Dana yang dicuri terkait eksploitasi dompet perangkat keras Coldcard menunjukkan tanda-tanda awal pencucian uang, tetapi para peneliti keamanan blockchain mengatakan sebagian besar peniru potensial belum memindahkan jumlah besar kripto korban. Menurut CertiK, sekitar 64 Bitcoin (senilai sekitar $4,17 juta) dan 200 Ether (senilai sekitar $380.000) yang terkait dengan serangan tersebut dialihkan ke layanan pencampuran terkenal—Wasabi untuk BTC dan Tornado Cash untuk ETH.
Insiden Coldcard dengan cepat menjadi salah satu peretasan kripto terbesar tahun ini. Galaxy Digital sebelumnya memperkirakan kerugian yang dikonfirmasi setidaknya sebesar $100 juta dalam Bitcoin melalui tiga gelombang, dan juga menandai kemungkinan gelombang keempat yang dapat meningkatkan total kerugian menjadi sekitar $130 juta.
Poin utama
- CertiK mengatakan sekitar 64 BTC yang terkait dengan eksploitasi Coldcard dikirim ke Wasabi, dan 200 ETH dipindahkan ke Tornado Cash.
- Layanan pencampuran biasanya menggabungkan dana dan mengaburkan keterkaitan onchain, mengurangi kemungkinan pemulihan bagi korban.
- Pelacakan TRM Labs menunjukkan bahwa sebagian besar saldo korban tetap terkonsentrasi pada sejumlah kecil alamat yang dikendalikan penyerang dengan aktivitas pencampuran terbatas.
- Analisis pola transaksi di seluruh gelombang serangan menunjukkan bahwa eksploitasi mungkin melibatkan lebih dari satu pelaku.
Layanan pencampuran memasuki gambar pencucian uang Coldcard
Pemantauan blockchain CertiK menghubungkan aktivitas transfer tertentu dengan eksploitasi Coldcard dan memetakan sebagian aliran ke alat privasi dan pengaburan. Dalam laporannya, CertiK menyatakan bahwa transfer bitcoin—yang bersumber dari alamat bc1q0—dikirim ke protokol pencampuran Wasabi pada hari Selasa, menggunakan data alamat CertiK yang dibagikan dengan Cointelegraph.
Di sisi Ethereum, CertiK menyatakan bahwa 200 ETH dikirim ke Tornado Cash pada hari Rabu, dengan merujuk pada X post dari akunnya sebagai dasar pengamatan tersebut.
Crypto mixer seperti Tornado Cash beroperasi dengan mengumpulkan setoran dari beberapa pengguna, lalu melepaskan dana dengan cara yang memutus pelacakan langsung di blockchain dari pengirim asli ke penerima akhir. Fitur inilah yang membuat pelacakan menjadi lebih sulit dan pemulihan aset menjadi kurang mungkin—terutama ketika penyerang bergerak cepat dan memecah dana ke berbagai alamat dan layanan.
Mengapa ini penting: pencucian momentum vs. perilaku meniru
Perwakilan CertiK mengatakan kepada Cointelegraph bahwa aktivitas tersebut kemungkinan terkait dengan pelaku eksploitasi yang lebih kecil, menambahkan bahwa “kemungkinan ada beberapa peniru setelah eksploitasi awal.” Implikasinya jelas: jika pihak tambahan menggunakan kelemahan yang sama, pergerakan onchain mereka dapat membantu atau menghambat penyelidik tergantung pada apakah mereka melanjutkan dengan pencucian uang secara besar-besaran.
Di situlah temuan TRM Labs menjadi penting. Dalam laporan Kamis berjudul “Eksploitasi dompet perangkat keras terbesar tahun 2026: di balik peretasan Coldcard senilai $116 juta”, TRM Labs mengatakan pelacakan onchain-nya menunjukkan sebagian besar dana korban masih terkumpul di sejumlah terbatas alamat yang dikendalikan penyerang dan upaya pencampuran tampak terbatas.
