Peretasan Coldcard: 1.359 BTC Raib dalam Pencurian Bitcoin Terbesar 2026

BlockBeats melaporkan pada 3 Agustus bahwa data terbaru menunjukkan 1.359 bitcoin telah dicuri dalam insiden peretasan dompet perangkat keras Coldcard. Sejumlah pengguna juga mengeluhkan perangkat macet di halaman error, gagal menyala, atau tampak "bricked" setelah memasang pembaruan. Kasus ini tercatat sebagai pencurian bitcoin terbesar sepanjang 2026. Menurut rangkuman kronologi BlockBeats, analisis menemukan bahwa kode firmware Coldcard yang terkompromi dirilis pada Maret 2021. Celah tersebut berada di kode opensource selama lebih dari lima tahun dan memengaruhi proses pembuatan seed pada Mk3 (serta sebagian Mk2), juga berdampak pada model Mk4, Q, dan Mk5 sebelum perbaikan dirilis. Serangan skala besar yang memanfaatkan celah ini berlangsung hingga 30 Juli 2026. Dalam rentang sekitar 25–41 menit, pelaku menjalankan penyapuan otomatis yang menargetkan ratusan hingga ribuan alamat. Pada fase awal, sekitar 500 dompet single-signature dan 1.324 UTXO—total sekitar 594,5 BTC—dilaporkan terdampak. Analisis on-chain lanjutan memperluas cakupan menjadi sekitar 1.196 alamat dan 1.082,65 BTC, dengan nilai kira-kira US$70,2 juta. Pola transaksi menunjukkan pelaku memprioritaskan alamat dengan saldo lebih besar, memakai fee tetap yang tinggi, tidak menghasilkan output kembalian, dan dengan cepat mengonsolidasikan dana ke sejumlah kecil alamat. Coinkite, pengembang Coldcard, kemudian merilis peringatan keamanan. Mereka mengonfirmasi masalah pembuatan seed memengaruhi Mk3 (firmware 4.0.1 dan lebih baru), serta menyarankan pengguna terdampak melakukan migrasi secara hati-hati. Coinkite juga berspekulasi pelaku mungkin menggunakan AI untuk meninjau kode opensource dan menemukan kerentanan tersebut. Per 2 Agustus, pimpinan riset Galaxy, Alex Thorn, menyatakan rangkaian serangan terkait Coldcard masih berkembang, dengan munculnya lebih banyak penyerang skala kecil dan peniru yang memburu mnemonic Coldcard yang masih tersisa. Insiden ini memicu sorotan luas. Eric Balchunas, Senior ETF Analyst Bloomberg, mengungkap tim Coldcard hanya beranggotakan lima karyawan—angka yang dinilai mengejutkan untuk perusahaan sepenting itu. CZ berkomentar, "Dalam model self-custody, sekalipun pengembang menambal kerentanan, mereka tidak bisa memperbaiki dompet yang sudah dibuat; bagi pengguna yang memakai perangkat terisolasi, pengembang juga tidak dapat menghubungi atau memperingatkan secara langsung. Sampai pengguna bertindak proaktif, dompet yang terdampak bisa tetap terbuka terhadap risiko serangan. Saya mendukung self-custody, tetapi ini juga berarti pengguna memikul tanggung jawab penuh atas keamanan mereka sendiri." Karena kasus ini dinilai berpotensi melibatkan AI dalam kompromi perangkat kriptografi, platform kustodian institusional BitGo mengambil langkah awal untuk memulihkan reputasi industri. Pada 1 Agustus, CEO BitGo Mike Belshe menyetor 100 BTC ke sebuah alamat Bitcoin yang dapat diakses publik dan menantang model Claude dari Anthropic untuk memindahkan dana tersebut. BitGo menyatakan platformnya menggunakan teknologi multisignature atau multiparty computation untuk membagi otoritas penandatanganan ke beberapa kunci independen. Hingga 2 Agustus, Anthropic belum memberikan respons publik atas tantangan itu. Di tengah sentimen ini, Bitcoin melemah sejak tanggal 31, turun dari sekitar US$65.000 ke US$63.000.