Ketika keamanan perangkat keras gagal, uang bergerak. Itu tampaknya menjadi pelajaran dari kerentanan signifikan yang diungkapkan pada dompet perangkat keras Coldcard lama pada akhir Juli 2026, yang menyebabkan arus modal besar mengalir ke ETF Bitcoin spot termasuk $IBIT, $FBTC, $BITC, $ARKB, dan $MSBT, dengan total aliran harian gabungan mencapai $620 juta setelah pelanggaran tersebut.
Apa sebenarnya yang terjadi dengan Coldcard
Pada 30 Juli 2026, Coinkite, perusahaan Kanada di balik dompet perangkat keras Coldcard, mengungkapkan kerentanan firmware yang memengaruhi model-model lama, termasuk seri Mk3.
Kerentanan tersebut bukan tentang seseorang mencuri perangkat secara fisik. Lebih halus dan, dalam beberapa hal, lebih menakutkan. Kerentanan tersebut mengurangi entropi yang digunakan selama generasi seed phrase menjadi sekitar 40 bit. Dalam bahasa Inggris: randomisasi yang tertanam dalam pembuatan kunci utama dompet jauh lebih lemah daripada seharusnya, sehingga secara matematis memungkinkan penyerang untuk merekonstruksi kunci pribadi dari awal.
Galaxy Research memperkirakan bahwa antara 1.367 hingga 1.816 BTC ditarik dari lebih dari 5.200 alamat dompet dalam beberapa hari setelah penemuan eksploitasi. Dengan harga yang berlaku sekitar waktu pelanggaran, itu setara dengan kerugian sekitar $89 juta hingga $116 juta.
Pencurian berlangsung cepat. Sebagian besar kerusakan terjadi antara akhir Juli dan awal Agustus 2026, dengan Galaxy Research memperkirakan sekitar 1.367 BTC telah diambil dari 4.585 alamat yang terdampak saat laporan awal diterbitkan. CEO Coinkite Rodolfo Novak merespons secara publik pada 31 Juli, menyarankan pengguna yang seed phrase-nya dihasilkan pada perangkat yang terdampak untuk segera mentransfer dana mereka.
Model Coldcard yang lebih baru mengalami tingkat paparan yang lebih rendah. Pengurangan entropi bersifat sebagian, bukan sepenuhnya, pada perangkat keras yang lebih baru, yang membatasi namun tidak menghilangkan kerentanan mereka dibandingkan unit lama.
Harga bitcoin tidak terpengaruh. Arus ETF tidak demikian.
Reaksi harga bitcoin tergolong tenang. Meskipun terjadi pelanggaran yang menghapuskan puluhan juta dolar dari ribuan pemegang dompet, pasar secara keseluruhan hanya mengalami penurunan kecil sekitar 3% sebelum stabil mendekati level sebelumnya.
Sinyal yang lebih menarik datang dari arus ETF. ETF Bitcoin spot mencatat aliran masuk harian gabungan sebesar $620 juta selama periode setelah pengungkapan Coldcard, meliputi ticker-ticker seperti iShares Bitcoin Trust, Fidelity Wise Origin Bitcoin Fund, ARK 21Shares Bitcoin ETF, dan lainnya. Aliran masuk per sesi dalam periode tersebut berkisar dari $91,84 juta di sisi terendah hingga total antara $170 juta hingga $244 juta pada hari-hari yang lebih kuat.
Penelitian mencatat bahwa laporan mengenai korelasi langsung antara peretasan dan masuknya dana sebesar $620 juta ke dalam ETF bitcoin belum terkonfirmasi, meskipun waktu kejadian menunjukkan kemungkinan perpindahan ke aset yang lebih aman di kalangan investor yang menyadari risiko yang ditimbulkan oleh kerentanan perangkat keras. Angka $620 juta mencakup beberapa produk, yang berarti ini bukan anomali dana tunggal yang didorong oleh satu transaksi institusional besar.
Apa artinya ini bagi perdebatan tentang self-custody
Sebuah kelemahan firmware yang mengompromikan generasi entropi tidak hanya memengaruhi orang-orang yang kehilangan dana. Itu memunculkan keraguan di kalangan pengguna dompet perangkat keras yang lebih luas yang tidak tahu apakah seed phrase mereka sendiri dihasilkan dengan keacakan yang cukup.
Bagi investor yang saat ini memegang bitcoin dalam self-custody pada perangkat lama, pertanyaan praktis segera adalah apakah seed phrase mereka dihasilkan pada perangkat atau versi firmware yang terpengaruh oleh kelemahan entropi yang berkurang.