Skala eksploitasi dompet perangkat keras Coldcard menjadi semakin jelas. Galaxy Research kini telah mengonfirmasi dengan kepercayaan tinggi bahwa setidaknya 1.719 BTC telah dicuri dari beberapa akun pengguna, dengan nilai kompromi sekitar $111 juta berdasarkan harga terbaru. Namun, angka tersebut mungkin bukan batas tertinggi. Total kerugian, menurut penilaian terbaru tim peneliti yang dikutip dalam laporan asli, kemungkinan akan melebihi $130 juta setelah semua kasus yang belum diverifikasi dikonfirmasi.
Lebih dari 25 pola serangan berbeda telah diidentifikasi, dan penyelidik kini percaya bahwa beberapa pelaku ancaman secara aktif memanfaatkan kerentanan ini. Jumlah korban terus bertambah; Galaxy mengonfirmasi telah menerima laporan dari lebih dari 250 individu. Jika setiap kasus akhirnya dikonfirmasi, total kerugian bisa melebihi 2.300 BTC. Untuk saat ini, perangkat keras yang diketahui terdampak hanya Coldcard Mk3, Mk4, Mk5, dan model Q. Tidak ada bukti bahwa bug ini menyebar ke perangkat penandatanganan atau dompet lainnya, dan Galaxy tidak menunjukkan bahwa perangkat lunak atau firmware terkait di luar ekosistem Coldcard telah dikompromikan.
Mimpi buruk self-custody
Insiden ini menyerang fondasi utama budaya self-custody. Coldcard secara luas dianggap sebagai salah satu dompet perangkat keras bitcoin paling aman, dirancang khusus untuk penyimpanan tingkat paranoid dengan sistem air-gapped. Fakta bahwa ia telah diretas dalam skala sebesar ini, dengan apa yang tampaknya merupakan jendela eksploitasi yang berlangsung lama, akan menggoyahkan kepercayaan pengguna yang telah mempertaruhkan seluruh kekayaan bersih mereka padanya. Ini juga memperumit percakapan legislatif yang sudah tegang mengenai perlindungan self-custody di Washington. Hanya beberapa hari sebelum pemungutan suara penting di Senat mengenai undang-undang kripto bersejarah—yang dibahas dalam liputan kami tentang bagaimana bank berusaha membentuk ulang RUU tersebut—eksploitasi sebesar ini memberikan poin data baru yang kuat bagi para penentang aturan self-custody yang liberal.
Dompet perangkat keras telah dijual sebagai pertahanan paling utama terhadap serangan peretasan, namun tetap rentan terhadap serangan rantai pasokan, manipulasi firmware, dan eksploitasi saluran samping fisik. Dalam kasus ini, vektor masuk yang tepat belum dijelaskan secara terbuka oleh Coinkite atau Galaxy, tetapi keberadaan begitu banyak pola yang berbeda menunjukkan bahwa ini bukan satu bug tunggal. Generator angka acak yang salah konfigurasi, komponen rantai pasokan yang dikompromikan, atau kelemahan pada protokol komunikasi perangkat semuanya bisa menjadi penyebabnya. Bagi pengguna yang kehilangan dana, ada rasa pahit tambahan bahwa ketidakberubahan Bitcoin membuat pemulihan dana hampir tidak mungkin.
Apa selanjutnya bagi para korban dan pasar
Dengan lebih dari 250 korban yang sudah teridentifikasi, konsekuensi hukum dan reputasi semakin meningkat bagi Coinkite, produsen Coldcard. Perusahaan belum merilis laporan teknis mendalam pasca-insiden, dan pasar menunggu untuk melihat apakah patch bahkan mungkin dilakukan untuk perangkat keras yang sudah ada atau apakah penggantian diperlukan. Sampai saat ini, hanya produk Coldcard sendiri yang tampaknya terinfeksi, tetapi penemuan beberapa penyerang independen menunjukkan bahwa kerentanan ini mungkin sudah diketahui luas di kalangan tertentu sebelum menjadi publik. Hal ini menimbulkan kemungkinan tidak nyaman bahwa eksploitasi tersebut pertama kali ditemukan dan diperdagangkan secara pribadi, baru menjadi berita utama setelah kerugian melonjak.
Dari perspektif institusional, peristiwa ini akan mendorong dana dan pemegang besar untuk lebih teliti dalam memilih perangkat mereka. Solusi multi-sig dan penyimpanan dingin berbasis custodian mungkin mengalami minat yang kembali meningkat. Pertanyaan asuransi juga muncul kembali: sebagian besar pengguna self-custody tidak memiliki cakupan apa pun, sementara custodian yang terregulasi menyertakan asuransi dalam layanan mereka. Angka lebih dari $130 juta, meskipun kecil dibandingkan total kapitalisasi pasar bitcoin, cukup besar untuk menarik perhatian regulator pada saat para pembuat undang-undang sedang mempertimbangkan bagaimana mengklasifikasikan dan mengawasi penyedia dompet.
Ketidakpastian menghantui
Beberapa pertanyaan yang belum terjawab menjadikan ini sebuah cerita yang akan berkembang lebih lanjut. Laporan Galaxy tidak menjelaskan bagaimana para penyerang berhasil mengekstraksi kunci pribadi atau menandatangani transaksi tanpa akses fisik ke perangkat. Kemungkinan kerentanan tersebut memungkinkan penyerang yang mendapatkan akses sementara—mungkin selama pengiriman atau melalui penjual resmi yang telah dikompromikan—untuk kemudian menarik dana tanpa memerlukan akses berkelanjutan. Fakta bahwa lebih dari 25 pola ada menunjukkan bahwa beberapa teknik digunakan, dan tidak dapat dikesampingkan bahwa beberapa korban tanpa sadar menggunakan pembaruan firmware jahat dari sumber tidak resmi.
Komunitas dibiarkan menilai apakah merek Coldcard dapat memulihkan reputasinya. Keamanan dompet perangkat keras sama pentingnya dengan kepercayaan sebagaimana desain kriptografis. Sekali kepercayaan itu rusak pada skala ribuan koin, jalan untuk pulih sangat panjang. Sementara itu, produsen lain kemungkinan akan memanfaatkan peristiwa ini untuk memasarkan perangkat mereka sendiri sebagai yang lebih unggul, dan pelajaran lebih luas bagi industri ini jelas: penyimpanan mandiri menuntut kewaspadaan terus-menerus, dan tidak ada perangkat tunggal yang boleh dianggap sebagai perisai ajaib.