Eksploit Dompet Coldcard Melambat, Total Kerugian Tembus USD 150 Juta

Kasus pencurian aset kripto melalui celah keamanan pada dompet perangkat Coldcard mulai menunjukkan tren penurunan aktivitas peretasan dalam beberapa hari terakhir. Kendati demikian, jumlah total Bitcoin yang berhasil dikuras oleh pihak tidak bertanggung jawab terus merangkak naik dan memicu kekhawatiran luas di industri aset digital.

Berdasarkan laporan terbaru dari lembaga riset kripto Galaxy Research, serangan eksploitasi pembuatan benih atau seed-recreation pada Coldcard sejauh ini telah menguras lebih dari 1.778 Bitcoin. Nilai aset digital yang berhasil digondol penjahat siber tersebut ditaksir mencapai sekitar USD 112 juta dan angka finalnya diyakini masih bisa bertambah.

Perusahaan riset tersebut menyatakan memiliki tingkat keyakinan yang sangat tinggi terhadap data pelacakan yang mencakup pencurian terkonfirmasi sejak serangan mulai dilancarkan pada akhir Juli 2026. Para pelaku dilaporkan secara sistematis merekonstruksi ulang benih buatan Coldcard dan menyapu bersih dana korban secara onchain tanpa memerlukan akses fisik ke perangkat.

Meskipun gelombang serangan utama terpantau mulai mereda setelah awal Agustus, para ahli memperingatkan bahwa hal tersebut terjadi karena target yang mudah diakses telah habis terkuras. Pemilik dompet Coldcard dengan tanda tangan tunggal terus didesak untuk segera memindahkan dana mereka ke alamat baru yang lebih aman.

Dampak Celah Keamanan Firmware dan Estimasi Kerugian

Akar permasalahan dari eksploitasi ini bermula dari pembaruan perangkat lunak atau firmware pada tahun 2021 yang secara diam-diam mengalihkan proses pembuatan benih Coldcard dari cip nomor acak perangkat keras ke cadangan perangkat lunak. Perubahan tersebut menurunkan kekuatan kunci enkripsi secara signifikan dan dimanfaatkan oleh penyerang.

Riset mendalam dari Galaxy Research mencatat bahwa gelombang pertama serangan berhasil menarik hingga 1.082,65 Bitcoin dari ribuan alamat dalam hitungan menit. Dari total ribuan alamat yang terkuras, sebagian kecil dana yang berhasil dilacak aliran akhirnya masuk ke dalam layanan pencucian privasi coinjoin serta beberapa bursa kripto.

Potensi total kerugian keseluruhan diprediksi dapat melampaui angka USD 150 juta apabila kandidat gelombang keempat yang masih dalam proses verifikasi terbukti benar. Kasus ini secara keseluruhan telah memicu migrasi besar-besaran senilai miliaran dolar Bitcoin menuju sistem penyimpanan kustodian yang jauh lebih aman.

Insiden keamanan ini juga mendapat perhatian serius dari para pelaku industri lain yang mengingatkan pentingnya adaptasi sistem pengamanan dompet keras di tengah ancaman teknologi modern. Gelombang kepanikan ini turut dimanfaatkan oleh pihak tidak bertanggung jawab untuk melancarkan berbagai modus penipuan phishing baru.