Dompet perangkat keras seharusnya menjadi standar emas dalam keamanan kripto. Seluruh penawarannya sederhana: simpan kunci pribadi Anda secara offline, jauh dari peretas, jauh dari bursa, jauh dari apa pun yang terhubung ke internet. Bagi pemilik perangkat Coldcard Mk3 tertentu, penawaran itu ternyata memiliki catatan kaki yang sangat mahal.
Pada 30 Juli 2026, para penyerang menguras 1.082,65 BTC, senilai sekitar $70,2 juta, dari 1.196 dompet dalam waktu sekitar 41 menit, menurut Galaxy Research. Eksploitasi ini terjadi hanya 30 jam sebelum Coinkite, perusahaan di balik Coldcard, mengungkapkan kerentanan kritis pada firmware perangkat tersebut.
Apa yang salah, dan mengapa hal ini penting
Kelemahan terletak pada random number generator, atau RNG, yang tertanam dalam versi firmware Coldcard Mk3 4.0.1 hingga 5.0.3.
Inilah mengapa itu merupakan masalah serius. Saat Anda mengatur dompet perangkat keras, perangkat tersebut menghasilkan benih pemulihan, pada dasarnya kata sandi utama yang diturunkan dari rangkaian angka acak. Jika angka-angka tersebut tidak benar-benar acak, benihnya menjadi dapat diprediksi. Benih yang dapat diprediksi berarti penyerang yang mengetahui polanya dapat menghitung kunci pribadi Anda tanpa pernah menyentuh perangkat Anda.
Tim teknis Block secara independen mengidentifikasi akar penyebab kelemahan RNG dan menerbitkan laporan rinci pada hari yang sama Coinkite mengeluarkan peringatan keamanannya. Kedua pengumuman tersebut dirilis pada 30 Juli 2026, hari yang sama dompet sudah kosong.
Coinkite menegaskan bahwa kerentanan tersebut tidak memengaruhi setiap perangkat Coldcard, hanya perangkat yang menjalankan versi firmware yang dikompromikan tertentu. Perusahaan mendesak semua pengguna yang terdampak untuk segera membuat seed pemulihan baru sepenuhnya dan memindahkan dana mereka.
Bagaimana serangan terjadi
Efisiensi drainase yang menonjol. Empat puluh satu menit untuk menyapu 1.196 dompet yang mencakup lebih dari $70 juta dalam bitcoin bukanlah operasi manual. Ini memerlukan otomatisasi, pengintaian sebelumnya, dan daftar alamat rentan yang sudah dibuat sebelumnya.
Data on-chain menunjukkan bahwa dompet sumber telah tidak aktif selama periode panjang sebelum serangan. Detail ini penting. Ini menunjukkan bahwa pengguna yang terdampak adalah pemegang jangka panjang, orang-orang yang mengatur perangkat Coldcard mereka bertahun-tahun lalu dan belum pernah memindahkan dana mereka sejak itu, kemungkinan karena mereka percaya perangkat keras tersebut akan menjaga semuanya tetap aman.
Setelah serangan dimulai, dana yang dicuri dengan cepat dikonsolidasikan ke alamat yang lebih sedikit. Penelitian Galaxy menandai bahwa satu alamat tertentu menerima sekitar 594 BTC dari sweep.
Jendela 30 jam dan implikasinya
Waktu menjadi bagian paling tidak nyaman dalam cerita ini. Dompet-dompet tersebut dikosongkan sekitar 30 jam sebelum pengungkapan publik oleh Coinkite. Jarak waktu ini menimbulkan pertanyaan yang akan terus diajukan oleh komunitas keamanan untuk waktu yang lama: siapa yang mengetahui kerentanan ini, dan kapan?
Dimungkinkan penyerang menemukan kelemahan RNG secara independen dan bertindak sebelum Coinkite atau Block mempublikasikan temuan mereka. Baik Coinkite maupun Galaxy tidak menuduh adanya kesalahan dalam proses pengungkapan. Pernyataan resmi Coinkite tidak membuat klaim apa pun mengenai pengetahuan sebelumnya dari pihak penyerang. Perusahaan fokus pada komunikasi publiknya untuk mendesak pengguna agar segera bertindak, membuat benih baru, dan memverifikasi versi firmware apa yang sedang dijalankan perangkat mereka.
Apa artinya ini bagi pengguna dompet perangkat keras
Bagi siapa pun yang menyimpan kripto di hardware wallet, pelajaran utamanya sederhana. Versi firmware bukanlah pembaruan kosmetik. Kekurangan pada RNG setara dengan kerentanan kritis di ruang ini, karena merusak fondasi dasar pembuatan kunci. Pengguna hardware wallet apa pun harus mengetahui versi firmware yang sedang digunakan dan memverifikasi apakah produsen perangkat mereka telah mengeluarkan peringatan keamanan apa pun.
Kecepatan dan skala penarikan $70,2 juta juga menandakan sesuatu tentang tingkat kecanggihan penyerang. Siapa pun yang melaksanakan ini memiliki kedalaman teknis untuk mengeksploitasi kerentanan RNG, infrastruktur untuk mengotomatisasi penarikan secara simultan di hampir 1.200 dompet, dan disiplin operasional untuk bergerak dalam jendela sempit sebelum pengungkapan publik.