Serangan Coldcard berlanjut, potensi kerugian capai US$114 juta
NEW YORK — Gelombang keempat serangan terhadap dompet kripto Coldcard dilaporkan masih berlangsung. Peneliti memperkirakan pelaku telah memindahkan sekitar 1.816 bitcoin atau senilai hampir US$114 juta dari lebih dari 5.200 alamat sejak 30 Juli 2026.
Seperti dikutip CoinDesk, berbeda dengan tiga gelombang sebelumnya, transaksi pada serangan terbaru masih dapat digagalkan sebelum dikonfirmasi di jaringan bitcoin. Hal tersebut dimungkinkan karena pelaku memanfaatkan fitur replace-by-fee (RBF), yang memungkinkan transaksi belum terkonfirmasi digantikan oleh transaksi lain dengan biaya lebih tinggi.
Kepala Riset Galaxy Research, Alex Thorn, mengatakan pemilik aset yang menemukan alamatnya di mempool atau antrean transaksi yang belum dikonfirmasi masih memiliki kesempatan memindahkan bitcoin mereka lebih dulu dengan membayar biaya transaksi yang lebih tinggi.
Serangan pertama dimulai pada 30 Juli 2026. Dalam waktu 41 menit, pelaku berhasil menyapu 1.083 bitcoin dari 1.196 alamat. Dua gelombang berikutnya membuat total kerugian yang teridentifikasi meningkat menjadi 1.367 bitcoin dari 4.585 alamat.
Thorn mengatakan temuan tersebut didasarkan pada pola transaksi yang terpantau di jaringan, bukan laporan langsung dari korban. Ia memilih mempublikasikan temuannya secepat mungkin agar pengguna masih memiliki kesempatan menyelamatkan aset sebelum transaksi dikonfirmasi.
Jika pola tersebut terus berlanjut, total aset yang telah dipindahkan dalam empat gelombang serangan diperkirakan mencapai sekitar 1.816 bitcoin atau hampir US$114 juta.
Thorn juga mengimbau pengguna untuk segera memeriksa saldo dompet mereka, memindahkan aset dari perangkat yang terdampak, serta menaikkan biaya transaksi jika menemukan asetnya masih berada di mempool.
Bug Firmware
Peneliti menemukan sumber masalah berasal dari firmware Coldcard yang dirilis pada Maret 2021. Versi tersebut menghasilkan seed phrase menggunakan pembangkit angka acak berbasis perangkat lunak yang dapat diprediksi.
Akibatnya, pelaku dapat menebak kembali kunci privat secara offline setelah mengetahui pola angka acak yang digunakan.
Produsen Coldcard, Coinkite, telah merilis pembaruan darurat untuk seluruh model yang terdampak. Perusahaan juga meminta pengguna yang pernah membuat seed phrase menggunakan firmware tersebut segera memindahkan aset ke dompet baru yang dibuat dengan seed baru.
Thorn mengatakan pola serangan menunjukkan bahwa celah tersebut hanya memengaruhi dompet dengan satu kunci (single-key). Hingga kini, tidak ada dompet multisignature yang menjadi korban.
Ia juga menemukan bahwa pelaku kini mengirim dana hasil curian ke alamat-alamat baru yang belum pernah digunakan sebelumnya. Cara ini dinilai membuat pelacakan aset menjadi lebih sulit dibandingkan pada gelombang serangan sebelumnya. (ARF)
