Coldcard Hack Tembus US$130 Juta, Self-Custody Bitcoin Jadi Sorotan

Prinsip “Not Your Keys, Not Your Coins” kembali diuji setelah insiden keamanan pada hardware wallet Coldcard memicu pencurian Bitcoin dalam jumlah besar. Serangan ini menyoroti bahwa self-custody tidak hanya bergantung pada siapa yang memegang private key, tetapi juga pada kualitas proses pembuatan seed phrase sejak awal.

Galaxy Research memperkirakan kerugian akibat insiden Coldcard telah mendekati US$130 juta per 4 Agustus 2026. Serangan dimulai pada 30 Juli dan berkembang dalam beberapa gelombang, dengan dana korban disapu dari wallet yang diduga terdampak kelemahan seed generation.

Coldcard selama ini dikenal sebagai hardware wallet khusus Bitcoin yang banyak digunakan oleh investor jangka panjang dan komunitas Bitcoin maximalist. Reputasinya dibangun dari fitur keamanan seperti air-gapped signing, fokus pada Bitcoin-only storage, dan kontrol penuh pengguna atas seed phrase serta private key.

Serangan Dimulai dari Wallet yang Dibuat dengan Firmware Rentan

Menurut pelacakan on-chain, gelombang awal serangan terjadi pada 30 Juli 2026. CoinDesk melaporkan sekitar 594 BTC senilai US$38 juta dicuri dalam waktu 25 menit pada tahap awal insiden. Laporan berikutnya dari Galaxy Research dan sejumlah firma keamanan kemudian menunjukkan jumlah korban dan kerugian terus bertambah.

The Hacker News mencatat salah satu gelombang besar menguras 1.082,65 BTC dari 1.196 alamat Bitcoin hanya dalam 41 menit. Setelah beberapa gelombang tambahan, estimasi Galaxy meningkat menjadi 1.367 BTC atau sekitar US$88,6 juta di lebih dari 4.500 alamat, sebelum laporan lanjutan memperkirakan angka kerugian dapat mencapai sekitar US$130 juta.

CoinMarketCap, mengutip Galaxy Research, menyebut kerugian terkonfirmasi mencapai 1.596 BTC dari sekitar 7.300 alamat dalam tiga gelombang dan 14 insiden kecil. Jika gelombang keempat ikut dihitung, totalnya dapat mencapai 2.055 BTC atau sekitar US$130 juta.

Akar Masalah: Entropy Seed Phrase Lemah

Investigasi menunjukkan akar masalah berada pada proses seed generation di firmware Coldcard. Secara normal, hardware wallet seharusnya menghasilkan seed phrase menggunakan sumber angka acak yang kuat dari hardware random number generator atau RNG.

Namun, laporan The Hacker News menyebut kesalahan integrasi firmware pada Maret 2021 membuat proses seed generation dialihkan ke deterministic software pseudorandom number generator atau PRNG, bukan hardware RNG yang seharusnya digunakan. Kondisi ini menurunkan kualitas randomness atau entropy seed phrase.

BlockSec menjelaskan bahwa kelemahan tersebut mengubah proses pencarian seed dari sesuatu yang secara kriptografi hampir mustahil menjadi proses offline search yang dapat dilakukan dengan mempersempit kemungkinan output RNG. Penyerang dapat membuat kandidat seed, menurunkan alamat Bitcoin, lalu membandingkannya dengan data blockchain publik.

Masalah ini berbahaya karena perangkat korban tidak perlu disentuh secara fisik. Jika seed phrase dibuat dengan entropy lemah dan wallet tidak memakai perlindungan tambahan seperti passphrase kuat atau multisig yang aman, penyerang dapat menebak seed secara offline lalu menyapu dana on-chain.

Baca juga: 110 Proyek Kripto Shutdown pada 2026, Soroti Fase Seleksi Alam Industri

Mengapa Entropy Sangat Penting?

Entropy adalah tingkat keacakan yang digunakan saat membuat seed phrase. Semakin tinggi entropy, semakin banyak kombinasi yang harus ditebak penyerang.

Pada wallet Bitcoin normal, seed phrase 12 kata memiliki sekitar 128-bit entropy. Secara praktis, angka ini membuat brute force hampir mustahil dilakukan dengan komputer modern. Namun, jika bug membuat entropy turun drastis, ruang pencarian menjadi jauh lebih kecil.

