Eksploitasi Dompet Keras Coldcard: Kronologi Kecurian Bitcoin RM116 Juta

Ini menjadikan seed boleh diramal dari jauh dan boleh dipaksa teka dari data awam seperti nombor siri peranti dan bacaan jam, tanpa memerlukan akses fizikal ke dompet . Pengguna yang menggunakan dadu mereka sendiri semasa persediaan (memintas seed yang dijana peranti) tidak terjejas .

Kronologi Serangan: Empat Gelombang dalam Lima Hari

• Mac 2021 — Kod perisian tegar yang rosak diperkenalkan dalam kemas kini Coldcard.
• 30 Julai 2026, 01:10–01:51 UTC — Gelombang besar pertama: 1,082.65 BTC (bernilai ~RM70 juta pada masa itu) dikuras dari 1,196 alamat hanya dalam 41 minit . Serangan bermula hampir 30 jam sebelum Coinkite mengeluarkan amaran awam .
• 30 Julai 2026 malam (ET) — Gelombang kedua selama 25 minit menguras kira-kira 594 BTC (~RM38 juta) dari kira-kira 500 dompet .
• Akhir Julai hingga 3 Ogos 2026 — Sekurang-kurangnya dua lagi gelombang terkoordinasi berlaku, dengan Galaxy Research menjejaki tiga gelombang disahkan dan 14 insiden kecil .
• 31 Julai 2026 — Coinkite menghantar tampung perisian tegar kecemasan merentas semua model dan trek keluaran yang terjejas .
• 1–4 Ogos 2026 — Amaran awam meningkat apabila penyerang terus menguras dompet. Galaxy Research menyemak semula anggaran kerugian ke atas secara berulang .
• 7–12 Ogos 2026 — Data kesan sampingan rantaian muncul, menunjukkan penghijrahan pemegang berskala besar dan penciptaan dompet rekod .

Jumlah Wang Dicuri

Anggaran berbeza-beza sepanjang insiden, tetapi angka paling komprehensif datang dari TRM Labs dan Galaxy Research: kira-kira 1,816 BTC (~RM116 juta) dicuri dari lebih 5,200 alamat merentas empat gelombang serangan . Laporan awal menyebut jumlah lebih rendah (1,367 BTC dari 4,585 alamat, atau ~RM89 juta) semasa siasatan masih belum lengkap . Beberapa sumber menganggarkan jumlah kerugian akhir boleh mencecah 2,055 BTC (~RM130 juta) jika gelombang keempat yang disyaki disahkan sepenuhnya .

Penghijrahan RM15 Bilion: 233,000 BTC Keluar dari Dompet Jangka Panjang

Pada hari-hari berikutan pelanggaran, firma analitik rantaian merekodkan penerbangan besar-besaran ke arah keselamatan:

• Data Checkonchain menunjukkan 233,000 BTC meninggalkan dompet pemegang jangka panjang, bernilai kira-kira RM15 bilion .
• Glassnode melaporkan kira-kira 210,000 BTC (~RM13.69 bilion) keluar dari dompet yang telah tidak aktif selama 155+ hari — penurunan mingguan terbesar dalam Bitcoin yang dipegang untuk tempoh lanjutan sejak Disember 2024 .

Penghijrahan ini mencerminkan kedua-dua pengguna Coldcard yang memindahkan dana ke dompet baharu dan panik yang lebih luas apabila pemegang jangka panjang — termasuk pengguna Ledger dan Trezor, menurut CEO Casa Nick Neuman — mengalihkan syiling ke pengaturan jagaan berbeza .

Penciptaan Dompet Rekod: 2.27 Juta Dompet Baharu dalam Seminggu

Pada minggu berakhir kira-kira 8 Ogos 2026, Bitcoin mencatatkan tertinggi 2026 untuk aktiviti rantaian:

• 2.27 juta dompet baharu dicipta.
• 751,000 dompet aktif direkodkan.

Lonjakan ini didorong secara langsung oleh pemegang yang bergegas memindahkan dana dari peranti Coldcard dan menjana dompet baharu sepenuhnya pada perkakasan berbeza .

Perdebatan Self-Custody

Eksploitasi ini mencetuskan perdebatan sengit mengenai andaian keselamatan dompet keras dan self-custody:

• CEO Casa Nick Neuman melaporkan bahawa beberapa pelanggan, memetik pelanggaran Coldcard, mempertimbangkan semula self-custody sepenuhnya dan beralih kepada kustodian berkelayakan .
• Pakar keselamatan menegaskan bahawa dompet "sejuk" pun hanya selamat seperti perisian tegar dan pelaksanaan RNG mereka — serangan itu memerlukan tiada akses fizikal dan tiada kesilapan pengguna, menggoncang keyakinan terhadap janji teras dompet keras .
• Insiden itu digambarkan sebagai eksploitasi dompet keras terbesar dalam sejarah dan menimbulkan persoalan sama ada persediaan multi-sig dan jagaan pelbagai diperlukan, walaupun untuk pemegang Bitcoin yang canggih .

Amaran Utama Coinkite: Jana Seed Baharu Sepenuhnya

Coinkite mengeluarkan amaran segera bahawa tampung perisian tegar sahaja tidak mencukupi untuk pengguna terjejas:

• Seed yang dijana pada perisian tegar terdedah (terutamanya binaan Mk3 dari Mac 2021 dan seterusnya) telah terjejas secara kekal. Entropi lemah bermakna frasa seed berada dalam ruang paksaan teka penyerang.
• Pengguna diarahkan untuk menjana seed baharu sepenuhnya pada perisian tegar yang telah ditampal atau perkakasan yang tidak terjejas, pindahkan dana ke dompet baharu, dan jangan sekali-kali menggunakan semula seed lama .
• Hanya mengemas kini perisian tegar tidak akan menguatkan seed yang sudah lemah secara retrospektif .