Coldcard Diduga Mengalami Serangan Keempat, Menyebabkan Kerugian 389 BTC

Menyimpan dompet dingin di laci tidak berarti risikonya juga terkunci di dalam laci.

Sebuah serangan yang diduga gelombang keempat Coldcard, ditandai sebagai "Galaxy’s Thorn", berhasil mencuri 389 bitcoin. Jumlahnya cukup mencolok, tetapi yang lebih mengkhawatirkan bukanlah besarnya kerugian itu sendiri, melainkan rantai operasi yang biasa dikenal oleh pengguna penyimpanan dingin: membeli perangkat, inisialisasi, mencadangkan kata sandi, memverifikasi alamat, dan menandatangani transaksi. Rantai ini awalnya dianggap cukup kuat, namun kini mungkin dapat dibobol di salah satu titik yang tampak biasa.

Informasi yang dapat dikonfirmasi saat ini masih terbatas: ini adalah serangan "diduga" yang melibatkan 389 Bitcoin, yang digambarkan sebagai gelombang keempat yang terkait dengan Coldcard. Titik masuk serangan, bagian yang terdampak, dan penentuan tanggung jawab belum membentuk rantai yang lengkap dan dapat diverifikasi secara independen.

Ini seharusnya bukan alasan untuk meremehkan risiko, melainkan menuntut kehati-hatian dari pasar. Insiden keamanan paling takut terhadap dua reaksi: pertama, langsung menyatakan produk tidak berfungsi hanya karena melihat nama merek; kedua, menganggap anomali sebagai kejadian kesalahan pengguna tunggal karena detail teknis belum diumumkan. Salah dalam menentukan penyebab pun dapat menciptakan kerugian berikutnya.

Penyerang tidak perlu membongkar setiap lini pertahanan. Selama pengguna kehilangan penilaian pada satu tindakan kunci, konsep-konsep yang tampak kuat seperti tanda tangan offline, isolasi perangkat keras, dan kepemilikan kunci pribadi akan segera kembali ke masalah nyata: perangkat berasal dari mana, firmware telah diverifikasi dengan benar atau tidak, siapa yang meminta Anda mengonfirmasi alamat penerima yang muncul di layar, dan apakah proses pemulihan telah terkontaminasi.

“Gelombang Keempat” dan “389 Bitcoin” adalah dua tag yang paling berdampak dalam peristiwa ini.

Gelombang keempat berarti hal itu tidak digambarkan sebagai anomali terisolasi; 389 bitcoin mengubah perdebatan keamanan dompet yang semula abstrak menjadi eksposur aset yang dapat dirasakan. Namun, kedua label ini belum cukup untuk menyimpulkan tingkat keberhasilan serangan atau jumlah korban, apalagi membuktikan secara langsung bahwa kerentanan tertentu telah terkonfirmasi.

Yang bisa dikatakan saat ini hanyalah sejumlah bitcoin tertentu terlibat dalam serangkaian aktivitas yang diduga serangan.

Bagi pemegang koin biasa, risiko tidak hanya terletak pada "apakah kunci pribadi terhubung ke internet". Sebuah aset dari penyimpanan statis hingga transfer di blockchain biasanya melewati tahapan pengambilan perangkat, inisialisasi, pencadangan, verifikasi alamat, pembangunan transaksi, konfirmasi tanda tangan, dan penyiaran. Jika salah satu tahapan mengalami penggantian, penipuan, atau pemalsuan, pengguna mungkin menandatangani transaksi yang tidak benar-benar mereka pahami, meskipun perangkat tampaknya berfungsi normal.

Ini juga merupakan area paling sering salah dipahami tentang hardware wallet. Ini mengurangi kemungkinan kunci pribadi terpapar langsung di lingkungan terhubung, tetapi tidak dapat secara otomatis mengenali perangkat palsu, petunjuk palsu, pembaruan palsu, atau transaksi yang alamat penerimaannya telah diganti secara diam-diam. Wallet dingin dapat mengisolasi kunci, tetapi tidak dapat mengisolasi kepercayaan buta pengguna terhadap informasi eksternal.

