ACEH — Serangan ini menyasar para pemegang Bitcoin yang mengandalkan Coldcard, perangkat penyimpanan aset kripto offline buatan Coinkite. Galaxy Research, firma analis blockchain, menyebut sedikitnya ada belasan kelompok peretas berbeda yang terlibat dalam aksi pencurian massal ini. Hingga Selasa lalu, total kerugian yang berhasil dilacak mencapai angka US$130 juta, dan estimasi tersebut dibenarkan oleh Tom Robinson, salah satu pendiri sekaligus kepala ilmuwan di firma pemantau kripto, Elliptic.
Yang membuat kasus ini terbilang unik adalah fakta bahwa para korban telah melakukan langkah penyimpanan yang benar. Jonathan Goodman, salah satu korban yang kehilangan US$1,6 juta (sekitar Rp 26 miliar), mengaku tidak pernah membagikan seed phrase-nya kepada siapa pun. Perangkatnya juga tidak pernah tersambung ke internet dan disimpan di dalam brankas fisik.
"Tidak ada satu pun yang berarti. Semua ini karena perangkat keras yang membuat seed phrase awalnya memiliki satu baris kode dari tahun 2021 yang punya celah," tulis Goodman di akun X miliknya.
Para peneliti keamanan dari Block menemukan bahwa celah tersebut terletak pada proses pembuatan seed phrase di Coldcard. Algoritma yang digunakan ternyata bisa diprediksi, sehingga peretas hanya perlu melakukan serangan brute-force untuk menebak kombinasi kunci yang benar. Mereka tidak perlu meretas perangkat fisik, melainkan cukup "memotong kunci" secara massal dari jarak jauh.
Sepanjang tahun ini saja, TRM Labs mencatat telah terjadi lebih dari 200 serangan siber yang menargetkan perusahaan kripto, dengan total kerugian menembus US$950 juta. Serangan terhadap pengguna Coldcard ini menjadi salah satu gelombang terbaru yang menyasar individu, bukan bursa atau platform terpusat.
Menanggapi insiden ini, Coinkite telah menerbitkan advisory resmi pada Kamis lalu dan memperbaruinya pada Sabtu. Pengguna diminta untuk segera memperbarui firmware perangkat mereka ke versi terbaru. Langkah kedua yang tak kalah penting adalah melakukan migrasi ke seed phrase baru setelah proses update selesai, untuk memastikan kunci lama yang sudah terkompromi tidak lagi digunakan.
Hingga berita ini diturunkan, Coinkite belum memberikan tanggapan resmi terkait detail teknis kerentanan dan jumlah pasti perangkat yang terdampak.
Bagi pengguna Coldcard di Indonesia, insiden ini menjadi pengingat bahwa perangkat "dingin" sekalipun bukan jaminan keamanan mutlak jika rantai pasok perangkat lunaknya memiliki cacat. Pastikan untuk selalu memeriksa versi firmware dan segera lakukan migrasi jika perangkat Anda termasuk dalam daftar yang terdampak.