Coldcard Ingatkan Pengguna Mk3 soal Potensi Kerentanan Seed di Tengah Perpindahan 594,48 BTC Senilai US$38 Juta

Produsen hardware wallet Coinkite meminta pengguna Coldcard Mk3 segera memindahkan Bitcoin mereka bila recovery seed dibuat menggunakan versi firmware tertentu. Peringatan ini muncul setelah peneliti keamanan menemukan perpindahan terkoordinasi 594,48 BTC senilai sekitar US$38,2 juta. Meski waktunya berdekatan, belum ada bukti yang mengaitkan pergerakan on-chain tersebut dengan isu Coldcard. Firmware yang disorot Coinkite menyatakan potensi masalah berdampak pada recovery seed yang dibuat di Coldcard Mk3 dengan firmware versi 4.0.1 hingga 5.0.3. Perusahaan menegaskan investigasi masih berjalan. Dalam advisnya, Coinkite menyebut Coldcard Mk4, Mk5, dan Coldcard Q tidak terdampak. Dompet yang menggunakan BIP39 passphrase dinilai berisiko minimal, dan Coinkite menekankan BIP39 passphrase berbeda dari PIN perangkat. Sambil menunggu hasil penyelidikan, pengguna diminta memigrasikan dana sebagai langkah pencegahan. Transfer Bitcoin US$38 juta memicu tanda tanya Peringatan ini bertepatan dengan temuan aktivitas on-chain yang tidak biasa. CEO AnchorWatch Rob Hamilton melaporkan 594,48 BTC berpindah lewat 500 transaksi, melibatkan 1.324 unspent transaction outputs (UTXO), dan terjadi dalam rentang tiga blok. Sekitar 562 BTC kemudian dikonsolidasikan ke satu alamat. Hamilton menilai awalnya pola tersebut "terlihat seperti entropi yang cacat" saat pembuatan wallet, tetapi ia menekankan itu baru pengamatan awal dan belum merupakan kesimpulan. Belum ada kaitan yang terverifikasi Hingga kini, penyelidik belum memastikan bahwa sweep Bitcoin tersebut dipicu oleh isu firmware Coldcard Mk3. CEO Wizardsardine Kevin Loaec mengatakan rendahnya tingkat random (randomness) saat pembuatan seed masih menjadi hipotesis utamanya. Ia menyebut sejumlah kemungkinan penyebab, termasuk masalah library perangkat lunak, isu secure element, batch hardware tertentu, atau cacat terkait firmware. Loaec juga menyampaikan kemungkinan penyerang hanya menelusuri rentang terbatas jalur derivasi BIP84, yang dapat menjelaskan mengapa banyak wallet yang terdampak memakai alamat native SegWit. Sampai saat ini belum ada laporan teknis publik yang mengungkap sumber pasti kerentanannya. Langkah perlindungan untuk pengguna Coinkite menyarankan pengguna yang terdampak membuat recovery seed baru menggunakan perangkat yang tidak terpengaruh, memverifikasi cadangan (backup) dan alamat penerimaan, mengirim transaksi uji dalam jumlah kecil terlebih dahulu, lalu memindahkan sisa saldo setelah semuanya dipastikan berjalan benar. Pengguna yang hanya memiliki Coldcard Mk3 dapat memperkuat keamanan sementara dengan menambahkan BIP39 passphrase yang unik. Pengguna tingkat lanjut juga dapat membuat seed berbasis dadu di firmware 4.1.9 dengan minimal 99 lemparan dadu enam sisi yang adil, meski Coinkite mengingatkan proses ini menuntut pencadangan dan verifikasi yang sangat cermat. Investigasi berlanjut Coinkite berjanji akan menerbitkan tinjauan teknis rinci setelah investigasi rampung. Untuk sementara, perusahaan dan peneliti independen menyarankan peringatan Coldcard Mk3 dan perpindahan Bitcoin senilai US$38 juta diperlakukan sebagai dua kejadian terpisah, karena belum ada bukti yang menunjukkan keduanya memiliki akar masalah yang sama.