Peretasan Coldcard Terbesar dalam Sejarah: Rp2 Triliun Raib, Lebih dari 7.700 Dompet Terkuras

Penyerang tidak membutuhkan akses fisik, email phishing, atau malware. Dengan merekayasa balik output entropi yang lemah, mereka dapat merekonstruksi seed phrase 12 atau 24 kata korban dari jarak jauh dan menguras dompet yang tidak pernah terhubung ke internet .

CEO Coldcard Rodolfo Novak mengonfirmasi masalah ini pada 30 Juli 2026, dan menyarankan bahwa kerentanan mungkin telah ditemukan menggunakan alat AI yang mampu memindai firmware open-source untuk kelemahan entropi dalam skala besar .

Skala & Garis Waktu Pencurian

Serangan terjadi dalam beberapa gelombang terkoordinasi:

• 30 Juli — Gelombang pertama: Dalam sapuan 25 menit mulai sekitar pukul 21:56 ET, penyerang menguras sekitar 594 BTC (~Rp600 miliar) dari sekitar 500 dompet, menargetkan saldo terbesar terlebih dahulu . Chainalysis menemukan bahwa Rp480 miliar dicuri dalam 10 menit pertama saja .
• 31 Juli – 4 Agustus — Gelombang kedua dan ketiga: Sapuan tambahan mendorong kerugian menjadi 1.596 BTC (~Rp1,6 triliun) di sekitar 7.300 alamat .
• Dugaan gelombang keempat: Galaxy Research menandai kemungkinan gelombang keempat yang, jika dikonfirmasi, akan membawa total menjadi 2.055 BTC (~Rp2 triliun) .

Pada awal Agustus, TRM Labs mengklasifikasikan insiden Coldcard sebagai peretasan kripto terbesar ketiga tahun 2026 . Galaxy Research mengidentifikasi setidaknya 15 penyerang independen yang sekarang berlomba mengeksploitasi dompet rentan yang belum dipindahkan .

Pergerakan Dana 7 Agustus: 30,185 BTC ($1,94 Juta)

Pada 7 Agustus 2026, sebuah dompet yang terkait dengan peretas Coldcard mentransfer 30,185 BTC (~$1,94 juta) ke alamat yang baru dibuat, menurut pelacak on-chain Lookonchain . Ini adalah pergerakan pertama dana curian sejak eksploitasi awal dimulai.

• Transfer tersebut mewakili sekitar 1,5% dari total 2.055 BTC jarahan .
• Analis menafsirkannya sebagai potensi transaksi uji atau langkah awal menuju pencairan yang lebih besar .
• Harga Bitcoin hampir tidak bereaksi, diperdagangkan di dekat $64.152 pada saat itu .

90% Dana Curian Tetap Tidak Tersentuh

Setelah transfer 7 Agustus, sekitar 98,5% dari ~2.055 BTC yang dicuri masih belum tersentuh di dompet peretas . Pola ini konsisten dengan penyerang canggih yang menunggu berbulan-bulan atau bertahun-tahun sebelum mencoba mencuci jumlah besar. Perusahaan forensik blockchain dan bursa melacak alamat-alamat tersebut dengan cermat .

Tanggapan Coinkite & Pembaruan Firmware

Coinkite bergerak cepat setelah menemukan kerentanan pada 30 Juli:

• 30 Juli — Menerbitkan advisori keamanan mendesak yang mengungkapkan bug secara publik .
• 31 Juli — Mengirimkan firmware tambal darurat untuk setiap model dan jalur rilis yang terdampak :

Peringatan kritis: Memasang firmware tambal tidak memperbaiki seed yang sudah dikompromikan. Coinkite mengatakan kepada semua pengguna yang terdampak untuk membuat seed baru pada firmware yang sudah ditambal dan memindahkan koin mereka segera . Perusahaan juga menghancurkan sisa inventaris yang diproduksi dengan firmware rentan dan menghentikan pengiriman .

Versi Firmware yang Terdampak

• Risiko tertinggi: Firmware Mk3 4.0.1 hingga 4.1.9, seed dibuat tanpa setidaknya 50 lemparan dadu independen atau passphrase BIP-39 yang kuat dan unik
• Juga terdampak: Model Mk4, Mk5, dan Q sebelum versi firmware tetap yang tercantum di atas
• Tidak terdampak: Seed dibuat sebelum jendela firmware rentan; seed menggunakan 50+ lemparan dadu; seed dilindungi oleh passphrase BIP-39 yang unik; perangkat TAPSIGNER, OPENDIME, dan SATSCARD (codebase berbeda); dan pengaturan multisig dengan setidaknya satu kunci yang tidak rentan

Implikasi untuk Kustodi Mandiri & Komunitas Kripto

• Dompet hardware tidaklah anti peluru. Insiden Coldcard menghancurkan asumsi bahwa dompet offline kebal terhadap pencurian seed jarak jauh . Cacat itu hidup tidak terdeteksi dalam firmware selama lebih dari lima tahun.
• Seed yang dibuat pada firmware rentan secara permanen berbahaya. Bahkan setelah memasang perbaikan, seed lama tetap bisa ditebak . Pengguna harus membuat dompet baru sepenuhnya dan memigrasi dana.
• Ketakutan pasar yang lebih luas. Glassnode melaporkan bahwa sekitar 210.000 BTC dipindahkan dari dompet pemegang jangka panjang (tidak aktif selama 155+ hari) dalam seminggu setelah peretasan — pergeseran terbesar sejak 2024 — menunjukkan hilangnya kepercayaan luas di kalangan pemegang Bitcoin kustodi mandiri .
• Audit berbasis AI semakin cepat. Peneliti keamanan mencatat bahwa serangan kemungkinan dibantu oleh alat AI yang dapat memindai firmware open-source untuk kelemahan entropi dalam skala besar, kemampuan yang sekarang dengan cepat diadopsi di semua proyek dompet hardware .
• "Saya sudah melakukan semuanya dengan benar" tidak lagi cukup. Banyak korban mengikuti praktik kustodi mandiri terbaik dan tetap kehilangan segalanya, menekankan bahwa integritas firmware adalah batas baru risiko dompet hardware .

• Mk3: versi 4.2.0 atau lebih baru
• Mk4/Mk5 standar: versi 5.6.0 atau lebih baru
• Q standar: versi 1.5.0Q atau lebih baru
• Mk4/Mk5 Edge: versi 6.6.0X atau lebih baru
• Q Edge: versi 6.6.0QX atau lebih baru