Bug Firmware Coldcard Picu Peretasan Kripto Rp 1,4 Triliun

Kerentanan keamanan pada sistem firmware dompet perangkat keras Coldcard yang ada sejak tahun 2021 memicu aksi peretasan jarak jauh dan menguras dana pengguna lebih dari USD 88 juta atau sekitar Rp 1,4 triliun.

Dilansir dari Detik iNET, celah fatal ini ditemukan pada generator angka acak perangkat akibat kesalahan integrasi firmware sejak Maret 2021. Kesalahan koding membuat dompet tersebut beralih ke software cadangan yang lemah sehingga tingkat keacakan kunci keamanan merosot tajam dari 128-bit menjadi hanya 40 hingga 72-bit.

Kondisi keamanan yang sangat rentan tersebut memungkinkan peretas merekonstruksi seed phrase korban hanya dengan bermodalkan detail waktu nyala perangkat serta nomor seri menggunakan komputer biasa.

Firma riset Galaxy Research melaporkan bahwa aksi pencurian aset pada lini produk Coinkite ini terjadi dalam tiga gelombang beruntun, dengan gelombang pertama dimulai pada 30 Juli yang menguras 1.196 alamat Bitcoin. Secara keseluruhan, total kerugian tercatat mencapai 1.367,05 BTC dari 4.585 alamat pengguna dan diperkirakan masih terus bertambah.

Sebagai penanganan darurat, Coinkite telah merilis pembaruan firmware pada 31 Juli untuk menutup celah tersebut. Meski begitu, perusahaan menekankan bahwa pembaruan sistem tidak dapat memperbaiki seed phrase lama yang sudah dibuat, sehingga pengguna dianjurkan segera membuat kunci baru dan memindahkan aset mereka.

Kejadian ini melukai kepercayaan komunitas kripto terhadap sistem keamanan penyimpanan mandiri (self-custody). Kerentanan tersebut bahkan membobol pengguna yang telah menerapkan prosedur keamanan fisik sangat ketat.

"Saya sudah melakukan semuanya dengan benar," tulis Jonathan Goodman, salah satu korban yang mengaku kehilangan sekitar USD 1,6 juta meskipun telah menyimpan perangkatnya di dalam brankas tanpa koneksi internet.

Sebaliknya, para pengguna yang sejak awal membuat seed phrase menggunakan metode lemparan dadu manual dilaporkan terbebas sepenuhnya dari ancaman bug firmware ini.