Pembaruan Peretasan Coldcard: Sedikitnya 15 Kelompok Penyerang Manfaatkan Celah Dompet

Sedikitnya 15 kelompok penyerang berbeda telah memanfaatkan kerentanan pada hardware wallet Coldcard, menurut Kepala Riset Galaxy Digital Alex Thorn. Kesimpulan itu muncul setelah laporan korban terbaru mengungkap pencurian yang sebelumnya belum teridentifikasi. Thorn mengatakan laporan tersebut membantu peneliti Galaxy menautkan alamat Bitcoin tambahan ke insiden ini. Dalam satu kasus, korban yang kehilangan kurang dari 1 BTC justru membuka jalan bagi peneliti untuk mengidentifikasi pelaku yang menguras 12 BTC dari 126 alamat. Berbeda dengan pembobolan bursa terpusat, kasus ini melibatkan perpindahan dana dari banyak dompet yang dikendalikan secara independen menuju sejumlah alamat milik penyerang. Karena pola tersebut, sebagian pencurian bisa saja sulit dilacak tanpa keterbukaan korban yang membagikan alamat dompet dan riwayat transaksinya. Galaxy Research memperkirakan sekitar US$100 juta dalam Bitcoin telah dicuri dalam tiga gelombang serangan yang sudah dikonfirmasi. Peneliti juga menemukan dugaan gelombang keempat yang dapat mendorong total kerugian menjadi sekitar US$130 juta. Galaxy menegaskan 15 klaster penyerang tidak otomatis berarti 15 individu yang diketahui; beberapa alamat bisa saja dikendalikan orang atau kelompok yang sama, dan sebagian pelaku lain mungkin belum terungkap. Celah Coldcard Melemahkan Proses Pembentukan Seed Kerentanan ini memengaruhi proses pembuatan frasa pemulihan (recovery phrase) pada sebagian perangkat Coldcard. Kesalahan integrasi firmware dilaporkan membuat dompet terdampak bergantung pada deterministic pseudorandom number generator, alih-alih generator bilangan acak berbasis perangkat keras yang semestinya digunakan. Akibatnya, tingkat keacakan yang melindungi sebagian private key berkurang dan pencarian seed phrase yang valid menjadi lebih memungkinkan. Salah satu pendiri Castle Labs, Francesco, menyebut dompet Coldcard yang terdampak berpotensi menghasilkan private key dengan entropi sekitar 40 bit. Sebagai perbandingan, frasa pemulihan 12 kata biasanya memberikan 128 bit. Kondisi ini bukan berarti penyerang dapat mengekstrak kunci langsung dari perangkat air-gapped. Modusnya, penyerang merekonstruksi kemungkinan frasa pemulihan dan memantau alamat Bitcoin terkait untuk mencari dana. Pengguna yang dompetnya berpotensi terdampak disarankan memperbarui firmware, membuat seed phrase yang benar-benar baru, lalu memindahkan Bitcoin ke alamat yang dikendalikan dompet baru tersebut. Sekadar mengimpor frasa pemulihan yang terdampak ke perangkat lain tidak mengatasi kelemahan dasarnya. Perdebatan: Bisakah AI Mencegah Eksploit Coldcard? Insiden ini juga memicu perdebatan soal apakah pengujian keamanan berbantuan AI dapat menemukan celah tersebut lebih cepat. Managing partner Dragonfly, Haseeb Qureshi, berargumen bahwa sekitar "US$2 untuk hardening berbasis AI" mungkin dapat mencegah kerugian. Ia merujuk eksperimen yang mengklaim model AI menemukan kembali kerentanan itu dalam hitungan menit, termasuk uji coba di mana model open-source GLM 5.2 disebut menemukan celah dalam sekitar 20 menit tanpa akses web. Sejumlah pihak mempertanyakan apakah eksperimen tersebut membuktikan AI dapat menemukan kerentanan sebelum menjadi pengetahuan publik. Data lead Tokenomist, Tatsapat Saerejittima, menilai sebagian pengujian dilakukan setelah pengungkapan dan tidak disertai blind testing, metodologi terdokumentasi, serta evaluasi false positive. AI dinilai bisa menurunkan biaya identifikasi kerentanan, tetapi tidak dapat menggantikan audit independen dan pengujian end-to-end terkait bagaimana hardware wallet menghasilkan serta melindungi private key.