Sebuah bug firmware yang diperkenalkan pada Maret 2021 oleh pembuat dompet perangkat keras Kanada, Coinkite, secara diam-diam melemahkan tingkat keacakan yang digunakan untuk menghasilkan seed phrase pada perangkat Coldcard yang terdampak. Alih-alih mengambil dari sumber entropi yang kuat, kelemahan ini mengalihkan generasi seed ke generator angka semu berbasis perangkat lunak. Dalam bahasa sederhana: angka "acak" tersebut tidak cukup acak, sehingga secara matematis memungkinkan penyerang merekonstruksi kunci pribadi tanpa pernah menyentuh perangkat fisik.
Seberapa buruk kondisinya
Gelombang serangan utama pertama melanda pada 30 Juli 2026. Dalam sekitar 25 menit, sekitar 594 BTC, senilai sekitar $38 juta, menghilang dari sekitar 500 alamat. Itu baru awalnya saja.
Galaxy Research mengidentifikasi setidaknya tiga gelombang serangan terpisah. Pada awal Agustus 2026, total kerugian telah meningkat menjadi 1.816 BTC, bernilai antara $114 juta dan $116 juta, tersebar di lebih dari 5.200 alamat yang dikompromikan. Serangan tersebut fokus hampir secara eksklusif pada dompet single-signature, pengaturan yang paling sering digunakan pengguna sehari-hari, tanpa lapisan keamanan tambahan yang disediakan oleh konfigurasi multi-signature.
CEO Coinkite dan tim teknik di Block mengonfirmasi keberadaan bug tersebut. Pembaruan firmware darurat dikeluarkan, dengan instruksi mendesak bagi pengguna yang terdampak untuk membuat seed phrase baru dan memindahkan dana segera. Bagi banyak orang, saran itu datang terlambat.
Kerentanan itu sendiri berasal dari 1 Maret 2021, memengaruhi Coldcard Mk3 dan model-model utama lainnya pada masa itu.
Apa artinya ini bagi reputasi self-custody
Dompet perangkat keras seharusnya menjadi standar emas. Offline, terpisah dari jaringan, kebal terhadap eksploitasi jarak jauh. Insiden Coldcard langsung bertentangan dengan narasi itu, dan waktunya penting: ini bukan cerita tentang bursa yang mencurigakan atau protokol DeFi yang sementara. Coinkite adalah salah satu nama paling dihormati dalam budaya keamanan Bitcoin.
Itu membuka pintu bagi ETF Bitcoin. ETF Bitcoin spot sudah menghilangkan beban operasional manajemen kunci bagi investor institusional dan ritel yang menginginkan eksposur terhadap bitcoin tanpa kekhawatiran dompet. Peretasan perangkat keras terpercaya senilai $114 juta mempercepat argumen ini secara signifikan.
Penyimpan institusional berpotensi mendapatkan manfaat paling langsung. Perusahaan yang sudah beroperasi di bawah kerangka regulasi, membawa asuransi, dan menjalankan penyimpanan multi-party computation atau multi-signature secara skala besar sekarang memiliki titik data baru untuk menjadi pembeda dalam setiap percakapan penjualan.
Dompet single-signature, target utama dalam serangan ini, tetap menjadi pengaturan paling umum di kalangan pemegang perorangan. Setiap migrasi bermakna dari model tersebut, baik menuju ETF, pengaturan multi-signature, atau layanan penitipan terkelola, akan mewakili perubahan struktural dalam distribusi kepemilikan Bitcoin.