Institusi menghadapi masalah yang lebih besar.

Platform pertukaran, penyedia layanan penitipan, dan lembaga market maker biasanya tidak menyederhanakan keamanan dompet menjadi apakah perangkat tertentu dapat diandalkan. Mereka perlu meninjau ulang seluruh mekanisme penjadwalan: apakah daftar putih penarikan cukup ketat, apakah perubahan alamat memerlukan persetujuan multi-pihak, apakah peserta multi-tanda tangan benar-benar terisolasi, dan apakah transaksi anomali dapat ditunda dan ditinjau secara manual.

Perangkat lebih seperti kunci pintu, sedangkan aturan pengelolaan dana adalah sistem kebakaran seluruh gedung. Meskipun kunci pintu rusak sudah berbahaya, tanpa sistem kebakaran, kecelakaan lokal pun bisa berubah menjadi kerugian sistemik.

Hardware wallet yang dijual kepada pengguna bukan hanya sekadar perangkat, tetapi juga kendali otonom atas aset: kunci pribadi tidak diserahkan ke platform, transaksi tidak bergantung pada akun terpusat, dan tanda tangan dilakukan di lingkungan terpisah.

Biayanya juga langsung: tanggung jawab verifikasi dikembalikan kepada pengguna.

Apakah kemasan telah dimodifikasi, apakah petunjuk inisialisasi dapat dipercaya, apakah informasi pemulihan harus dimasukkan ulang di halaman tertentu, apakah pembaruan firmware berasal dari sumber yang tepat, apakah alamat yang ditampilkan di layar perangkat sesuai dengan yang diharapkan. Hal-hal ini dulu sering dianggap sebagai detail kecil dari "pengalaman pengguna", kini semuanya berada dalam batas keamanan.

Pabrikan juga terjebak dalam konflik yang sulit diselesaikan. Tim produk menginginkan proses yang lebih singkat dan lebih sedikit petunjuk, karena operasi yang rumit akan langsung membuat pengguna baru mundur; sementara tim keamanan biasanya ingin menambah verifikasi, membatasi perilaku berisiko tinggi, serta memperketat tinjauan upgrade dan rantai pasokan. Pengguna merasa repot, dan langkah yang dianggap repot oleh pengguna justru merupakan langkah yang paling disukai oleh penyerang.

Platform dan penyedia layanan juga tidak memiliki pilihan mudah. Batasan penarikan, masa pendinginan perubahan alamat, dan tinjauan manual untuk transfer besar dapat dianggap sebagian pengguna sebagai intervensi terhadap otonomi mereka; sementara sepenuhnya menyerahkan risiko kepada individu akan cepat merusak kepercayaan setelah kejadian terjadi. Dari sudut pandang regulasi, situasinya lebih dingin: jika serangan berkelanjutan yang diduga terjadi meluas, pengungkapan risiko, pelacakan saluran penjualan, dan mekanisme pemberitahuan insiden apakah cukup jelas akan menjadi masalah yang tak bisa dihindari.

Di sini tidak ada narasi romantis tentang “desentralisasi versus terpusat”. Yang ada di permukaan adalah siapa yang menanggung biaya verifikasi. Pengguna menginginkan friksi rendah, produsen menginginkan batasan tanggung jawab, platform menginginkan auditabilitas, dan regulator menginginkan jejak yang dapat dilacak. Setiap pihak ingin menanggung lebih sedikit, dan jalur serangan sering tumbuh di titik-titik perbatasan ini.

Apakah Bitcoin mengalami fluktuasi jangka pendek tidak dapat menjawab pertanyaan keamanan bagi pemegang koin. Yang lebih bermakna adalah memantau pengungkapan lanjutan dari peristiwa tersebut serta apakah lingkungan operasional Anda menunjukkan tanda-tanda tidak biasa.

