Sebuah kerentanan di dompet perangkat keras Coldcard, yang ditemukan oleh model AI dengan biaya sekitar $2, memaksa pemikiran ulang tentang ekonomi keamanan di seluruh industri perangkat keras kripto. Kelemahan tersebut, yang dapat memungkinkan penyerang mengekstraksi kunci pribadi di bawah kondisi tertentu, ditemukan dengan sangat mudah dan biaya minimal.
Menurut a market update from WuBlockchain, Mitra Manajemen Dragonfly Haseeb Qureshi membagikan rincian insiden tersebut, mencatat bahwa hal ini menunjukkan bagaimana AI membentuk ulang ekonomi pengujian keamanan produk. Ia memperkenalkan apa yang disebutnya sebagai metrik "Biaya Penemuan", yang mengukur seberapa murah model terdepan dapat mereproduksi kerentanan.
Diskon $2
Qureshi memperkirakan biaya penemuan kelemahan Coldcard sekitar $2. Satu upaya yang dilaporkan menggunakan Claude Code hanya memakan waktu delapan menit, meskipun ia memperingatkan bahwa kecepatan tersebut mungkin dipengaruhi oleh akses ke pencarian web. Uji coba terpisah secara offline dengan model GLM berhasil mereproduksi masalah tersebut dalam sekitar 20 menit, mengonfirmasi bahwa kerentanan tersebut tidak bergantung pada pencarian internet real-time.
Angka-angka tersebut mengejutkan karena dompet perangkat keras seharusnya menjadi garis pertahanan terakhir bagi pemegang kripto serius. Sebuah kelemahan yang biayanya sepele untuk ditemukan meruntuhkan asumsi bahwa audit yang ketat dan mahal adalah satu-satunya cara untuk membongkar perangkat. Ini menandakan bahwa kurva biaya untuk menemukan kerentanan sedang runtuh.
Biaya Penemuan dan Dampaknya
Metrik baru Qureshi bukan sekadar latihan akademis. Metrik ini memberikan angka dolar mentah yang dapat menjadi acuan bagi pembuat perangkat keras terhadap anggaran pengujian internal mereka. Jika sebuah kelemahan dapat ditemukan dengan biaya $2, maka setiap lawan yang memiliki sumber daya memadai—atau bahkan seorang peneliti yang penasaran—dapat mengotomatisasi pencarian dan meng skalanya ke berbagai versi firmware atau model perangkat.
Ini memindahkan beban kepada produsen dompet. Mereka kini menghadapi masa depan di mana keamanan tidak dapat bergantung pada kerahasiaan kode tertanam atau biaya tinggi reverse engineering. Sebaliknya, mereka harus mengasumsikan bahwa alat AI akan memeriksa setiap rilis, dan bahwa waktu antara pembaruan firmware dan pengungkapan kerentanan publik bisa menyusut menjadi jam, bukan minggu.
Insiden ini juga memberi tekanan pada program bug bounty. Pembayaran yang dulu tampak murah hati mungkin terlihat berlebihan ketika biaya untuk menemukan bug hampir tidak ada. Perusahaan perlu memutuskan apakah akan memberi penghargaan atas temuan yang biayanya rendah dan dibantu AI, atau merestrukturisasi insentif untuk memprioritaskan tingkat keparahan daripada kebaruan metode.
Jejak AI yang Terus Bertambah di Dunia Kripto
Acara Coldcard terjadi pada saat AI menembus hampir setiap sudut pasar kripto. UXLINK dan Origins Network bekerja sama untuk mendukung aplikasi Web3 berbasis AI yang dapat diskalakan, sementara jaringan penyimpanan seperti Filecoin menarik perhatian karena meningkatnya permintaan untuk penyimpanan data AI di blockchain. Hype terhadap aset bertema AI juga tetap kuat, dengan BRC-20 NFT seperti $X@AI memimpin daftar penjualan mingguan.
Namun, kasus Coldcard menunjukkan sisi yang lebih keras dari integrasi ini. AI tidak hanya menggerakkan kasus penggunaan token baru; ia sedang menulis ulang buku panduan keamanan untuk lapisan infrastruktur yang melindungi miliaran dolar aset digital. Bagi pembuat dompet perangkat keras, keunggulan kompetitif tidak lagi hanya tentang desain chip atau elemen yang disegel—kini mencakup kecepatan dan biaya audit yang dibantu mesin.
Apa yang Masih Tidak Jelas
Masih menjadi pertanyaan terbuka apakah dompet perangkat keras lain yang banyak digunakan akan menghadami temuan serupa yang murah. Coldcard dikenal karena fokusnya pada sumber terbuka dan hanya untuk bitcoin, yang mungkin membuat basis kodenya lebih mudah dipahami dibandingkan beberapa alternatif sumber tertutup. Namun, trennya jelas: model AI mutakhir menjadi lebih cepat dan lebih murah, dan penerapannya dalam pengujian keamanan hanya akan semakin meningkat.
Ada juga ketidakpastian apakah data biaya-penemuan akan masuk ke dalam kerangka regulasi. Jika kerentanan dapat ditemukan untuk uang receh, apakah ambang batas untuk pengungkapan atau penarikan wajib menjadi lebih rendah? Perdebatan ini belum dimulai, tetapi peristiwa seputar kelemahan senilai $2 ini menunjukkan bahwa hal itu tidak akan lama lagi terjadi.