Coldcard Menghadapi Gelombang Serangan Terorganisir Keempat—388,9 BTC Dicuri dalam 14 Blok

Pengguna Coldcard sedang menghadapi gelombang keempat pencurian terorganisasi, dan angkanya tidak lagi merupakan kesalahan pembulatan. Alex Thorn, Kepala Riset di Galaxy Research, menandai munculnya aktivitas jahat baru yang menguras sekitar 388,9 BTC dari 462 alamat korban dalam hanya 14 blok—antara 960.778 dan 960.792. Serangan ini menghasilkan 218 transaksi yang mengalirkan bitcoin ke 216 tujuan yang sebelumnya tidak dikenal. Volume transaksi meningkat hingga sekitar 45 kali lipat dari baseline sebelum insiden, meninggalkan sedikit keraguan bahwa ini adalah operasi yang disengaja dan terstruktur.

Peringatan tersebut datang melalui laporan asli, yang juga mencatat bahwa sebagian dana yang dicuri telah dilacak ke alamat langkah kedua. Transaksi serupa masih tertunda di mempool, menunjukkan bahwa proses pengambilan belum sepenuhnya selesai. Aktivitas yang dikonfirmasi di blockchain menunjukkan adanya opt-in yang disinyalkan untuk Replace-by-Fee (RBF), detail yang bisa memberikan jalan keluar sempit bagi korban yang bertindak cepat.

Apa yang membedakan gelombang ini dari pencurian oportunis adalah kecepatan dan koordinasi. 462 alamat diserang dalam jendela waktu yang rapat, dengan arus keluar menuju tujuan yang belum pernah digunakan sebelumnya. Pola ini—alamat baru, konsolidasi berkecepatan tinggi, dan volume jauh di atas normal—menunjukkan skrip yang direncanakan sebelumnya, bukan tindakan manual. Pencurian terjadi pada akhir pekan, ketika banyak pengguna mungkin tidak memantau transaksi. Galaxy Research mencatat bahwa sejumlah dana sudah dipindahkan ke dompet tahap kedua, mempersulit upaya pelacakan dan membuat pemulihan tidak mungkin tanpa intervensi segera.

Flag RBF menawarkan jalan keluar, tetapi hanya bagi mereka yang menyadari serangan saat transaksi mereka masih dapat diganti. Pengguna dengan transaksi keluar yang tertunda dan belum dikonfirmasi yang tidak dipancarkan dengan biaya rendah berpotensi mempercepat transaksi pesaing ke alamat yang aman. Ini adalah jendela yang sempit, dan memerlukan kesadaran teknis. Untuk sebagian besar korban, dana sudah hilang.

Ini bukan pertama kalinya pemilik Coldcard mengalami hal ini. Menurut Galaxy Research, gelombang sebelumnya mengidentifikasi tiga kampanye serangan terpisah yang menargetkan alamat yang dihasilkan oleh Coldcard. Secara kumulatif, gelombang-gelombang tersebut menguras 1.367,05 BTC dari 4.585 alamat—senilai sekitar $88,6 juta pada saat pencurian terjadi. Kejadian sebelumnya mendorong Coldcard untuk mengakui kerentanan firmware yang memungkinkan penyerang menurunkan kunci pribadi dari benih yang dibuat pada perangkat yang terdampak.

Pabrikan perangkat keras menghentikan pengiriman dan menghancurkan semua perangkat COLDCARD yang tersisa dengan firmware rentan. Produk Satscard, Opendime, dan Tapsigner tidak terpengaruh. Coldcard merilis firmware yang telah diperbaiki yang melindungi benih yang baru dibuat, tetapi perbaikan ini tidak bersifat retroaktif. Setiap benih yang dibuat pada firmware rentan tetap terkompromi. Panduan perusahaan tegas: buat benih baru pada firmware yang telah diperbaiki dan pindahkan semua dana dari benih lama segera. Gelombang keempat menunjukkan bahwa banyak pengguna belum melakukannya, dan penyerang memanfaatkan ketidakaktifan ini secara sistematis.

Keputusan Coldcard untuk menghentikan pengiriman dan menghancurkan inventaris adalah langkah drastis namun diperlukan yang jarang diambil secara publik oleh vendor perangkat keras lainnya. Hal ini menandakan bahwa kerentanan tersebut bukanlah kasus tepi teoretis. Namun, peluncuran patch mengungkapkan gesekan yang melekat pada self-custody. Pengguna harus membuat seed phrase baru, sebuah proses yang memaksa perubahan lengkap terhadap alamat dompet dan seringkali memerlukan pembaruan perangkat lunak dompet terhubung, pengaturan multisig, dan prosedur cadangan. Migrasi ini tidak sepele, dan gelombang serangan yang sedang berlangsung sedang menghukum siapa pun yang menunda.

Bagi mereka yang masih menyimpan dana pada seed yang berasal dari firmware yang rentan, saran dari Galaxy Research sangat mendesak: pindahkan dana dari perangkat Coldcard sekarang, gunakan biaya lebih tinggi dari biasanya untuk mempercepat transaksi, dan manfaatkan RBF jika dompet Anda mendukungnya. Penarikan alamat pada gelombang keempat menunjukkan bahwa penyerang secara aktif memantau jaringan untuk mencari saldo yang tersisa.

Episode Coldcard lebih dari sekadar bug perangkat keras—ia mengekspos risiko rantai pasok dan siklus hidup yang tertanam dalam self-custody. Pengguna mempercayai firmware yang dikirimkan dari produsen, dan bahkan proses verifikasi open-source pun bisa dilewati. Ketika kelemahan dalam generasi seed tidak terdeteksi selama berbulan-bulan, pembersihan berikutnya menjadi berantakan dan lambat. Fakta bahwa empat gelombang serangan berbeda dapat terjadi, masing-masing terpisah berbulan-bulan, menunjukkan bahwa penyerang sabar dan memiliki metode andal untuk mencocokkan seed dengan alamat, kemungkinan besar dari ekstrak yang dibuang dari periode randomisasi lemah.

Apa yang masih belum jelas adalah apakah penyerang memegang seluruh daftar seed yang dikompromikan atau hanya sebagian kecil, dan apakah ada kerentanan tambahan di versi firmware sebelumnya yang belum diungkapkan oleh Coldcard. Sifat berkelanjutan dari serangan ini menunjukkan bahwa daftar tersebut mungkin besar, dan 462 alamat dalam gelombang ini mungkin hanya batch terbaru. Jika penyerang terus melakukan pengambilan secara sistematis, total kerugian bisa meningkat lebih jauh. Untuk pasar dompet perangkat keras secara lebih luas, dampaknya adalah pengingat bahwa audit firmware dan pelaporan kerentanan yang transparan bukanlah pilihan—mereka adalah inti dari janji keamanan produk.