TRM Labs juga menyoroti bahwa "perbedaan dalam konstruksi transaksi" antara setiap gelombang menunjukkan adanya beberapa penyerang. Dengan kata lain, meskipun kerentanan mendasarnya sama, playbook operasional mungkin tidak identik—asimetri yang dapat bermanfaat bagi penyelidik yang berusaha memisahkan identitas peserta, sumber pendanaan, dan jalur pencucian uang.
Skala serangan Coldcard dan pola “gelombang”
Galaxy Digital sebelumnya menggambarkan eksploit Coldcard sebagai peretasan mata uang kripto terbesar ketiga pada 2026 hingga kini, berdasarkan aktivitas yang dikonfirmasi. Dalam penilaianya, Galaxy memperkirakan kerugian yang diambil mencapai setidaknya $100 juta dalam bitcoin melalui tiga gelombang serangan yang terverifikasi yang melibatkan 7.300 dompet korban. Galaxy juga menunjuk pada kemungkinan gelombang keempat yang dapat meningkatkan total kerugian menjadi sekitar $130 juta dalam BTC, menurut liputan sebelumnya dari Cointelegraph.
Temuan berbasis gelombang tersebut penting dalam cara analis menafsirkan pencucian uang. Jika penyerang tidak mendistribusikan dana secara agresif—atau jika hanya sebagian kecil dari aset yang dicuri yang telah dipindahkan ke mixer—maka dimensi waktu menjadi krusial: penyelidik mungkin masih menunggu tindak lanjut yang lebih luas saat aktor tambahan atau sejumlah tambahan dana yang dicuri mulai bergerak.
Analisis sebelumnya oleh Galaxy, yang juga dikutip oleh Cointelegraph, menunjukkan setidaknya 15 penyerang berbeda memanfaatkan kerentanan tersebut. Ini sejalan dengan poin TRM Labs mengenai perbedaan dalam konstruksi transaksi antar gelombang, yang memperkuat gagasan bahwa apa yang tampak seperti satu insiden sebenarnya bisa jadi operasi terkoordinasi (atau setidaknya paralel) dengan peserta yang berbeda.
Kelemahan teknis di balik eksploit
Laporan TRM Labs mengaitkan sebagian kerentanan tersebut dengan bug firmware dari Maret 2021 yang melemahkan keacakan benih pada beberapa dompet Coldcard. Menurut TRM Labs, bug tersebut secara efektif mengurangi kekuatan kunci dari 128 bit menjadi 40 bit, sehingga menjadi “dapat dipecahkan dengan brute-force tanpa akses fisik.”
Komentar lain seputar perbaikan tersebut menekankan biaya rendah dari praktik keamanan yang lebih baik. Mitra manajemen Dragonfly, Haseeb Qureshi menulis bahwa sekitar “$2 untuk penguatan AI” dapat mencegah eksploitasi Coldcard, merujuk pada laporan media sosial yang menyatakan beberapa model AI menemukan kembali kerentanan ini dengan cepat—meskipun klaim tersebut disajikan sebagai komentar, bukan temuan teknis resmi.
Bagi investor dan pengembang, poin utama adalah bukan tentang harga tunggal tertentu, melainkan seberapa cepat kelemahan dapat dimanfaatkan setelah pengetahuan publik menyebar. Ketika kerentanan dapat dieksploitasi secara jarak jauh dan dalam skala besar, respons insiden harus mempertimbangkan baik penyerang segera maupun peniru jangka panjang.
Ke depan, pembaca harus memantau apakah alamat-alamat yang dikendalikan oleh penyerang tambahan mulai mendorong sebagian lebih besar dari saldo yang dicuri ke layanan pencampuran, dan apakah gelombang keempat yang "diduga" dikonfirmasi oleh Galaxy berkembang lebih lanjut. Semakin banyak dana yang bergerak—atau gagal bergerak—onchain, para penyelidik akan mendapatkan sinyal yang lebih jelas tentang berapa banyak pelaku yang terlibat dan seberapa sukses mereka dalam memutuskan jejak.
Artikel ini awalnya diterbitkan sebagai Coldcard Hackers Kirim 64 BTC dan 200 ETH ke Crypto Mixers di Crypto Breaking News – sumber tepercaya Anda untuk berita crypto, berita Bitcoin, dan pembaruan blockchain.