Pasar cryptocurrency kembali dikejutkan dengan insiden pencurian aset digital dalam jumlah yang sangat besar. Kali ini, Coldcard, sebuah dompet keras untuk Bitcoin yang diproduksi oleh perusahaan asal Kanada, Coinkite, menjadi target serangan. Sebanyak 1.367 Bitcoin (BTC) yang setara dengan sekitar 88,6 juta dolar AS atau sekitar Rp 1,6 triliun telah dicuri dari ribuan dompet digital pengguna. Nilai tersebut dihitung berdasarkan kurs Rp 18.029 per dolar AS pada hari ini, Senin (3/8/2026).
Kasus ini terungkap melalui hasil pelacakan yang dilakukan oleh firma riset Galaxy Research, yang dipublikasikan dalam bentuk unggahan di akun X @glxyresearch. Menurut tim Galaxy Research, serangan ini terjadi dalam tiga gelombang yang berbeda dan mengakibatkan hilangnya dana dari 4.585 alamat e-wallet Bitcoin.
Detail Serangan dan Metode yang Digunakan
Gelombang pertama serangan terjadi pada 30 Juli, di mana pelaku berhasil mencuri setidaknya 1.083 BTC dari 1.196 alamat Bitcoin hanya dalam waktu 41 menit. Rata-rata, setiap korban kehilangan hampir 1 BTC, dengan setiap transaksi hanya menyasar satu alamat. Dana hasil pencurian kemudian dikumpulkan ke dalam beberapa alamat penampung yang sama.
Gelombang kedua mengikuti pola yang serupa. Sementara itu, gelombang ketiga yang terdeteksi pada Minggu (2/8/2026) dini hari, hacker berhasil mencuri tambahan sekitar 207,7 BTC dari 1.912 alamat. Berbeda dari sebelumnya, rata-rata saldo yang dicuri kali ini lebih kecil, sekitar 0,1 BTC per dompet. Hal ini menunjukkan bahwa pelaku mulai mengincar dompet dengan saldo lebih kecil setelah menguras target dengan saldo besar. Metode serangan juga mengalami perubahan; jika sebelumnya seluruh aset dikirim ke beberapa alamat penampung yang sama, kini setiap dompet korban dikirim ke alamat tujuan yang berbeda, membuatnya lebih sulit untuk dilacak.
Akar Masalah dan Tindakan Perbaikan
Menurut Galaxy Research, akar permasalahan terletak pada firmware Coldcard yang dirilis pada Maret 2021, yang mengalami bug. Bug ini menyebabkan proses pembuatan seed phrase—serangkaian 12 atau 24 kata yang berfungsi sebagai kunci untuk mengakses dan memulihkan dompet Bitcoin—tidak dihasilkan dari sumber angka acak yang paling aman. Biasanya, Coldcard menggunakan hardware random number generator (RNG), tetapi karena bug tersebut, perangkat justru menggunakan pseudo-random number generator (PRNG), yang lebih mudah diprediksi.
Akibatnya, jumlah kemungkinan seed phrase yang dapat dihasilkan menjadi jauh lebih sedikit, memungkinkan hacker untuk mencoba semua kemungkinan seed phrase tersebut secara offline. Setelah menemukan kandidat yang tepat, mereka dapat mencocokkannya dengan alamat Bitcoin yang tersedia di blockchain tanpa perlu meretas perangkat korban secara langsung. Proses pencarian kemungkinan seed phrase ini masih berlangsung, yang berarti serangan dapat terus berlanjut.
Menanggapi insiden ini, Coinkite telah merilis firmware darurat untuk seluruh model Coldcard yang terpengaruh. Namun, perusahaan menekankan bahwa memperbarui firmware tidak otomatis membuat seed phrase lama menjadi aman, karena seed tersebut telah dibuat menggunakan firmware yang bermasalah. Oleh karena itu, pengguna yang membuat dompet dengan firmware sekitar Maret 2021 disarankan untuk membuat seed phrase baru setelah memperbarui firmware, dan segera memindahkan seluruh Bitcoin mereka ke dompet baru tersebut.
Insiden pencurian ini juga memicu perpindahan aset Bitcoin dalam jumlah besar. Data dari CryptoQuant menunjukkan bahwa transaksi Bitcoin dengan nilai di bawah 1 BTC mencapai 39.600 BTC dalam sehari, angka tertinggi sejak kebangkrutan bursa kripto FTX pada November 2022. Kepala Riset CryptoQuant, Julio Moreno, menilai lonjakan ini menunjukkan banyak pengguna segera memindahkan aset mereka ke dompet Bitcoin baru setelah mengetahui adanya celah keamanan pada Coldcard.
