Audit AI Bitcoin Red Team Temukan 85 Kerentanan Kritis Setelah Peretasan Coldcard Rp1,8 Triliun

Bagaimana Respons terhadap Peretasan Dompet Coldcard

Kampanye ini merupakan respons langsung terhadap eksploitasi dompet hardware Coldcard pada Juli 2026 . Berikut rincian peretasan tersebut:

• Kerentanan: Sebuah bug firmware yang diperkenalkan di firmware Coldcard versi 4.0.0 (Maret 2021) menyebabkan perangkat melewati generator nomor acak hardware khusus selama pembuatan seed phrase . Ini membuat seed phrase dompet menjadi dapat diprediksi — kekuatan kunci turun dari 128 bit menjadi hanya 40 bit .
• Serangan: Mulai 30 Juli 2026, peretas mengeksploitasi celah ini untuk menguras dana dari ribuan dompet. Gelombang pertama menghantam 1.196 alamat hanya dalam 41 menit, mencuri 1.082,65 BTC (sekitar $70 juta saat itu) .
• Total kerugian: Beberapa gelombang mendorong total kerugian melebihi $116 juta dari lebih dari 5.200 alamat, dengan beberapa perkiraan melebihi $130 juta saat serangan berlanjut . Setidaknya selusin peretas berbeda terlibat .
• Respons Coinkite: Perusahaan mendesak pengguna untuk memperbarui firmware dan memindahkan dana, tetapi saat itu sebagian besar kerusakan sudah terjadi .

Sebagai respons, Bitcoin Red Team meluncurkan auditnya untuk menemukan bug generator nomor acak serupa, praktik kriptografi yang lemah, dan celah sistemik lainnya sebelum peretas dapat mengeksploitasinya .

Temuan dan Metode Utama

Temuan

Volume yang sangat besar — hampir 5.000 laporan dalam sehari — menciptakan masalah triase besar bagi para pemelihara proyek di hilir . Hanya sekitar satu dari lima temuan yang dikonfirmasi dapat direproduksi, tetapi grup tersebut berpendapat bahwa menandai masalah yang berada di ambang batas adalah tindakan yang tepat mengingat tingkat keparahan serangan Coldcard .

Metode

• Tim menggunakan model AI open-weight untuk memindai basis kode untuk mencari pola kerentanan yang diketahui, kelemahan kriptografi, dan kesalahan logika .
• Peneliti manusia memandu AI, memvalidasi hasil, dan mengajukan laporan pengungkapan yang bertanggung jawab .
• Grup berencana untuk membuka sumber kode harness keamanan AI mereka sehingga komunitas yang lebih luas dapat melanjutkan pemindaian otomatis .
• Mereka fokus pada dompet, perpustakaan kriptografi, dan proyek infrastruktur Bitcoin — jenis kode yang, jika cacat, dapat menyebabkan kerugian sebesar Coldcard .

Mengapa OpenAI Mencabut Akses Peneliti Utama di Tengah Proyek

Rob Hamilton (CEO AnchorWatch dan rekan pemimpin kampanye) telah mendaftar di program "Trust Cyber" OpenAI, yang memberikan akses API bersubsidi kepada peneliti keamanan yang disetujui untuk penelitian kerentanan . Pada 8/9 Agustus 2026, setelah dia mengintegrasikan program tersebut ke dalam alur kerjanya dan mengajukan pengungkapan yang valid, OpenAI mencabut aksesnya tanpa penjelasan .

• Hamilton secara terbuka menyatakan bahwa dia "diblokir dari melakukan analisis tambahan pada basis kode yang telah saya ungkapkan secara bertanggung jawab, dan telah menerima konfirmasi memiliki temuan yang sah" .
• Pencabutan ini memaksa Bitcoin Red Team beralih ke model AI yang tidak terlalu ketat, termasuk alternatif open-weight dari China, sebuah pergeseran yang secara luas dicatat dan dikritik sebagai kemunduran bagi daya saing AI AS dalam penelitian keamanan .
• OpenAI belum merinci alasan mereka secara publik. FAQ Program Akses Peneliti perusahaan mencatat bahwa kredit diberikan atas kebijakan mereka dan dapat ditarik kembali, tetapi tidak ada pelanggaran kebijakan spesifik oleh Hamilton yang telah disebutkan .