Bitcoin Senilai Rp 1,4 Triliun Lenyap Diretas

Sebuah dompet perangkat keras yang seharusnya menjadi tempat paling aman untuk menyimpan kunci Bitcoin kini justru menjadi titik lemah.

Sebuah bug pada firmware perangkat Coldcard yang telah ada sejak tahun 2021 memungkinkan peretas menebak seed phrase pengguna dan menguras dana hingga lebih dari USD 88 juta (sekitar Rp 1,4 triliun).

Hebatnya, serangan ini dilakukan dari jarak jauh tanpa memerlukan akses fisik ke perangkat, tanpa phishing, dan tanpa malware, demikian dikutip detikINET dari Techspot, Senin (3/8/2026).

Celah fatal pada generator angka acak

Akar masalah ini berasal dari kesalahan integrasi firmware pada Maret 2021. Alih-alih menggunakan chip generator angka acak STM32 untuk membuat seed phrase (kode sandi utama), perangkat yang terdampak justru secara otomatis menggunakan sistem software cadangan yang jauh lebih lemah.

Kesalahan koding ini membuat perangkat gagal mengumpulkan entropi (tingkat keacakan) yang cukup. Akibatnya, kekuatan entropi yang seharusnya berada di angka 128-bit (mustahil ditebak secara paksa) anjlok menjadi hanya 40 hingga 72-bit.

Kondisi ini memungkinkan peretas yang mengetahui detail waktu nyala perangkat dan nomor seri untuk merekonstruksi dan menebak kombinasi angka acak tersebut menggunakan komputer biasa, lalu mencocokkannya untuk membobol alamat dompet korban.

Tiga gelombang serangan beruntun

Menurut firma riset Galaxy Research, pencurian ini berpusat pada lini produk Coldcard buatan Coinkite. Serangan pertama terjadi pada 30 Juli, di mana peretas menguras 1.196 alamat Bitcoin hanya dalam waktu 41 menit, meraup 1.082,65 BTC (sekitar USD 70,2 juta saat itu).

Sejak saat itu, dua gelombang serangan susulan telah terjadi. Total kerugian sementara kini mencapai 1.367,05 BTC, bernilai sekitar USD 88,6 juta yang tersebar dari 4.585 alamat pengguna. Galaxy memperingatkan bahwa angka pencurian ini kemungkinan masih akan terus bertambah seiring penelusuran aktivitas di dalam blockchain (on-chain).

Update firmware saja tidak cukup

Merespons krisis keamanan ini, Coinkite telah merilis pembaruan firmware darurat pada 31 Juli untuk semua model yang terdampak. Namun, ada satu peringatan sangat penting bagi pengguna: pembaruan sistem ini tidak bisa memperbaiki seed phrase yang sudah terlanjur dibuat.

Perusahaan mendesak pengguna untuk segera membuat seed phrase baru menggunakan firmware yang sudah ditambal, lalu memindahkan koin mereka ke alamat baru tersebut. Sementara itu, pengguna yang sejak awal membuat seed menggunakan metode lemparan dadu secara manual dilaporkan terbebas dari kerentanan ini.

Kepercayaan pada 'Cold Storage' goyah

Insiden ini menjadi pukulan telak bagi komunitas kripto, terutama karena korbannya adalah pengguna yang sudah menerapkan standar keamanan tertinggi secara taat.

Jonathan Goodman, salah satu korban yang mengaku kehilangan sekitar USD 1,6 juta, menyebut bahwa ia menyimpan Coldcard-nya di dalam brankas (safety deposit box) dan tidak pernah sekali pun menghubungkannya ke internet. "Saya sudah melakukan semuanya dengan benar," tulisnya dalam sebuah unggahan yang viral di X.

Kasus ini memicu perdebatan luas di forum Bitcoin mengenai jaminan keamanan self-custody (penyimpanan mandiri). Jika bug kritis bisa bersarang tanpa terdeteksi selama lebih dari tiga tahun di perangkat keras bereputasi tinggi, banyak pihak kini mulai mempertanyakan sistem keamanan hardware wallet lainnya yang beredar di pasaran.