Kerentanan keamanan fatal terdeteksi pada dompet perangkat keras Coldcard yang memicu aksi peretasan massal terhadap kunci Bitcoin milik pengguna. Kasus eksploitasi celah keamanan ini dilansir dari Detik iNET yang merujuk pada laporan Techspot.
Kesalahan pada sistem firmware yang telah aktif sejak Maret 2021 memungkinkan peretas menebak seed phrase korban. Total kerugian pengguna akibat pembobolan ini mencapai lebih dari USD 88 juta atau setara Rp 1,4 triliun.
Aksi pencurian dana tersebut berhasil dijalankan sepenuhnya dari jarak jauh tanpa membutuhkan akses fisik ke dompet perangkat keras. Pelaku juga tidak menggunakan metode phishing maupun infeksi malware untuk menguras isi dompet korban.
Penyebab utama kegagalan keamanan ini bermula dari kesalahan integrasi firmware. Perangkat Coldcard yang terdampak gagal mengaktifkan chip generator angka acak STM32 untuk membuat seed phrase atau kode sandi utama.
Sistem perangkat justru beralih secara otomatis ke software cadangan yang memiliki tingkat perlindungan sangat lemah. Kesalahan koding tersebut membuat proses pengumpulan entropi atau tingkat keacakan tidak berjalan optimal.
Tingkat kekuatan entropi perangkat merosot tajam dari standar aman 128-bit menjadi hanya 40 hingga 72-bit. Penurunan ini membuat kombinasi acak rentan ditebak menggunakan komputer biasa.
Peretas yang mengantongi data waktu nyala perangkat serta nomor seri berhasil merekonstruksi kombinasi angka acak. Data hasil tebakan tersebut kemudian digunakan untuk membobol alamat dompet korban.
Tiga gelombang serangan beruntun
Berdasarkan data riset firma Galaxy Research, aksi pembobolan menyasar lini produk Coldcard buatan produsen Coinkite. Serangan gelombang pertama terdeteksi pada 30 Juli saat pelaku membobol 1.196 alamat Bitcoin.
Peretas menguras 1.082,65 BTC senilai USD 70,2 juta hanya dalam durasi 41 menit. Setelah gelombang pertama, dua aksi peretasan susulan kembali terjadi secara beruntun.
Akumulasi kerugian sementara akibat insiden ini mencapai 1.367,05 BTC atau bernilai USD 88,6 juta dari 4.585 alamat pengguna. Galaxy Research memperingatkan bahwa jumlah total pencurian berpotensi terus meningkat seiring analisis aktivitas on-chain.
Pembaruan sistem dan jaminan keamanan
Coinkite merilis pembaruan firmware darurat pada 31 Juli untuk seluruh model yang terdampak. Namun, perbaikan sistem ini tidak dapat memulihkan seed phrase yang dibuat sebelum pembaruan.
Perusahaan mengimbau seluruh pemilik perangkat untuk segera membuat seed phrase baru menggunakan firmware terbaru. Koin yang tersimpan wajib dipindahkan ke alamat dompet baru.
Pengguna yang membuat seed phrase secara manual menggunakan metode lemparan dadu dilaporkan aman dari ancaman kerentanan ini. Di sisi lain, insiden tersebut memicu skeptisisme terhadap keandalan sistem cold storage.
Jonathan Goodman, salah satu korban yang kehilangan dana sekitar USD 1,6 juta, mengutarakan bahwa perangkat Coldcard miliknya disimpan di dalam brankas serta tidak pernah terhubung ke jaringan internet.
"Saya sudah melakukan semuanya dengan benar," tulis Jonathan Goodman dalam unggahan di media sosial X.
Keberadaan bug kritis yang mengendap selama lebih dari tiga tahun pada perangkat kelas atas menimbulkan perdebatan baru di kalangan komunitas Bitcoin terkait jaminan keamanan metode self-custody.
