Gelombang Serangan Menguras Aset Bitcoin Senilai Ratusan Miliar Rupiah
Poros Informasi – 14 Agustus 2026 | Prinsip fundamental dalam dunia aset kripto, “Not Your Keys, Not Your Coins,” kembali diuji dengan keras menyusul insiden keamanan yang menggemparkan pada hardware wallet Coldcard. Serangan siber yang canggih ini berhasil menguras aset Bitcoin dalam jumlah fantastis, dengan estimasi kerugian akibat Coldcard Hack Tembus US$130 Juta, atau setara dengan lebih dari Rp2 triliun, per 4 Agustus 2026. Insiden ini tidak hanya menjadi pukulan telak bagi para pengguna Coldcard, tetapi juga memicu sorotan tajam terhadap aspek keamanan self-custody Bitcoin secara keseluruhan.
Serangan yang dilaporkan dimulai pada 30 Juli 2026 ini, berkembang dalam beberapa gelombang yang terkoordinasi. Dana milik para korban dilaporkan tersapu dari dompet digital yang diduga memiliki kelemahan pada proses pembuatan seed phrase. Coldcard, yang selama ini dikenal sebagai hardware wallet khusus Bitcoin yang sangat dipercaya oleh investor jangka panjang dan komunitas Bitcoin maximalist, mendadak berada di bawah sorotan negatif.
Akar Masalah: Kelemahan Kritis dalam Generasi Seed Phrase
Investigasi mendalam yang dilakukan oleh sejumlah firma keamanan siber dan pelacakan on-chain mengungkap akar permasalahan yang terletak pada proses generasi seed phrase di dalam firmware Coldcard. Secara teori, hardware wallet yang aman seharusnya menghasilkan seed phrase menggunakan sumber angka acak yang kuat, yang berasal dari hardware random number generator (RNG) yang terisolasi. Namun, dalam kasus ini, laporan menunjukkan adanya kesalahan integrasi firmware yang terjadi pada Maret 2021. Kesalahan ini menyebabkan proses generasi seed phrase beralih dari penggunaan hardware RNG yang seharusnya, ke deterministic software pseudorandom number generator (PRNG). Pergeseran ini secara drastis menurunkan kualitas keacakan atau entropy dari seed phrase yang dihasilkan.
Para ahli dari BlockSec menjelaskan bahwa kelemahan ini mengubah proses pencarian seed dari sesuatu yang secara kriptografis hampir mustahil untuk ditebak, menjadi proses pencarian offline yang dapat dilakukan dengan mempersempit kemungkinan output dari generator angka acak. Penyerang dapat membuat kandidat seed, menurunkan alamat Bitcoin yang terkait, lalu membandingkannya dengan data blockchain publik. Bahayanya, serangan ini tidak memerlukan akses fisik ke perangkat korban. Jika seed phrase dibuat dengan entropy yang lemah dan pengguna tidak menerapkan perlindungan tambahan seperti passphrase yang kuat atau konfigurasi multisig yang aman, penyerang dapat menebak seed secara offline dan kemudian menguras seluruh dana yang tersimpan di wallet tersebut.
Dampak Finansial yang Mencengangkan dan Skala Serangan
Pelacakan on-chain menunjukkan gelombang awal serangan terjadi pada 30 Juli 2026. Laporan awal dari CoinDesk menyebutkan sekitar 594 BTC, senilai US$38 juta, berhasil dicuri hanya dalam kurun waktu 25 menit pada fase awal insiden. Laporan lanjutan dari Galaxy Research dan berbagai firma keamanan lainnya kemudian menunjukkan bahwa jumlah korban dan kerugian terus bertambah secara eksponensial. The Hacker News mencatat salah satu gelombang besar serangan berhasil menguras 1.082,65 BTC dari 1.196 alamat Bitcoin hanya dalam 41 menit. Setelah beberapa gelombang tambahan, estimasi kerugian dari Galaxy Research meningkat menjadi 1.367 BTC atau sekitar US$88,6 juta dari lebih dari 4.500 alamat. Namun, laporan lanjutan kembali memperkirakan angka kerugian dapat mencapai sekitar Coldcard Hack Tembus US$130 Juta.
