KONTAN.CO.ID - Pasar aset kripto kembali diguncang insiden keamanan berskala besar. Sebanyak 1.367 Bitcoin (BTC) senilai sekitar US$88,6 juta atau setara Rp1,6 triliun dilaporkan dicuri dari ribuan dompet digital Coldcard, hardware wallet Bitcoin buatan perusahaan Kanada, Coinkite.

Kasus ini terungkap setelah firma riset Galaxy Research mempublikasikan hasil investigasinya melalui akun X resminya. Berdasarkan pelacakan tersebut, aksi pencurian telah menguras dana dari 4.585 alamat dompet Bitcoin dalam tiga gelombang serangan.

Serangan Terjadi dalam Tiga Gelombang

Galaxy Research menjelaskan, gelombang pertama terjadi pada 30 Juli 2026. Dalam waktu sekitar 41 menit, pelaku berhasil menguras sedikitnya 1.083 BTC dari 1.196 alamat Bitcoin.

Rata-rata setiap korban kehilangan hampir 1 BTC, sementara setiap transaksi hanya menyasar satu alamat dompet. Dana hasil pencurian kemudian dikonsolidasikan ke sejumlah alamat penampung.

Gelombang kedua menggunakan pola serupa. Sementara itu, gelombang ketiga yang terdeteksi pada Minggu (2/8) dini hari mencuri tambahan sekitar 207,7 BTC dari 1.912 alamat.

Berbeda dengan serangan sebelumnya, rata-rata saldo korban pada gelombang ketiga hanya sekitar 0,1 BTC per dompet. Selain itu, metode pencucian aset juga berubah dengan mengirimkan dana ke banyak alamat berbeda sehingga lebih sulit dilacak.

Galaxy Research menyebut belum dapat memastikan apakah seluruh serangan dilakukan oleh kelompok yang sama, meski pola operasinya dinilai memiliki sejumlah kesamaan.

Baca Juga: Grab Revisi Naik Target Pendapatan 2026, Buyback Saham US$ 750 Juta

Berawal dari Bug Firmware

Hasil investigasi menunjukkan sumber masalah berasal dari firmware Coldcard yang dirilis pada Maret 2021.

Pada versi tersebut, terjadi bug yang menyebabkan proses pembuatan seed phrase tidak menggunakan hardware random number generator (RNG), melainkan pseudo-random number generator (PRNG).

Dalam kondisi normal, hardware RNG menghasilkan angka acak berdasarkan proses fisik sehingga hampir mustahil diprediksi.

Sebaliknya, PRNG menghasilkan angka yang tampak acak tetapi sebenarnya mengikuti pola tertentu. Akibatnya, jumlah kemungkinan seed phrase menjadi jauh lebih sedikit sehingga dapat ditebak menggunakan komputasi dalam skala besar.

Dengan teknik tersebut, pelaku dapat mencoba berbagai kombinasi seed phrase secara offline, kemudian mencocokkannya dengan alamat Bitcoin yang tersedia secara publik di blockchain tanpa perlu mengakses perangkat korban secara langsung.

Galaxy Research memperkirakan proses pemindaian seluruh kemungkinan seed phrase masih berlangsung sehingga potensi serangan lanjutan masih terbuka.

Tonton: PGUN, Emiten Haji Isam Laba Turun Tajam

Coinkite Rilis Firmware Darurat

Menanggapi insiden tersebut, Coinkite telah merilis pembaruan firmware darurat untuk seluruh perangkat Coldcard yang terdampak.

Namun, perusahaan menegaskan bahwa memperbarui firmware saja tidak cukup untuk mengamankan dompet lama.

Pengguna yang membuat dompet menggunakan firmware bermasalah sekitar Maret 2021 disarankan membuat seed phrase baru setelah melakukan pembaruan firmware.

Selanjutnya, seluruh aset Bitcoin perlu dipindahkan ke dompet baru yang menggunakan seed phrase tersebut agar terhindar dari risiko pencurian.

Tonton: Yen Anjlok ke Titik Terendah 40 Tahun, Jepang dan AS Gelar Operasi Bersama

Pengguna Ramai-Ramai Pindahkan Bitcoin

Insiden ini memicu perpindahan aset Bitcoin dalam jumlah besar.

Berdasarkan data CryptoQuant, transaksi Bitcoin dengan nilai di bawah 1 BTC mencapai 39.600 BTC dalam sehari. Angka tersebut menjadi yang tertinggi sejak kebangkrutan bursa kripto FTX pada November 2022.

Kepala Riset CryptoQuant Julio Moreno menilai lonjakan transaksi itu mencerminkan banyak pengguna yang segera memindahkan aset mereka ke dompet baru setelah mengetahui adanya celah keamanan pada perangkat Coldcard.

Langkah yang Disarankan bagi Pengguna Coldcard

Bagi pengguna Coldcard, berikut langkah yang disarankan setelah insiden ini:

• Periksa apakah dompet dibuat menggunakan firmware sekitar Maret 2021.
• Segera perbarui firmware ke versi terbaru yang telah dirilis Coinkite.
• Buat seed phrase baru menggunakan firmware yang telah diperbarui.
• Pindahkan seluruh saldo Bitcoin ke dompet baru.
• Jangan lagi menggunakan seed phrase lama karena berpotensi telah dapat diprediksi pelaku.

Insiden ini menjadi pengingat bahwa keamanan aset kripto tidak hanya bergantung pada penyimpanan menggunakan hardware wallet, tetapi juga pada kualitas perangkat lunak (firmware) yang digunakan. Celah kecil dalam proses pembangkitan seed phrase dapat membuka peluang bagi pelaku kejahatan untuk mengakses aset pengguna tanpa harus meretas perangkat secara langsung.

Sumber: https://tekno.kompas.com/read/2026/08/03/10310037/hacker-gondol-1367-bitcoin-senilai-triliunan-rupiah?page=all#page2.