Eksploitasi Coldcard RM600 Juta: 2,055 BTC Dicuri, Lebih 7,700 Dompet Dikeringkan

Penyerang tidak memerlukan akses fizikal, e-mel pancingan data, atau perisian hasad. Dengan merekayasa balik output entropi yang lemah, mereka boleh membina semula frasa pemulihan 12 atau 24 perkataan mangsa dari jauh dan mengeringkan dompet yang tidak pernah disambungkan ke internet .

Ketua Pegawai Eksekutif Coldcard, Rodolfo Novak, mengesahkan isu ini pada 30 Julai 2026, dan mencadangkan kelemahan itu mungkin ditemui menggunakan alat AI yang mampu mengimbas perisian tegar sumber terbuka untuk kelemahan entropi secara besar-besaran .

Skala & Garis Masa Kecurian

Serangan berlaku dalam beberapa gelombang yang diselaraskan:

• 30 Julai — Gelombang pertama: Dalam saraan selama 25 minit bermula sekitar 21:56 ET, penyerang mengeringkan kira-kira 594 BTC (~RM180 juta) daripada kira-kira 500 dompet, menyasarkan baki terbesar terlebih dahulu . Chainalysis mendapati AS$30 juta dicuri dalam 10 minit pertama sahaja .
• 31 Julai – 4 Ogos — Gelombang kedua dan ketiga: Saraan tambahan meningkatkan kerugian kepada 1,596 BTC (~RM480 juta+) merentasi kira-kira 7,300 alamat .
• Gelombang keempat yang disyaki: Galaxy Research menandakan kemungkinan gelombang keempat yang, jika disahkan, akan membawa jumlah kepada 2,055 BTC (~RM600 juta) .

Menjelang awal Ogos, TRM Labs mengklasifikasikan insiden Coldcard sebagai penggodaman kripto ketiga terbesar pada 2026 . Galaxy Research mengenal pasti sekurang-kurangnya 15 penyerang berasingan kini bersaing untuk mengeksploitasi mana-mana dompet terdedah yang belum dipindahkan .

Pergerakan Dana 7 Ogos: 30.185 BTC (RM9 Juta)

Pada 7 Ogos 2026, dompet yang dikaitkan dengan penggodam Coldcard memindahkan 30.185 BTC (~RM9 juta) ke alamat yang baru dibuat, menurut pengesan rantaian blok Lookonchain . Ini adalah pergerakan pertama dana curian sejak eksploitasi awal bermula.

• Pemindahan itu mewakili kira-kira 1.5% daripada keseluruhan 2,055 BTC yang dirompak .
• Penganalisis mentafsirkannya sebagai transaksi ujian yang berpotensi atau langkah awal ke arah pengeluaran tunai yang lebih besar .
• Harga Bitcoin hampir tidak bertindak balas, didagangkan hampir AS$64,152 pada masa itu .

90% Dana Curian Masih Tidak Disentuh

Selepas pemindahan 7 Ogos, kira-kira 98.5% daripada ~2,055 BTC yang dicuri masih tidak disentuh dalam dompet penggodam . Corak ini konsisten dengan penyerang canggih yang menunggu berbulan-bulan atau bertahun-tahun sebelum cuba melaburkan jumlah yang besar. Firma forensik rantaian blok dan pertukaran menjejaki alamat tersebut dengan rapi .

Tindak Balas Coinkite & Kemas Kini Perisian Tegar

Coinkite bertindak pantas selepas menemui kelemahan itu pada 30 Julai:

• 30 Julai — Mengeluarkan nasihat keselamatan segera mendedahkan pepijat secara umum .
• 31 Julai — Menghantar perisian tegar tampung kecemasan untuk setiap model dan trek keluaran yang terjejas :

Amaran kritikal: Memasang perisian tegar tampung tidak membaiki frasa pemulihan yang sudah terjejas. Coinkite memberitahu semua pengguna terjejas untuk menjana frasa pemulihan baharu pada perisian tegar yang telah ditampal dan memindahkan syiling mereka dengan segera . Syarikat itu juga memusnahkan baki inventori yang dikilangkan dengan perisian tegar terdedah dan menghentikan penghantaran .

Versi Perisian Tegar Terjejas

• Risiko tertinggi: Perisian tegar Mk3 4.0.1 hingga 4.1.9, frasa pemulihan dijana tanpa sekurang-kurangnya 50 balingan dadu bebas atau frasa laluan BIP-39 yang kukuh dan unik
• Juga terjejas: Model Mk4, Mk5, dan Q sebelum versi perisian tegar tetap yang disenaraikan di atas
• Tidak terjejas: Frasa pemulihan dijana sebelum tetingkap perisian tegar terdedah; frasa pemulihan menggunakan 50+ balingan dadu; frasa pemulihan dilindungi oleh frasa laluan BIP-39 yang unik; peranti TAPSIGNER, OPENDIME, dan SATSCARD (pangkalan kod berbeza); dan persediaan multisig dengan sekurang-kurangnya satu kunci tidak terdedah

Implikasi untuk Penyimpanan Sendiri & Komuniti Kripto

• Dompet perkakasan tidak kalis peluru. Insiden Coldcard menghancurkan anggapan bahawa dompet luar talian kebal terhadap kecurian frasa pemulihan dari jauh . Kecacatan itu hidup tanpa dikesan dalam perisian tegar selama lebih lima tahun.
• Frasa pemulihan yang dijana pada perisian tegar terdedah terjejas secara kekal. Walaupun selepas memasang pembaikan, frasa pemulihan lama masih boleh diramal . Pengguna mesti mencipta dompet baharu sepenuhnya dan memindahkan dana.
• Ketakutan pasaran yang lebih luas. Glassnode melaporkan bahawa kira-kira 210,000 BTC telah dipindahkan dari dompet pemegang jangka panjang (tidak aktif selama 155+ hari) dalam minggu selepas penggodaman — peralihan terbesar seumpamanya sejak 2024 — menunjukkan kehilangan keyakinan yang meluas dalam kalangan pemegang Bitcoin penyimpanan sendiri .
• Audit AI semakin pantas. Penyelidik keselamatan menyatakan bahawa serangan itu mungkin dibantu oleh alat AI yang boleh mengimbas perisian tegar sumber terbuka untuk kelemahan entropi secara besar-besaran, keupayaan yang kini cepat diterima pakai di semua projek dompet perkakasan .
• "Saya buat semuanya dengan betul" tidak lagi mencukupi. Ramai mangsa mengikuti amalan terbaik penyimpanan sendiri dan masih kehilangan segala-galanya, menekankan bahawa integriti perisian tegar adalah sempadan baharu risiko dompet perkakasan .

• Mk3: versi 4.2.0 atau lebih baru
• Mk4/Mk5 standard: versi 5.6.0 atau lebih baru
• Q standard: versi 1.5.0Q atau lebih baru
• Mk4/Mk5 Edge: versi 6.6.0X atau lebih baru
• Q Edge: versi 6.6.0QX atau lebih baru