CEO Coinkite, NVK, kembali memicu perdebatan sengit mengenai postur keamanan perusahaan setelah membela peninjauan yang dilakukan sebelum eksploitasi dan mengatakan bahwa model AI baru menemukan celah pada pembuatan seed yang luput dari auditor manusia. Pernyataan NVK - Pada 9 November, NVK mengunggah di X bahwa upaya keamanan Coinkite mencakup peninjauan perangkat keras dan firmware, alat yang terkait dengan pembuatan angka acak (RNG), serta kontrol perilisan. Ia menyebut setidaknya dua peninjauan produk berbayar oleh pihak ketiga (peninjauan Mk4 pada 2022 dan peninjauan Q pada 2024) dan mengatakan bahwa setidaknya 15 peninjauan eksternal atau upaya riset yang terdokumentasi telah memeriksa komponen Coldcard yang berkaitan dengan RNG atau proses perilisan sebelum eksploitasi tersebut. - NVK juga mengatakan bahwa peninjauan Rob Ham menggunakan OpenAI Cybersecurity Harness menghasilkan 85 temuan potensial sebelum insiden itu dan beberapa di antaranya mendorong perbaikan — tetapi cacat pembuatan seed tidak termasuk di dalamnya. “Kenyataan yang tidak mengenakkan adalah bahwa model AI baru diperlukan untuk menemukan hal yang tidak bisa ditemukan manusia,” tulisnya. Tanggapan dari komunitas Bitcoin - Pengembang Bitcoin Luke Dashjr menanggapi dengan membantah, mengatakan bahwa ia telah memberi tahu Coinkite secara pribadi tentang sejumlah masalah dan kini mengungkapkannya kepada publik. Dashjr menegaskan bahwa ia tidak mengklaim semua hal yang ditandai merupakan bug atau dapat dieksploitasi, dan peninjauannya hanya pemeriksaan singkat, bukan audit menyeluruh. - Dashjr secara khusus membantah kesan dari pernyataan NVK bahwa hanya AI canggih yang bisa menemukan masalah RNG tersebut. - Anggota komunitas lainnya mempertanyakan cara Coinkite menangani pengawasan dari pihak luar. Alex Waltz menuduh perusahaan menghambat pemeriksaan kode; komentator lain berpendapat bahwa peninjauan seluruh kode secara ad hoc berbeda dari QA berkelanjutan dan lebih mudah melewatkan “jarum di tumpukan jerami” tanpa pengujian yang terintegrasi. - Pihak yang membela NVK mencatat bahwa para peninjau sebelumnya telah memeriksa sistem entropi tanpa berhasil mereproduksi kegagalan tersebut, dan menantang para pengkritik untuk membuat laporan bug yang dapat direproduksi alih-alih mengirim pesan pribadi. Peringatan dan penyelidikan terdahulu - Unggahan James O’Beirne kembali muncul dalam diskusi. O’Beirne mengatakan bahwa ia mulai memeriksa firmware Coldcard pada Mei 2025 untuk menelusuri sumber entropi, menyampaikan kekhawatiran tentang pustaka libngu dan konstanta fallback perangkat lunak yang dikodekan secara permanen, serta menyarankan agar perangkat lunak ditautkan langsung ke libsecp256k1. Ia mengatakan bahwa ia tidak menyelidiki masalah itu secara menyeluruh dan kemudian menerima laporan terpisah yang kredibel bahwa seseorang telah memperingatkan Coinkite tentang masalah entropi pada 2021 — yang berarti mungkin ada beberapa peringatan sebelumnya yang diterima perusahaan. - Analisis TRM Labs tertanggal 5 Agustus (dikutip oleh Galaxy Research) memperkirakan sekitar 1.816 BTC dicuri dari lebih dari 5.200 alamat dalam empat gelombang yang dimulai pada 30 Juli. Kerentanan itu berawal dari kesalahan konfigurasi build pada Maret 2021 yang memilih RNG perangkat lunak yang lemah; pada beberapa perangkat lama, kekuatan seed efektif turun menjadi sekitar 40 bit dari 128 bit yang seharusnya, sehingga penyerang dapat merekonstruksi kunci tanpa akses fisik. - Pergerakan dana lanjutan dilaporkan pada September. Alex Thorn dari Galaxy Research melacak seorang penyerang pada gelombang ketiga yang menukar sekitar 10% Bitcoin milik penyerang tersebut menjadi Ether melalui THORChain. Thorn juga mengatakan bahwa identitas penyerang “mungkin diketahui oleh penegak hukum”, meski belum ada laporan terkonfirmasi tentang identifikasi oleh FBI atau pemulihan dana. Tanggapan dan panduan Coinkite - Halaman keamanan Coinkite menggambarkan catatan yang dipublikasikan sebagai postmortem yang terus diperbarui dan menyebutkan bahwa laporan teknis terperinci masih disiapkan. Halaman tersebut membedakan pemeriksaan independen yang terarah dari audit menyeluruh terhadap setiap biner firmware yang telah diperbaiki, serta mencantumkan upaya seperti pengujian keacakan perangkat keras, peninjauan kode sumber, dan proses build yang dapat direproduksi. - Rilis yang saat ini direkomendasikan adalah 5.6.3 untuk Mk4/Mk5 dan 1.5.3Q untuk Q. Peringatan tersebut menyebutkan bahwa pembaruan firmware tidak dapat memperbaiki seed yang sudah terdampak. Langkah migrasinya: buat seed baru, buat cadangan terverifikasi dan alamat penerima, kirim transfer uji dalam jumlah kecil, lalu pindahkan sisa dana. Mengapa ini penting - Peristiwa ini menyoroti ketegangan antara audit tradisional oleh manusia, praktik QA berkelanjutan, dan perangkat otomatis yang sedang berkembang — termasuk audit berbantuan AI — dalam mengamankan dompet perangkat keras. Peristiwa ini juga menggarisbawahi dampak berkepanjangan dari kesalahan konfigurasi dan rantai pasokan: kesalahan kecil saat build pada 2021 dilaporkan menimbulkan kelemahan yang baru dieksploitasi bertahun-tahun kemudian, sehingga pengguna kehilangan dana dalam jumlah besar. Hal yang perlu diperhatikan selanjutnya - Komunitas menantikan laporan teknis terperinci dari Coinkite dan pembaruan forensik lebih lanjut dari penegak hukum atau perusahaan analitik. Sementara itu, pengguna yang terdampak diminta mengikuti panduan migrasi — membuat seed baru dan memindahkan dana — karena pembaruan firmware saja tidak akan menyelamatkan seed yang telah disusupi. Baca berita lain yang dihasilkan AI di: https://app.chaingpt.org/news