CoinMarketCap, mengutip analisis Block, menyebut effective search space pada sebagian perangkat Mk3 dapat turun menjadi sekitar 40-bit. Untuk Mk4, Mk5, dan Coldcard Q, batas atasnya masih di bawah 73,3-bit, jauh dari target keamanan 128-bit.

Perbedaan ini sangat besar. Seed phrase 12 kata dengan 128-bit entropy memiliki sekitar 2¹²⁸ kemungkinan. Sebaliknya, entropy sekitar 40-bit hanya memiliki sekitar 2⁴⁰ kemungkinan, atau sekitar 1,1 triliun kombinasi. Dalam konteks keamanan kriptografi, penurunan ini membuat serangan offline menjadi jauh lebih realistis.

Firmware Update Tidak Memperbaiki Seed Lama

Coinkite telah menerbitkan peringatan keamanan untuk pengguna Coldcard, termasuk pengguna Mk3 yang membuat seed pada firmware 4.0.1 atau setelahnya. The Block melaporkan Coinkite memperingatkan bahwa dana pada perangkat tersebut dapat berisiko, terutama jika seed dibuat tanpa dice rolls, passphrase, atau multisig.

Coinkite juga merilis firmware darurat untuk model terdampak. Namun, pembaruan firmware tidak dapat memperbaiki seed phrase yang sudah dibuat dengan entropy lemah. Jika seed lama sudah rentan sejak awal, risiko tetap terbawa meskipun perangkat diperbarui.

The Hacker News menegaskan bahwa pengguna dengan seed terekspos perlu membuat seed baru di firmware yang sudah diperbaiki dan memindahkan dana ke alamat baru. Mengembalikan seed lama ke firmware baru atau wallet lain tidak menghilangkan kelemahan tersebut.

Dengan kata lain, solusi utama bukan hanya update firmware, tetapi juga migrasi aset ke wallet baru dengan seed phrase baru yang dibuat secara aman.

Pelajaran dari Coldcard Hack

Insiden Coldcard menunjukkan bahwa self-custody bukan berarti bebas risiko. Pengguna memang memegang kendali atas asetnya, tetapi keamanan tetap bergantung pada hardware, firmware, proses pembuatan seed, serta praktik operasional yang digunakan.

Galaxy Research menilai kegagalan ini terjadi pada titik paling awal dalam proses custody, yaitu saat private key dibuat. Dalam kasus ini, pengguna dapat melakukan banyak langkah keamanan dengan benar, tetapi tetap terdampak jika seed phrase sejak awal dibuat dari entropy yang lemah.

Pelajaran utamanya adalah jangan bergantung pada satu lapisan keamanan. Pengguna hardware wallet perlu memastikan firmware selalu diperbarui, memahami apakah seed mereka dibuat pada versi rentan, dan mempertimbangkan perlindungan tambahan seperti passphrase kuat, multisig, atau metode entropy tambahan seperti dice rolls yang benar-benar acak dan privat.

Insiden ini juga mengingatkan bahwa “Not Your Keys, Not Your Coins” bukan jaminan mutlak. Prinsip tersebut tetap penting untuk menghindari risiko pihak ketiga, tetapi keamanan aset kripto pada akhirnya ditentukan oleh seluruh rantai custody, mulai dari kualitas entropy, implementasi firmware, hingga cara pengguna menyimpan dan memindahkan aset.

Bagi pengguna Coldcard yang berpotensi terdampak, langkah paling aman adalah mengikuti advisory resmi, memperbarui firmware, membuat seed phrase baru pada perangkat yang sudah aman, dan memindahkan aset ke alamat baru. Untuk dana besar, pendekatan multisig dengan perangkat dan sumber entropy yang beragam dapat menjadi lapisan perlindungan tambahan.

Baca juga: Rahasia SpaceX yang Baru IPO: Punya 18.712 Bitcoin, Lebih Banyak dari Tesla!

---

Investasi dan trading kripto aman hanya di Tokocrypto. Ikuti Google News Tokonews untuk update berita crypto dan download aplikasi trading bitcoin & crypto sekarang!

DISCLAIMER: Investasi aset kripto mengandung risiko tinggi dan segala keputusan investasi yang diambil oleh Anda berdasarkan rekomendasi, riset dan informasi seluruhnya merupakan tanggung jawab Anda. Tidak ada lembaga atau otoritas negara yang bertanggung jawab atas risiko investasi tersebut. Konten ini hanya bersifat informasi bukan ajakan menjual atau membeli

Tokocrypto Berizin dan diawasi oleh Otoritas Jasa keuangan.