JBNews.id — Sebuah bug pada firmware perangkat keras dompet Bitcoin Coldcard telah menyebabkan hilangnya dana senilai lebih dari USD 88 juta atau sekitar Rp 1,4 triliun. Serangan yang berlangsung dari jarak jauh ini menargetkan pengguna yang mengandalkan perangkat cold storage sebagai benteng keamanan terakhir aset kripto mereka.
Menurut laporan yang dikutip dari Techspot pada Senin (3/8/2026), celah keamanan ini telah bersarang sejak tahun 2021. Yang lebih mengkhawatirkan, peretas berhasil menguras dana korban tanpa memerlukan akses fisik ke perangkat, tanpa phishing, dan tanpa malware sama sekali.
Insiden ini menjadi pukulan telak bagi komunitas kripto global. Pasalnya, perangkat keras seperti Coldcard selama ini dianggap sebagai standar emas untuk penyimpanan aset digital yang aman.
Akar Masalah pada Generator Angka Acak
Celah fatal ini berakar dari kesalahan integrasi firmware yang terjadi pada Maret 2021. Alih-alih menggunakan chip generator angka acak STM32 untuk membuat seed phrase (kode sandi utama), perangkat yang terdampak justru secara otomatis menggunakan sistem software cadangan yang jauh lebih lemah.
Kesalahan koding ini membuat perangkat gagal mengumpulkan entropi atau tingkat keacakan yang cukup. Akibatnya, kekuatan entropi yang seharusnya berada di angka 128-bit — yang secara praktis mustahil ditebak secara paksa — anjlok drastis menjadi hanya 40 hingga 72-bit.
Dengan kondisi tersebut, peretas yang mengetahui detail waktu nyala perangkat dan nomor seri dapat merekonstruksi serta menebak kombinasi angka acak menggunakan komputer biasa. Setelah itu, mereka tinggal mencocokkannya untuk membobol alamat dompet korban.
Tiga Gelombang Serangan Beruntun
Menurut firma riset Galaxy Research, pencurian ini berpusat pada lini produk Coldcard buatan Coinkite. Serangan pertama terjadi pada 30 Juli, di mana peretas menguras 1.196 alamat Bitcoin hanya dalam waktu 41 menit, meraup 1.082,65 BTC atau sekitar USD 70,2 juta saat itu.
Sejak saat itu, dua gelombang serangan susulan telah terjadi. Total kerugian sementara kini mencapai 1.367,05 BTC, bernilai sekitar USD 88,6 juta yang tersebar dari 4.585 alamat pengguna. Galaxy memperingatkan bahwa angka pencurian ini kemungkinan masih akan terus bertambah seiring penelusuran aktivitas di dalam blockchain atau on-chain.
Baca Juga:
Update Firmware Saja Tidak Cukup
Merespons krisis keamanan ini, Coinkite telah merilis pembaruan firmware darurat pada 31 Juli untuk semua model yang terdampak. Namun, ada satu peringatan sangat penting bagi pengguna: pembaruan sistem ini tidak bisa memperbaiki seed phrase yang sudah terlanjur dibuat.
Perusahaan mendesak pengguna untuk segera membuat seed phrase baru menggunakan firmware yang sudah ditambal, lalu memindahkan koin mereka ke alamat baru tersebut. Sementara itu, pengguna yang sejak awal membuat seed menggunakan metode lemparan dadu secara manual dilaporkan terbebas dari kerentanan ini.
Kasus ini menambah daftar panjang ancaman keamanan di dunia kripto. Sebelumnya, pencurian kripto melalui malware game juga sempat mengejutkan publik, menunjukkan bahwa vektor serangan terus berkembang.
Kepercayaan pada Cold Storage Goyah
Insiden ini menjadi pukulan telak bagi komunitas kripto, terutama karena korbannya adalah pengguna yang sudah menerapkan standar keamanan tertinggi secara taat. Jonathan Goodman, salah satu korban yang mengaku kehilangan sekitar USD 1,6 juta, menyebut bahwa ia menyimpan Coldcard-nya di dalam brankas atau safety deposit box dan tidak pernah sekali pun menghubungkannya ke internet.
“Saya sudah melakukan semuanya dengan benar,” tulisnya dalam sebuah unggahan yang viral di X. Pernyataan ini menggambarkan keputusasaan korban yang telah mematuhi semua protokol keamanan namun tetap menjadi sasaran peretasan.
Kasus ini memicu perdebatan luas di forum Bitcoin mengenai jaminan keamanan self-custody atau penyimpanan mandiri. Jika bug kritis bisa bersarang tanpa terdeteksi selama lebih dari tiga tahun di perangkat keras bereputasi tinggi, banyak pihak kini mulai mempertanyakan sistem keamanan hardware wallet lainnya yang beredar di pasaran.
Kejadian ini juga menjadi pengingat bagi investor untuk selalu waspada terhadap fluktuasi pasar. Dalam konteks yang lebih luas, harga Bitcoin yang anjlok 45 persen sebelumnya telah membuat investor mulai melakukan kapitalisasi kerugian. Kini, ancaman keamanan menjadi faktor risiko tambahan yang harus dipertimbangkan.
Bagi para pengguna hardware wallet, langkah paling bijak saat ini adalah segera memeriksa apakah perangkat mereka terdampak, membuat seed phrase baru dengan firmware yang telah diperbarui, dan memindahkan seluruh aset ke alamat baru. Tidak ada jalan pintas — keamanan aset digital membutuhkan kewaspadaan berlapis, termasuk terhadap perangkat yang selama ini dianggap paling aman sekalipun.
