ZachXBT Enggan Lacak Peretasan Coldcard US$88,6 Juta, Singgung Minimnya Dukungan Komunitas Bitcoin

Penyelidik blockchain ZachXBT menyatakan tidak berniat melacak peretasan Coldcard senilai US$88,6 juta. Ia menilai komunitas Bitcoin selama ini memberikan dukungan yang minim atas pekerjaannya, sehingga ia memilih memusatkan waktu pada ekosistem yang lebih menghargai kontribusinya. Dalam unggahan di X, ZachXBT mengatakan ia tidak memiliki rencana saat ini untuk memantau atau menelusuri insiden Coldcard. Ia menambahkan bahwa para pemegang Bitcoin yang berhaluan maksimalis bukanlah donatur maupun pendukung investigasinya, sehingga ia merasa memiliki "kewajiban yang lebih kecil" untuk membantu. Pernyataan itu muncul ketika kasus memasuki hari kelima dan nilai kerugian terus bertambah. ZachXBT dikenal sering mengerjakan sejumlah kasus besar secara pro bono, dan komentarnya menyoroti ketimpangan antara ekspektasi bantuan yang diminta saat terjadi insiden dengan dukungan yang ia terima dari komunitas. Peretasan ini berakar pada celah firmware di dompet perangkat keras Coldcard buatan produsen Kanada, Coinkite. Bug tersebut memengaruhi perangkat Coldcard Mk3 dengan firmware versi 4.0.1 hingga 4.1.9. Dalam kondisi tertentu, sebagian dompet menghasilkan entropi seed melalui generator angka acak perangkat lunak, bukan chip khusus perangkat keras, sehingga seed tertentu menjadi lebih mudah ditebak. Gelombang pertama terjadi pada 30 Juli, ketika sekitar 594 BTC—bernilai kira-kira US$38 juta saat itu—terkuras dari hampir 500 alamat yang lama tidak aktif dalam waktu kurang dari 30 menit. Coinkite merilis firmware tambalan dalam dua hari, tetapi pencurian terus meluas. Hingga 2 Agustus, Galaxy Research melacak total kumulatif 1.367 BTC atau sekitar US$88,6 juta yang diambil dari 4.585 alamat dalam tiga gelombang serangan terpisah. Kecepatan dan presisi aksi tersebut memicu spekulasi bahwa pelaku menggunakan alat otomatis, kemungkinan dibantu AI, untuk mengidentifikasi alamat rentan dan mengurasnya dalam hitungan menit pada tiap gelombang. Nilai pencurian terus membengkak seiring meningkatnya setoran ke bursa dari dana hasil curian, sementara BTC lama yang sebelumnya tidak aktif dan terkait kasus ini mulai bergerak kembali. Penanganan pasca-insiden Coinkite juga memantik kontroversi tersendiri. Perusahaan mengirim email peringatan ke setiap alamat pelanggan yang dapat dijangkau dari catatan toko dan newsletter, termasuk data yang berasal sejak 2019. Langkah ini bertentangan dengan pernyataan CEO Rodolfo Novak sebelumnya bahwa Coinkite menghapus data pelanggan 90 hari setelah pembelian dan menyediakan opsi pembelian anonim. Coinkite kemudian mengakui bahwa alamat email pembeli disimpan tanpa batas waktu dan perusahaan tidak memiliki kebijakan penghapusan untuk data tersebut. Pengungkapan ini memicu gelombang kritik baru yang terpisah dari peretasan itu sendiri. Novak tetap membela rekam jejak keamanan perusahaan, menyebut pesaing juga kerap mengalami insiden dan menegaskan Coinkite menanggapi masalah ini dengan sangat serius. Insiden ini mulai menggerus kepercayaan terhadap self-custody dan berpotensi mendorong investor yang lebih berhati-hati kembali memilih exchange-traded funds ketimbang mengelola kunci sendiri. Drama juga merembet ke ranah onchain di luar pencurian, setelah muncul tawaran pencucian bitcoin yang terang-terangan dan ditulis langsung ke blockchain Bitcoin, menjadikan kasus ini tontonan publik yang berlangsung real time di media sosial dan data onchain. Dengan figur seperti ZachXBT memilih menepi, beban penelusuran 1.367 BTC yang dicuri kini lebih banyak bertumpu pada pihak seperti Galaxy Research, yang terus menerbitkan pembaruan per gelombang seiring berubahnya aktivitas dompet pelaku. Laporan juga menyebut bug entropi yang memengaruhi Coldcard Mk3 dapat ditelusuri hingga firmware rilis Maret 2021. Artinya, seed dompet yang dibuat pada versi tersebut selama lebih dari empat tahun berpotensi masih terekspos sampai pemilik melakukan rotasi ke seed baru menggunakan firmware yang sudah ditambal.