Coldcard Hardware Wallet Hack: Bug Firmware 2021 Mengakibatkan Pencurian Bitcoin $116 Juta Mulai 30 Juli 2026

Eksploitasi dompet keras Coldcard yang dimulai pada 30 Juli 2026 merupakan pelanggaran dompet keras terbesar yang pernah tercatat. Sebuah bug firmware yang diperkenalkan pada Maret 2021 memangkacakrawala acak pembuatan seed dompet dari 128 bit menjadi hanya 40 bit, memungkinkan penyerang untuk memaksakan brute-force kunci pribadi dari jarak jauh dan menguras Bitcoin dalam empat gelombang serangan yang terkoordinasi. Total pencurian yang dikonfirmasi mencapai sekitar 1.816 BTC — senilai sekitar US$116 juta saat itu — dari lebih dari 5.200 alamat . Dampaknya menggema di seluruh jaringan Bitcoin, memicu migrasi US$15 miliar dari dompet pemegang jangka panjang dan rekor pembuatan dompet baru.

Penyebab Kerentanan: Sebuah Build Flag yang Memotong Keacakan

Akar masalahnya adalah kesalahan integrasi firmware yang diperkenalkan dalam pembaruan Coldcard pada Maret 2021. Versi yang terpengaruh — terutama Coldcard Mk2 dan Mk3 yang menjalankan firmware 4.0.0 hingga 5.0.3 — melewati generator nomor acak perangkat keras (RNG) khusus perangkat selama pembuatan seed dompet . Alih-alih entropi 128 bit yang dimaksud, firmware mengarahkan pembuatan seed melalui generator nomor pseudo-acak perangkat lunak yang menghasilkan seed dengan entropi hanya 40 bit, mengurangi kemungkinan ruang seed menjadi sekitar 4 miliar nilai .

Hal ini membuat seed dapat diprediksi dari jarak jauh dan dapat dipaksa secara brute-force dari data publik seperti nomor seri perangkat dan pembacaan jam, tanpa memerlukan akses fisik ke dompet . Pengguna yang menggulirkan dadu mereka sendiri selama pengaturan (melewati seed yang dihasilkan perangkat) tidak terpengaruh .

Kronologi Serangan: Empat Gelombang dalam Lima Hari

• Maret 2021 — Kode firmware yang salah diperkenalkan dalam pembaruan Coldcard.
• 30 Juli 2026, 01:10–01:51 UTC — Sapuan besar pertama: 1.082,65 BTC (senilai ~US$70 juta saat itu) dikuras dari 1.196 alamat hanya dalam 41 menit . Serangan dimulai hampir 30 jam sebelum Coinkite mengeluarkan peringatan publik .
• 30 Juli 2026 malam (ET) — Sapuan kedua selama 25 menit menguras sekitar 594 BTC (~US$38 juta) dari sekitar 500 dompet .
• Akhir Juli hingga 3 Agustus 2026 — Setidaknya dua gelombang terkoordinasi lagi terjadi, dengan Galaxy Research melacak tiga gelombang yang dikonfirmasi dan 14 insiden yang lebih kecil .
• 31 Juli 2026 — Coinkite mengirimkan tambalan firmware darurat di semua model dan jalur rilis yang terpengaruh .
• 1–4 Agustus 2026 — Peringatan publik meningkat saat penyerang terus menguras dompet. Galaxy Research merevisi perkiraan kerugian ke atas berulang kali .
• 7–12 Agustus 2026 — Data dampak on-chain muncul, menunjukkan migrasi pemegang skala besar dan pembuatan dompet rekor .

Jumlah Total yang Dicuri

Perkiraan bervariasi selama insiden berlangsung, tetapi angka paling komprehensif berasal dari TRM Labs dan Galaxy Research: sekitar 1.816 BTC (~US$116 juta) dicuri dari lebih dari 5.200 alamat di empat gelombang serangan . Laporan sebelumnya menyebutkan total yang lebih rendah (1.367 BTC dari 4.585 alamat, atau ~US$89 juta) karena investigasi masih belum selesai . Beberapa sumber memperkirakan total kerugian pada akhirnya bisa mencapai 2.055 BTC (~US$130 juta) jika gelombang keempat yang dicurigai sepenuhnya diverifikasi .

Migrasi US$15 Miliar: 233.000 BTC Meninggalkan Dompet Jangka Panjang

Pada hari-hari setelah pelanggaran, firma analitik on-chain mencatat pelarian besar-besaran ke tempat yang aman:

• Data Checkonchain menunjukkan 233.000 BTC meninggalkan dompet pemegang jangka panjang, bernilai sekitar US$15 miliar .
• Glassnode melaporkan sekitar 210.000 BTC (~US$13,69 miliar) keluar dari dompet yang sudah tidak aktif selama 155+ hari — penurunan mingguan paling signifikan dalam Bitcoin yang dipegang untuk waktu yang lama sejak Desember 2024 .

Migrasi ini mencerminkan pengguna Coldcard yang memindahkan dana ke dompet baru dan kepanikan yang lebih luas saat pemegang jangka panjang — termasuk pengguna Ledger dan Trezor, menurut CEO Casa Nick Neuman — memindahkan koin ke pengaturan penyimpanan yang berbeda .

Rekor Pembuatan Dompet: 2,27 Juta Dompet Baru dalam Sepekan

Dalam pekan yang berakhir sekitar 8 Agustus 2026, Bitcoin mencatat rekor tertinggi 2026 untuk aktivitas on-chain:

• 2,27 juta dompet baru dibuat.
• 751.000 dompet aktif tercatat.

Lonjakan ini didorong langsung oleh para pemegang yang berlomba memindahkan dana dari perangkat Coldcard dan menghasilkan dompet yang benar-benar baru di perangkat keras yang berbeda .

Perdebatan Self-Custody

Eksploitasi ini memicu perdebatan sengit tentang asumsi keamanan dompet keras dan self-custody:

• CEO Casa Nick Neuman melaporkan bahwa beberapa pelanggan, dengan mengutip pelanggaran Coldcard, mempertimbangkan kembali self-custody sepenuhnya dan beralih ke kustodian yang memenuhi syarat .
• Pakar keamanan mencatat bahwa bahkan dompet "dingin" hanya seaman firmware dan implementasi RNG-nya — serangan itu tidak memerlukan akses fisik dan tidak ada kesalahan pengguna, mengguncang kepercayaan pada janji inti dompet keras .

Peringatan Kunci Coinkite: Buat Seed yang Baru Sama Sekali

Coinkite mengeluarkan peringatan mendesak bahwa tambalan firmware saja tidak cukup untuk pengguna yang terpengaruh:

• Seed yang dihasilkan pada firmware yang rentan (terutama build Mk3 dari Maret 2021 dan seterusnya) secara permanen dikompromikan. Entropi yang lemah berarti frasa seed berada dalam ruang brute-force penyerang.
• Pengguna diinstruksikan untuk menghasilkan seed yang benar-benar baru pada perangkat keras yang telah ditambal atau tidak terpengaruh, mentransfer dana ke dompet baru, dan jangan pernah menggunakan kembali seed lama .
• Sekadar memperbarui firmware tidak akan secara retroaktif memperkuat seed yang sudah lemah .