidak ada satupun korban yang melakukan kesalahan. Mereka tidak mengklik tautan phishing, tidak menempelkan seed phrase ke situs palsu, dan tidak menandatangani transaksi berbahaya.
Setiap saran standar tentang self custody sudah diikuti. Simpan seed phrase secara offline. Jangan pernah membagikannya kepada siapa pun. Gunakan dompet perangkat keras. Simpan di beberapa lokasi aman.
Semuanya tidak relevan karena masalahnya bukan pada cara pengguna menangani dompet mereka. Masalahnya sudah "ditanam" di dalam perangkat itu sendiri pada saat dompet pertama kali disiapkan. Kerentanan yang diperkenalkan oleh satu baris kode lima tahun sebelum serangan dimulai.
Realitas itu mengguncang komunitas self custody secara mendalam. Janji dompet perangkat keras adalah bahwa jika Anda melakukan semuanya dengan benar, dana Anda aman. Eksploitasi Coldcard membuktikan bahwa melakukan semuanya dengan benar tidak selalu cukup jika perangkat keras itu sendiri memiliki cacat yang tidak bisa Anda lihat.
PERANGKAT APA SAJA YANG TERDAMPAK
Pelaku mengeksploitasi versi firmware 4.0.1 hingga 4.1.9 yang mencakup dari Maret 2021 hingga rilis patch pada Juli 2026.
Artinya, setiap pengguna Coldcard yang menghasilkan seed phrase mereka pada firmware dalam rentang tersebut berpotensi rentan. Kelemahan ini memengaruhi model Mk3, Mk4, Mk5, dan Q dalam tingkat yang berbeda, dengan perangkat Mk3 memiliki kekuatan kunci terlemah sekitar 40 bit.
Memperbarui firmware tidak memperbaiki dompet yang sudah ada. Siapa pun yang menghasilkan seed pada Coldcard antara Maret 2021 dan rilis patch harus memperlakukannya sebagai terkompromi dan memigrasikan ke seed baru.
Ini sangat penting. Menginstal firmware terbaru tidak membatalkan kerusakan. Jika dompet Anda disiapkan selama periode yang terdampak, seed phrase yang dihasilkannya tetap lemah terlepas dari versi firmware yang Anda jalankan sekarang. Satu-satunya tindakan aman adalah membuat seed yang benar-benar baru pada perangkat yang sudah dipatch dan memindahkan dana ke dompet baru tersebut.
PERTANYAAN LEBIH LUAS YANG TIMBUL
Insiden ini adalah eksploit dompet perangkat keras terbesar dalam sejarah kripto dan memaksa seluruh model self custody Bitcoin untuk menjawab pertanyaan yang selama ini dihindari sejak awal: siapa yang mengaudit kode yang menghasilkan kunci Anda?
Dompet perangkat keras dipercaya karena seharusnya lebih aman daripada dompet perangkat lunak atau akun bursa. Pengguna membelinya secara khusus karena ingin menghapus dana mereka dari permukaan serangan online mana pun. Eksploitasi Coldcard menunjukkan bahwa keamanan dompet perangkat keras sepenuhnya bergantung pada integritas firmware-nya dan kualitas kode pada setiap langkah pengembangan.
Firmware Coinkite bersifat open source yang umumnya dianggap sebagai keunggulan keamanan karena siapa pun bisa meninjau kodenya. Namun, open source tidak berarti setiap baris kode ditinjau secara menyeluruh oleh pakar independen. Kerentanan yang diperkenalkan pada Maret 2021 tetap tidak terdeteksi selama lebih dari lima tahun.
CEO Onramp Michael Tanguma mencatat bahwa self custody dan ETF memiliki kelemahan yang sama: satu titik kegagalan. Pada ETF, titik tunggal itu adalah kustodian. Pada self custody, titik tunggal itu adalah perangkat dan kode yang berjalan di atasnya.
Tak satu pun yang benar-benar aman. Keduanya hanya memiliki mode kegagalan yang berbeda.
APA YANG HARUS DILAKUKAN SEGERA OLEH PENGGUNA YANG TERDAMPAK
Jika Anda memiliki Coldcard yang disiapkan antara Maret 2021 hingga Juli 2026, inilah yang direkomendasikan komunitas keamanan:
Anggap seed Anda saat ini sudah dikompromikan, terlepas apakah dana Anda sudah berpindah atau belum
Siapkan Coldcard yang benar-benar baru dengan firmware terbaru yang sudah dipatch dan buat seed baru sepenuhnya
Pindahkan semua dana dari alamat dompet lama Anda ke alamat baru yang dihasilkan pada seed baru
Lakukan ini dengan segera karena dompet yang masih rentan dan belum sempat dikuras mungkin masih menjadi target
Jangan sekadar memperbarui firmware pada perangkat Anda yang sudah ada lalu merasa aman. Seed yang dihasilkan di bawah firmware yang rentan masih lemah. Anda perlu seed baru yang dihasilkan dalam kondisi yang bersih.
KESIMPULAN
Kerugian lebih dari $116 juta itu bukan berasal dari elemen aman yang rusak, melainkan dari pembangkitan seed yang lemah—menunjukkan bahwa keamanan dompet perangkat keras tidak hanya soal arsitektur perangkat. Ini menyangkut seluruh lapisan: kualitas pembangkitan seed, kebersihan pembaruan firmware, serta kemampuan pengguna untuk memverifikasi dan merespons peringatan keamanan.
Eksploitasi Coldcard tidak berarti dompet perangkat keras tidak layak digunakan. Artinya, asumsi bahwa perangkat apa pun sepenuhnya tak mungkin salah perlu dihentikan secara permanen.
Self custody masih menjadi salah satu alat paling kuat yang tersedia bagi pengguna kripto. Namun itu disertai tanggung jawab yang melampaui sekadar membeli perangkat yang tepat. Anda perlu tetap mengikuti pembaruan peringatan keamanan, memahami firmware yang dijalankan perangkat Anda, dan bersedia memigrasikan dana ketika kerentanan ditemukan—bahkan bertahun-tahun setelah dompet Anda pertama kali disiapkan.
Pelajaran tersulit dari eksploitasi Coldcard adalah bahwa melakukan semuanya dengan benar hari ini bukan jaminan keamanan jika sesuatu yang salah terjadi pada saat dompet Anda pertama kali dibuat.
Dalam kripto, jenis risiko tersembunyi seperti itu nyata dan selalu ada.
JIKA ANDA MAU LEBIH BANYAK INFORMASI SEPERTI INI, AKAN ADA LAGI YANG AKAN TERUS DATANG TERKAIT RUANG KRIPTO.
UNTUK SAAT INI, IKUTI KAMI DI TWITTER: SMCRESEARCHERS
BNB
741.86
-0.50%