⚠️ Pengguna Coldcard kehilangan jutaan karena kerentanan firmware tahun 2021 Salah satu insiden keamanan paling signifikan dalam autocustody bitcoin meninggalkan pelajaran penting: perlindungan hardware wallet terutama bergantung pada keamanan bagaimana seed dihasilkan. Sebuah kerentanan terkait versi firmware Coldcard yang dirilis pada 2021 memungkinkan penyerang menguras ratusan dompet tanpa akses fisik ke perangkat, tanpa phishing, dan tanpa malware. Laporan memperkirakan bahwa antara 594 bitcoin:native dan lebih dari 1.082 BTC kemungkinan telah dicuri, setara dengan sekitar $38 juta hingga $70 juta. Serangan ini dilakukan dalam jendela waktu yang singkat, antara 25 hingga 40 menit, dan memengaruhi dompet yang seed-nya dihasilkan selama periode rentan. Banyak alamat yang tercompromi tetap tidak aktif selama bertahun-tahun, dengan dana yang disimpan sejak penciptaan seed tersebut. Menurut analisis on-chain, penyerang kemungkinan memprioritaskan dompet dengan saldo terbesar terlebih dahulu, termasuk satu dompet dengan sekitar $1,8 juta. Selanjutnya, penyerang memperluas pengurasan melalui proses otomatis yang memungkinkan menyita alamat lain yang rentan, yang menunjukkan identifikasi sebelumnya terhadap dompet yang terdampak. Penyebab teknis terkait entropi yang tidak memadai selama generasi seed pada beberapa model Coldcard, terutama perangkat Mk3 dengan firmware yang terpengaruh. Alih-alih menggunakan kerandoman perangkat keras dengan benar, proses tersebut dapat menghasilkan seed yang dapat diprediksi, memungkinkan rekonstruksi kunci pribadi dari jarak jauh. Coinkite merekomendasikan pengguna yang berpotensi terdampak untuk memindahkan dana mereka ke dompet baru yang dibuat dengan firmware yang diperbarui. Insiden ini memperkuat prinsip dasar keamanan: jika generasi seed gagal, bahkan perlindungan canggih seperti desain air-gapped dan perangkat keras aman kehilangan sebagian besar efektivitasnya.