⚠️ Pengguna Coldcard kehilangan jutaan dolar akibat kelemahan firmware 2021 Salah satu insiden keamanan self-custody paling signifikan yang melibatkan bitcoin telah mengungkap pelajaran kritis: dompet perangkat keras bergantung pada keamanan proses generasi seed sebagai hal utama. Kerentanan Coldcard yang terkait dengan versi firmware yang dirilis pada 2021 memungkinkan penyerang menguras ratusan dompet tanpa akses fisik, phishing, atau malware. Laporan memperkirakan antara 594 BTC hingga lebih dari 1.082 bitcoin: native telah dicuri, yang mewakili kerugian potensial sekitar $38 juta hingga $70 juta. Serangan ini terjadi dalam jendela waktu singkat sekitar 25 hingga 40 menit, menargetkan dompet yang seed-nya dihasilkan selama periode firmware yang rentan. Banyak alamat yang terdampak tetap tidak aktif selama bertahun-tahun, dengan dana disimpan sejak saat seed yang terkompromi dibuat. Menurut analisis on-chain, penyerang tampaknya memprioritaskan dompet bernilai tinggi terlebih dahulu, termasuk satu dompet yang berisi sekitar $1,8 juta. Operasi kemudian meluas menjadi penyitaan otomatis terhadap alamat rentan tambahan, menunjukkan identifikasi sebelumnya terhadap dompet yang terdampak. Penyebab utama terkait dengan entropi yang tidak memadai selama generasi seed pada beberapa model Coldcard, khususnya perangkat Mk3 yang menggunakan versi firmware yang terpengaruh. Alih-alih mengandalkan keacakan berbasis perangkat keras dengan benar, proses ini dapat menghasilkan seed yang dapat diprediksi, memungkinkan kunci pribadi direkonstruksi dari jarak jauh. Coinkite menyarankan pengguna yang berpotensi terdampak untuk memindahkan dana ke dompet baru yang dihasilkan dengan firmware terbaru. Insiden ini memperkuat prinsip keamanan mendasar: jika generasi seed gagal, bahkan perlindungan kuat seperti desain air-gapped dan perangkat keras aman tidak dapat sepenuhnya melindungi dana pengguna.