Celah pada firmware hardware wallet Coldcard diduga berkaitan dengan pencurian 1.367,05 Bitcoin dalam tiga gelombang transaksi. Berdasarkan analisis on-chain Galaxy Research, aset senilai sekitar US$88,6 juta tersebut berpindah dari 4.585 alamat Bitcoin.

Jika dikonversikan menggunakan JISDOR Bank Indonesia pada 31 Juli 2026, nilainya mendekati Rp1,60 triliun. Jumlah ini masih berupa estimasi karena harga Bitcoin, kurs, dan jumlah alamat yang berhasil diidentifikasi dapat berubah.

Galaxy Research juga menegaskan bahwa temuannya berasal dari pola transaksi di jaringan Bitcoin. Analisis tersebut belum membuktikan secara mutlak bahwa seluruh alamat terkuras akibat satu pelaku atau satu celah yang sama. Galaxy Research

Tiga gelombang pencurian teridentifikasi

Gelombang terbesar terdeteksi pada 30 Juli 2026. Sekitar 1.082,65 BTC berpindah dari 1.196 alamat hanya dalam waktu 41 menit.

Dua gelombang berikutnya memperluas jumlah alamat yang terdampak. Setelah gelombang ketiga ditemukan, total aset yang terlacak meningkat menjadi 1.367,05 BTC dari 4.585 alamat.

Pola transaksi pada gelombang ketiga berbeda dari dua gelombang sebelumnya. Karena itu, peneliti belum memastikan apakah seluruh transaksi dilakukan oleh pelaku yang sama atau oleh beberapa pihak yang mengeksploitasi kelemahan serupa. CoinDesk

Salah satu pengguna Coldcard, Jonathan Goodman, mengaku kehilangan sekitar 18,25 BTC. Berdasarkan keterangannya, seluruh saldo dari tiga wallet miliknya berpindah dalam rentang tujuh menit pada malam 29 Juli 2026, meskipun perangkat dan seed phrase disimpan secara offline. Pernyataan Jonathan Goodman

Bagaimana wallet offline dapat dibobol?

Hardware wallet tidak menyimpan Bitcoin secara fisik. Perangkat tersebut menyimpan atau mengelola private key, yaitu kredensial yang memberikan kendali atas aset di jaringan blockchain.

Ketika wallet baru dibuat, perangkat menghasilkan seed phrase—rangkaian kata yang dapat digunakan untuk memulihkan wallet dan seluruh private key di dalamnya. Keamanan seed phrase bergantung pada entropy, atau tingkat keacakan saat seed tersebut dibuat.

Tim Bitcoin Engineering and Security dari Block menemukan kesalahan integrasi pada random number generator atau RNG di firmware Coldcard. Alih-alih menggunakan sumber keacakan dari perangkat keras, bagian tertentu dari firmware menggunakan generator berbasis software yang deterministik.

Generator tersebut memanfaatkan data seperti identitas chip dan kondisi timer perangkat. Nilai-nilai itu dapat terlihat acak, tetapi bukan sumber keacakan kriptografis yang kuat. Jika ruang kemungkinan dapat dipersempit, penyerang berpotensi menghitung kandidat seed secara offline dan mencocokkannya dengan alamat yang terlihat di blockchain.

Block menekankan bahwa analisisnya masih berdasarkan pemahaman awal dan belum mencakup pengujian eksploitasi secara menyeluruh. Block Engineering

Tidak semua model menghadapi tingkat risiko yang sama

Coinkite mengonfirmasi bahwa masalah tersebut memengaruhi seed yang dibuat menggunakan sejumlah versi firmware Coldcard.

Perusahaan menyebut seed dari Mk2 dan Mk3 dengan firmware 4.0.1 hingga 4.1.9 termasuk yang berisiko. Seed pada Mk4, Mk5, dan Q yang dibuat sebelum versi perbaikan juga terdampak, meskipun tingkat kelemahannya berbeda.

Risiko utamanya melekat pada seed yang telah dibuat, bukan sekadar pada perangkatnya. Memasang firmware terbaru tidak otomatis memperbaiki seed lama. Memindahkan seed tersebut ke perangkat atau aplikasi wallet lain juga tidak menghilangkan kelemahannya. Coinkite Security Advisory

Langkah yang disarankan Coinkite

Pemilik Coldcard perlu memeriksa model, versi firmware, dan cara seed awal mereka dibuat. Untuk seed yang berpotensi terdampak, Coinkite menyarankan pengguna:

1. Memasang firmware perbaikan resmi sesuai model dan jalur rilis.
2. Membuat seed yang benar-benar baru setelah pembaruan terpasang.
3. Memverifikasi fingerprint dan alamat penerima.
4. Mengirim transaksi percobaan dalam jumlah kecil.
5. Memindahkan sisa dana hanya setelah transaksi percobaan terkonfirmasi.

Coinkite menjelaskan bahwa BIP-39 passphrase yang kuat dan unik dapat menambah lapisan perlindungan. Namun, passphrase tersebut tidak memperbaiki seed yang lemah. Perusahaan tetap menyarankan migrasi menuju seed baru. Penjelasan teknis Coinkite

Nilai kerugian turun, jumlah serangan naik

Insiden Coldcard terjadi ketika jumlah peretasan kripto sepanjang 2026 menunjukkan tren berbeda antara frekuensi dan nilai kerugian.

TRM Labs mencatat 207 peretasan dan eksploitasi sepanjang semester pertama 2026, tertinggi untuk periode enam bulan dalam data mereka. Total aset yang dicuri mencapai US$972 juta, lebih rendah dari sekitar US$2,3 miliar pada semester pertama 2025.

Artinya, penurunan nilai kerugian secara agregat belum tentu menandakan ancaman keamanan berkurang. Jumlah insiden justru meningkat lebih dari dua kali lipat dibandingkan 83 kejadian pada periode yang sama tahun sebelumnya. TRM Labs, 1 Juli 2026

Kasus Coldcard menjadi pengingat bahwa “offline” bukan berarti kebal dari seluruh risiko. Perangkat dapat terisolasi dari internet, tetapi keamanan aset tetap bergantung pada kualitas kode, proses pembuatan seed, pengelolaan cadangan, dan langkah pengguna ketika celah ditemukan.