Pertama, periksa apakah atribusi dapat bergerak dari "diduga" menuju rantai serangan yang dapat diverifikasi. Titik masuknya sebenarnya berada di perangkat, rantai pasokan, proses penggunaan, atau tahap konfirmasi transaksi? Jawaban yang berbeda akan menghasilkan tindakan perlindungan yang sama sekali berbeda. Menyalahkan semua risiko secara umum pada satu produk hanya akan membuat lokasi yang seharusnya diperbaiki tetap terpapar.

Kedua, perhatikan apakah aturan operasional akan dipaksa disesuaikan. Jika kemudian disarankan untuk meminta pengguna memverifikasi ulang alamat penerima pembayaran, mengisolasi perangkat lama dan baru, atau menunda beberapa proses inisialisasi atau pembaruan, maka cakupan risiko kemungkinan telah melampaui alamat atau pengguna individu. Jika risiko hanya terkait dengan beberapa perilaku berisiko tinggi, sebaiknya segera batasi ruang lingkupnya untuk menghindari kepanikan yang mendorong pengguna normal ke dalam "tindakan darurat" yang lebih berbahaya.

Lihat apakah pemegang koin besar melepaskan ketergantungan pada satu perangkat saja. Mekanisme seperti multi-signature, cadangan independen, daftar putih alamat, penundaan transaksi, dan pembelian terdistribusi nilainya bukan pada membuat proses terlihat lebih profesional, tetapi pada memastikan bahwa kesalahan sekali pun tidak langsung berubah menjadi kerugian yang tak bisa dipulihkan. Satu perangkat bisa menjadi garis pertahanan penting, tetapi seharusnya bukan satu-satunya akar kepercayaan.

Terakhir, perhatikan keanehan kecil di akun dan lingkungan tanda tangan Anda: alamat asing, draf transaksi yang tidak dapat dijelaskan, pemberitahuan perangkat yang tiba-tiba, halaman yang meminta Anda memasukkan ulang informasi pemulihan, atau petunjuk yang mendesak pengguna untuk melewati verifikasi dengan alasan "pembaruan mendesak".

Waktu paling berbahaya dalam insiden keamanan sering kali bukan pada hari rincian kerentanan diumumkan, melainkan saat pengguna karena kecemasan mempercepat tindakan dan mempersingkat verifikasi.

Dugaan serangan Coldcard gelombang keempat melibatkan 389 BTC, saat ini belum cukup bukti untuk menyimpulkan penyebab teknis atau pihak yang bertanggung jawab.

Sudah cukup memaksa pengguna untuk bertanya pertanyaan lain: Ketika rasa aman diletakkan pada perangkat tertentu atau label merek tertentu, apakah pengguna mengabaikan risiko operasi, informasi, dan proses yang lebih panjang di balik kendali aset?

Penyimpanan dingin tidak kedaluwarsa. Untuk mengurangi paparan daring, ia tetap menjadi alat penting. Namun, ia tidak pernah menjadi izin bebas verifikasi. Apakah sumber perangkat dapat dipercaya, apakah transaksi diverifikasi satu per satu, apakah cadangan diisolasi, dan apakah kesalahan titik tunggal bisa langsung menghilangkan seluruh aset—inilah benteng yang benar-benar bisa dipegang pengguna.

Yang perlu dilihat selanjutnya bukanlah lebih banyak narasi kepanikan, melainkan atribusi serangan yang jelas, penyesuaian operasional yang tegas, serta apakah proses manajemen dompet mulai menjadikan verifikasi ganda dan penundaan transaksi sebagai tindakan default. Memiliki kunci pribadi hanyalah langkah pertama; kendali atas proses verifikasilah yang menentukan kunci pribadi akhirnya menandatangani atas nama siapa.