Dompet Hardware Bitcoin yang Dianggap Paling Aman Ternyata Punya Celah, Kerugian Tembus $100 Juta

Perangkat yang selama ini dipromosikan sebagai benteng paling aman untuk menyimpan Bitcoin, karena sepenuhnya terputus dari internet, ternyata menyimpan kelemahan mendasar yang sudah bertahun-tahun tak disadari, sampai penyerang berhasil menemukannya dan mulai menguras dana penggunanya.

Hacker berhasil mengeksploitasi celah software pada dompet hardware Bitcoin bermerek Coldcard, yang selama ini dianggap sebagai salah satu tempat paling aman untuk menyimpan mata uang kripto, dan telah menguras dana senilai puluhan juta dolar AS dalam serangan yang masih berlangsung hingga kini.

Kronologi Serangan

Akhir pekan lalu, Coinkite Inc, perusahaan asal Kanada pembuat perangkat Coldcard, memberi tahu penggunanya bahwa celah keamanan pada kunci yang melindungi Bitcoin mereka telah membuat sejumlah dompet mengalami kompromi keamanan. Coldcard sendiri merupakan perangkat hardware yang memungkinkan pengguna mengamankan Bitcoin mereka dalam apa yang disebut cold wallet, dompet yang dianggap paling aman karena sepenuhnya terisolasi dari koneksi internet.

Menurut data dari Galaxy Research, hingga Senin, 3 Agustus 2026, sekitar 1.367 Bitcoin senilai sekitar 86 juta dolar AS telah terkuras dari lebih dari 4.500 alamat dompet. Namun laporan terbaru Bloomberg mencatat kerugian ini sudah melampaui 100 juta dolar AS, jauh melonjak dari laporan awal pada Jumat yang mencatat kerugian sekitar 38 juta dolar AS saja, sebelum angka tersebut membengkak cepat sepanjang akhir pekan.

Akar Masalah: Kunci yang Ternyata Bisa Ditebak

Berdasarkan laporan dari tim engineering Block Inc, inti persoalan ini terletak pada cara Coinkite mengimplementasikan random-number generator, yakni sistem yang menghasilkan seed phrase, rangkaian kata panjang yang digunakan untuk mengakses sebuah dompet kripto. Keacakan sejati merupakan komponen krusial dalam keamanan kriptografi, namun perangkat Coldcard ternyata memiliki mekanisme fallback yang menghasilkan kunci menggunakan nilai-nilai deterministik, seperti nomor seri perangkat itu sendiri.

Akibat kelemahan ini, para penyerang mampu menghitung ulang kombinasi kunci tersebut secara sistematis dan menguras dompet-dompet pengguna yang terdampak. Dalam pernyataan resmi di situs mereka, Coinkite mengonfirmasi bahwa dana yang dikendalikan oleh seed yang dihasilkan pada firmware bermasalah tersebut berada dalam risiko.

Kesaksian Korban

Bagi sebagian pengguna, kabar soal serangan ini awalnya terasa sulit dipercaya. Jonathan Goodman, salah satu korban, mengaku sempat mengira dirinya tidak terdampak, namun ia tetap memeriksa dompetnya untuk memastikan. "Begitu halaman itu terbuka, saya langsung tahu saya dalam masalah karena saya melihat garis merah untuk penarikan dana," ujarnya kepada Bloomberg. "Antara pukul 21.36 dan 21.43 pada tanggal 29 Juli, ketiga dompet saya benar-benar terkuras habis," tambahnya.

Goodman mengungkapkan kerugian pribadinya mencapai 1,6 juta dolar AS dalam bentuk Bitcoin, meski kunci privatnya tersimpan pada perangkat Coldcard yang disimpan dalam safety deposit box dan tidak pernah terhubung ke internet sama sekali, sebuah fakta yang menegaskan betapa mengejutkannya insiden ini bagi para pengguna yang selama ini mempercayai keamanan penuh perangkat cold wallet.

Konteks Lebih Luas: Insiden Turun, tapi Frekuensi Naik

Menariknya, insiden ini terjadi di tengah tren yang sebenarnya menunjukkan penurunan total kerugian akibat peretasan kripto secara global. Menurut laporan TRM Labs yang dipublikasikan bulan lalu, total kerugian kripto akibat peretasan sepanjang paruh pertama 2026 mencapai 972 juta dolar AS, kurang dari separuh dari 2,3 miliar dolar AS yang dicuri pada periode yang sama tahun 2025.

Meski demikian, ada sisi yang lebih mengkhawatirkan dari data tersebut. Jumlah total insiden peretasan justru meningkat menjadi 207 kasus, angka tertinggi yang pernah tercatat untuk periode enam bulan mana pun sejak data ini mulai dikumpulkan. Pola ini menunjukkan pergeseran dari serangan bernilai sangat besar namun jarang terjadi, menjadi serangan yang lebih sering terjadi meski dengan nilai kerugian individu yang cenderung lebih kecil, meski insiden Coldcard ini menjadi pengecualian mencolok dengan skala kerugiannya yang begitu besar.

Insiden ini menambah daftar panjang skandal yang terus berulang menimpa investor kripto akibat aksi pencurian di sektor ini, sekaligus menjadi pengingat bahwa bahkan metode penyimpanan yang selama ini dianggap paling aman sekalipun, tetap tidak sepenuhnya kebal dari risiko kelemahan teknis yang tersembunyi dalam implementasi software di baliknya.