Coldcard Diduga Dihantam Gelombang Serangan Keempat, Total Kerugian Terus Bertambah

Kepala riset Galaxy Research, Alex Thorn, mengindikasikan Coldcard kemungkinan sedang menghadapi gelombang serangan keempat pada 3 Agustus. Ia memperkirakan pelaku memindahkan 448,7 BTC dari 709 dompet yang diduga milik korban. Thorn menekankan temuannya berasal dari analisis blockchain, bukan dari catatan perangkat. Ia menyebut alamat-alamat yang terdampak sebagai "kemungkinan korban Coldcard" karena pola UTXO dan transaksi dinilai selaras dengan karakteristik dompet yang rentan. Dalam pemetaan awal, Galaxy mengambil snapshot pada rentang blok 960.778 hingga 960.792 dan menemukan 218 transaksi yang melibatkan 388,9 BTC serta 462 alamat yang berpotensi menjadi korban. Pada pembaruan berikutnya, estimasi itu melebar menjadi ratusan transaksi dengan total 448,7 BTC dan 709 alamat korban potensial. Melalui unggahan di X, Thorn menyatakan serangan terorganisasi gelombang keempat "kemungkinan sedang berlangsung". Ia juga menyebut masih ada transaksi serupa di mempool Bitcoin yang menunggu konfirmasi, sementara transaksi yang sudah terkonfirmasi sebelumnya memberi sinyal opt-in RBF (Replace-By-Fee). Thorn menyarankan pengguna memeriksa dana dan, bila masih memungkinkan, mencoba melakukan RBF untuk mengalahkan transaksi pelaku dengan biaya lebih tinggi. Menurut Thorn, Galaxy mengukur rata-rata 13,8 "sweep" per blok, meningkat 45 kali dibanding periode kontrol pra-insiden yang hanya 0,3 sweep per blok. Dana yang tersedot disebut mengalir ke alamat baru alih-alih ke dompet bersama. Sebagian dana curian kemudian dipindahkan lagi ke alamat-alamat baru sehingga lebih sulit dilacak. Sebelumnya, Galaxy telah memetakan tiga gelombang serangan yang menyalurkan 1.367,05 BTC dari 4.585 alamat, dengan gelombang pertama menargetkan 1.082,05 BTC pada 1.196 alamat. Jika estimasi terbaru dihitung, total menjadi 1.815,75 BTC dari 5.294 alamat. Angka-angka ini belum dikonfirmasi oleh otoritas, Coinkite, maupun para pemilik dompet. Thorn juga menilai belum jelas apakah satu entitas yang sama berada di balik keempat gelombang tersebut. Thorn menambahkan, adanya transaksi yang masih menunggu di mempool dapat membuka peluang mitigasi. Mengacu pada dokumentasi Bitcoin Core, transaksi opt-in Replace-By-Fee yang belum terkonfirmasi dapat digantikan. Artinya, pengguna yang masih memegang kendali atas kunci terdampak bisa menyiarkan transaksi tandingan dengan fee lebih tinggi untuk mengirim dana ke dompet yang aman. Begitu transaksi masuk ke blok, penggantian tidak bisa dilakukan, dan keberhasilan RBF pun tidak dijamin. Masalah ini dikaitkan dengan kesalahan integrasi RNG yang muncul saat perubahan firmware pada Maret 2021. Coinkite memperkirakan seed Mk2 dan Mk3 yang terdampak hanya memiliki sekitar 40 bit entropi efektif. Untuk seed yang dihasilkan pada rilis Mk4, Mk5, dan Q yang terdampak, entropinya disebut 72 bit alih-alih 128 bit. Tim engineering dari Block menemukan firmware memanggil fallback MicroPython yang deterministik, bukan generator angka acak perangkat keras. Meski begitu, tim Block menegaskan mereka tidak dapat memastikan tingkat eksploitabilitas tanpa pengujian empiris penuh. Coinkite telah merilis pembaruan: versi 4.2.0 untuk Mk2 dan Mk3, 5.6.0 untuk Mk4 dan Mk5, 1.5.0Q untuk Q, serta 6.6.0X atau 6.6.0QX untuk rilis Edge. Coinkite menekankan pembaruan firmware saja tidak sepenuhnya menutup celah. Setelah memperbarui, pengguna diminta membuat seed baru dan memverifikasi alamat penerima. Setelah terverifikasi, pengguna disarankan mengirim transaksi uji sebelum memindahkan seluruh saldo. Coinkite juga menyatakan seed yang dibuat menggunakan minimal 50 lemparan dadu yang adil dan dilakukan secara privat tidak dianggap berisiko. Passphrase BIP39 yang unik dapat menjadi lapisan pertahanan kedua, meski migrasi tetap direkomendasikan. Advisory ini tidak mencakup TAPSIGNER, OPENDIME, dan SATSCARD karena ketiganya menggunakan basis kode yang terpisah. Disclaimer: Artikel ini disediakan hanya untuk tujuan informasi dan bukan merupakan nasihat hukum, pajak, investasi, keuangan, atau nasihat lainnya.