Serangan ke Coldcard Masuk Gelombang Keempat, 449 BTC Terancam

Serangkaian serangan yang menargetkan dompet Bitcoin hasil generasi Coldcard yang rentan diduga memasuki gelombang keempat. Peneliti blockchain Alex Thorn pada 3 Agustus memperingatkan bahwa hampir 449 BTC telah "disapu" dari ratusan alamat hanya dalam sekitar dua setengah jam. Aktivitas terbaru ini masih berlangsung saat Thorn mempublikasikan temuannya, dan mengikuti tiga gelombang sebelumnya yang oleh peneliti dikaitkan dengan kerentanan "weak entropy" pada versi firmware Coldcard tertentu. Dalam analisis terbarunya, Thorn mengidentifikasi 218 transaksi yang diduga menyasar 462 alamat korban, terjadi di antara blok Bitcoin 960778 hingga 969792. Transaksi-transaksi tersebut memindahkan 388,93 BTC—bernilai sekitar US$24,4 juta pada kurs saat ini—ke 216 alamat tujuan. Hampir semua alamat tujuan itu baru dibuat dan tidak memiliki riwayat transaksi sebelumnya. Thorn menyatakan alamat-alamat tersebut "kemungkinan besar" milik korban Coldcard karena pola UTXO dan lonjakan aktivitas transaksinya sangat konsisten dengan karakteristik kerentanan tersebut. Ia menegaskan belum menerima konfirmasi langsung dari para korban, sehingga sengaja menggunakan istilah "kemungkinan" sebagai langkah kehati-hatian. Ia juga memperbarui daftar alamat tujuan dengan menghapus enam alamat yang, menurutnya, sudah menerima dan membelanjakan BTC jauh sebelum insiden Coldcard mulai muncul pada 30 Juli. Enam alamat tersebut mencakup sedikit di atas 5 BTC dari perhitungan sebelumnya. Selain itu, Thorn mengeluarkan 89 alamat multisig dari daftar karena tidak muncul pada tiga gelombang pertama, sehingga inti daftar tersisa menjadi 709 alamat dengan total 448,73 BTC (sekitar US$28,1 juta) untuk gabungan transaksi yang sudah terkonfirmasi dan yang masih menunggu. Thorn mengimbau pengguna untuk segera memindahkan dana dari perangkat Coldcard yang terdampak dan menggunakan biaya transaksi yang lebih tinggi. Ia juga mengingatkan sebagian transaksi yang masih menunggu mengaktifkan Replace-by-Fee (RBF). Artinya, korban yang transaksinya masih berada di mempool bisa memiliki peluang sangat singkat untuk menawar fee lebih tinggi daripada pelaku dan mencoba merebut kembali dana sebelum transaksi pelaku terkonfirmasi. Galaxy Research memperkirakan tiga gelombang pertama yang sudah terkonfirmasi menguras 1.367 BTC—bernilai sekitar US$85,7 juta—dari 4.585 alamat Bitcoin. Menurut perusahaan tersebut, dana itu belum dibelanjakan dan masih berada di dompet yang dikendalikan pelaku, mengindikasikan operasi terkoordinasi, bukan pencurian oportunistis. Meski begitu, tidak semua BTC hasil curian tetap diam. Seorang korban yang memegang hampir 30 BTC dilaporkan mendapati 17 BTC di antaranya dialirkan melalui ThorChain ke kasino online Duel. Kasino itu disebut meminta korban membuat laporan polisi sebelum dapat mempertimbangkan pembekuan. Serangan ini bersumber dari kerentanan pada seed yang dibuat oleh versi firmware Coldcard tertentu yang dirilis setelah Maret 2021. Coinkite, produsen Coldcard, mengonfirmasi bahwa seed yang dihasilkan pada perangkat Mk3, Mk4, Mk5, dan Q yang terdampak berada dalam kondisi terekspos. Firmware yang sudah ditambal memang menghentikan masalah untuk seed baru, tetapi tidak dapat mengamankan seed lama. Coinkite menyatakan telah memusnahkan seluruh persediaan rentan yang tersisa, menghentikan pengiriman, serta bekerja sama dengan pelanggan dan penegak hukum untuk mengidentifikasi pihak yang bertanggung jawab. Perusahaan juga menyarankan pengguna segera bermigrasi ke seed baru pada perangkat yang tidak terdampak. Thorn menambahkan bahwa setiap alamat Coldcard single-signature yang dibuat dalam kondisi rentan pada akhirnya berisiko terkuras.