Coldcard Wajibkan Entropi dari Pengguna Usai Kasus Pencurian Bitcoin $100 Juta+ yang Dikaitkan dengan Celah Seed

Coinkite merilis pembaruan firmware Coldcard versi 5.6.1 yang mengubah cara pembuatan seed pada perangkat. Mulai versi ini, pengguna diwajibkan menambahkan entropi (sumber keacakan) mereka sendiri setiap kali membuat seed baru. Sebelumnya, pembuatan seed terutama mengandalkan generator angka acak internal dompet. Perubahan tersebut muncul setelah beredar laporan adanya kerentanan terkait seed yang dikaitkan dengan pencurian Bitcoin berskala besar. CryptoPotato menaksir kerugian sekitar US$100 juta, sedangkan The Cryptonomist EN menyebut US$112 juta. Keduanya merujuk pada insiden yang sama, tetapi angka pastinya masih berbeda di berbagai pemberitaan. Seed phrase—umumnya terdiri dari 12 atau 24 kata—menjadi fondasi dompet self-custody karena merepresentasikan kunci privat yang mengendalikan dana pengguna. Jika keacakan yang melandasi seed bisa diprediksi, lemah, atau terkompromi, penyerang secara teoritis dapat merekonstruksi kunci dan menguras dompet terkait. Risiko inilah yang menjadi pusat perhatian pada kerentanan yang sedang disorot. Kewajiban entropi dari pengguna merupakan langkah mitigasi yang sejak lama direkomendasikan peneliti keamanan. Praktiknya dapat berupa lemparan dadu, gambar yang diambil kamera, atau sumber keacakan manual lain. Input tersebut digabungkan dengan keacakan internal perangkat, bukan menggantikannya. Tujuannya mengurangi ketergantungan pada satu sumber keacakan yang berpotensi bermasalah, baik karena bug firmware maupun kompromi rantai pasok. Dompet perangkat keras dipasarkan sebagai alternatif yang lebih aman dibanding penitipan di bursa karena kunci privat tidak pernah keluar dari perangkat. Reputasi itu sangat bergantung pada integritas proses pembuatan angka acak saat penyiapan awal. Celah pada tahap ini merusak janji keamanan utama cold storage, terlepas dari seberapa kuat perangkat melindungi kunci setelahnya. Kasus ini menambah daftar pola berulang dalam keamanan kripto. Kerugian akibat peretasan bursa dan eksploit kontrak pintar lebih sering diberitakan. Kerentanan di dalam dompet perangkat keras atau proses pembuatan kunci lebih jarang, tetapi bisa lebih berbahaya karena dapat mengekspos dana secara diam-diam—sementara pemilik merasa asetnya sudah aman. Pengguna yang membuat seed pada versi firmware yang terdampak disarankan meninjau panduan Coinkite untuk menilai apakah perlu migrasi ke seed yang baru dibuat. Dalam pemberitaan yang tersedia, Coinkite belum dikutip secara langsung mengenai akar masalah teknis spesifiknya. Meski begitu, perubahan firmware ini mengindikasikan perusahaan menilai proses entropi sebelumnya tidak cukup bila berdiri sendiri, dan kewajiban input pengguna diposisikan sebagai respons langsung atas eksploit yang dilaporkan. Dampak Pasar Dampak paling cepat kemungkinan terkonsentrasi pada pengguna Coldcard dan segmen dompet perangkat keras dalam pasar self-custody. Sorotan ulang terhadap praktik pembuatan seed berpotensi mendorong produsen dompet perangkat keras lain untuk meninjau atau memperkuat implementasi entropi mereka. Untuk pasar kripto yang lebih luas, episode ini kembali menegaskan perdebatan soal risiko kustodian. Investor institusional maupun ritel yang menimbang self-custody dibanding aset yang disimpan di bursa dapat memasukkan insiden ini ke dalam penilaian risiko. Tidak ada data harga atau perdagangan yang dikaitkan dengan peristiwa ini dalam laporan yang tersedia, sehingga reaksi pasar yang lebih luas belum dapat dipastikan. Pembaruan firmware ini merupakan respons atas kerentanan seed yang dilaporkan, dengan estimasi kerugian yang masih berbeda antar media. Pengguna Coldcard disarankan memperbarui perangkat dan merujuk panduan resmi Coinkite terkait penanganan seed ke depan. Tanya Jawab Singkat Apa itu Coldcard? Coldcard adalah dompet perangkat keras buatan Coinkite untuk menyimpan kunci privat Bitcoin secara offline (self-custody). Apa arti "user entropy" dalam konteks ini? User entropy adalah keacakan yang ditambahkan secara manual oleh pengguna—misalnya dari lemparan dadu atau input kamera—yang kemudian digabungkan dengan keacakan internal perangkat saat membuat seed baru. Berapa nilai Bitcoin yang dilaporkan dicuri terkait insiden ini? Angkanya bervariasi: CryptoPotato menyebut sekitar US$100 juta, sedangkan The Cryptonomist EN menyebut US$112 juta. Apakah pengguna Coldcard yang sudah ada perlu bertindak? Pengguna yang membuat seed sebelum pembaruan ini sebaiknya meninjau panduan resmi Coinkite untuk menentukan apakah regenerasi seed direkomendasikan. Awalnya dilaporkan oleh AltcoinGordon, ditulis oleh Grace Mitchell. Dipublikasikan ulang dengan izin. Lihat versi asli di AltcoinGordon →