CoinMarketCap, mengutip Galaxy Research, melaporkan kerugian terkonfirmasi mencapai 1.596 BTC dari sekitar 7.300 alamat dalam tiga gelombang utama dan 14 insiden kecil. Jika gelombang keempat serangan ikut dihitung, total kerugian bisa mencapai 2.055 BTC atau sekitar US$130 juta. Angka ini menegaskan betapa seriusnya Coldcard Hack Tembus US$130 Juta ini bagi ekosistem aset kripto.
Pentingnya Entropy dan Pelajaran Berharga untuk Self-Custody
Entropy merujuk pada tingkat keacakan yang digunakan saat membuat seed phrase. Semakin tinggi entropy, semakin banyak kombinasi yang harus ditebak oleh penyerang, membuat serangan brute force menjadi hampir mustahil. Pada wallet Bitcoin normal, seed phrase 12 kata biasanya memiliki sekitar 128-bit entropy. Namun, bug pada firmware Coldcard ini secara drastis menurunkan effective search space. Analisis dari Block menyebutkan bahwa pada sebagian perangkat Mk3, effective search space dapat turun hingga sekitar 40-bit. Untuk model Mk4, Mk5, dan Coldcard Q, batas atasnya masih di bawah 73,3-bit, jauh dari target keamanan 128-bit. Perbedaan ini sangat signifikan; 128-bit entropy memiliki sekitar 2¹²⁸ kemungkinan, sementara 40-bit entropy hanya sekitar 2⁴⁰ kemungkinan, atau sekitar 1,1 triliun kombinasi. Penurunan ini membuat serangan offline menjadi sangat realistis.
Penting untuk dicatat bahwa pembaruan firmware tidak dapat memperbaiki seed phrase yang sudah terlanjur dibuat dengan entropy lemah. Jika seed lama sudah rentan sejak awal, risiko tersebut tetap ada meskipun perangkat telah diperbarui. Pengguna yang berpotensi terdampak perlu membuat seed phrase baru pada firmware yang sudah diperbaiki dan memindahkan seluruh dana ke alamat baru. Mengembalikan seed lama ke firmware baru atau dompet lain tidak menghilangkan kelemahan fundamental tersebut.
Insiden Coldcard Hack Tembus US$130 Juta ini memberikan pelajaran berharga bahwa self-custody bukanlah jalan pintas bebas risiko. Meskipun pengguna memegang kendali penuh atas asetnya, keamanan tetap bergantung pada berbagai faktor krusial: kualitas perangkat keras, keandalan firmware, ketelitian proses pembuatan seed phrase, serta praktik operasional yang diterapkan oleh pengguna. Kegagalan dalam kasus ini terjadi pada titik paling awal dalam rantai custody, yaitu saat kunci privat dibuat. Pengguna yang telah menerapkan berbagai langkah keamanan dengan benar pun tetap bisa terdampak jika seed phrase mereka sejak awal dibuat dari entropy yang lemah.
Pelajaran utama yang dapat dipetik adalah pentingnya tidak bergantung pada satu lapisan keamanan saja. Pengguna hardware wallet perlu memastikan firmware selalu diperbarui, memahami apakah seed mereka dibuat pada versi yang rentan, dan mempertimbangkan perlindungan tambahan seperti passphrase yang kuat, multisig, atau metode tambahan untuk menghasilkan entropy yang benar-benar acak dan privat, seperti dice rolls.
Prinsip “Not Your Keys, Not Your Coins” tetap relevan untuk menghindari risiko pihak ketiga, namun keamanan aset kripto pada akhirnya ditentukan oleh seluruh rantai custody. Mulai dari kualitas entropy, implementasi firmware, hingga cara pengguna menyimpan dan memindahkan aset mereka. Bagi pengguna Coldcard yang berpotensi terdampak, langkah paling aman adalah mengikuti advis resmi dari Coinkite, memperbarui firmware, membuat seed phrase baru pada perangkat yang sudah aman, dan segera memindahkan aset ke alamat baru. Untuk jumlah dana yang besar, pendekatan multisig dengan perangkat dan sumber entropy yang beragam dapat menjadi lapisan perlindungan tambahan yang sangat disarankan.
