Sejumlah peretas dilaporkan telah mencuri mata uang kripto senilai lebih dari $130 juta dari dompet perangkat keras Coldcard yang seharusnya aman. Insiden ini menyoroti kerentanan serius dalam sistem penyimpanan aset digital yang dirancang untuk beroperasi secara offline, sebuah paradoks yang mengguncang kepercayaan dalam keamanan aset kripto.
Menurut laporan dari perusahaan pemantau blockchain, setidaknya selusin kelompok peretas berbeda menargetkan pemilik Bitcoin yang menggunakan dompet perangkat keras Coldcard, produksi Coinkite. Identitas pasti para pelaku peretasan ini masih belum jelas, namun diduga lebih dari satu kelompok terlibat dalam operasi pencurian digital ini, demikian menurut Galaxy Research. Skala operasi ini menunjukkan tingkat koordinasi dan kecanggihan yang mengkhawatirkan di antara para aktor jahat.
Hingga Selasa lalu, perusahaan riset tersebut memperkirakan total kerugian mencapai sekitar $130 juta. Tom Robinson, salah satu pendiri dan kepala ilmuwan dari Elliptic, sebuah perusahaan pemantau kripto, mengonfirmasi bahwa perkiraan tersebut akurat. Angka ini kemungkinan akan terus bertambah seiring dengan terungkapnya lebih banyak korban dan identifikasi transaksi yang dicurigai.
Peretasan ini menambah daftar panjang insiden pencurian mata uang kripto yang terjadi sepanjang tahun ini. Data dari TRM Labs, perusahaan pemantau blockchain lainnya, menunjukkan bahwa telah terjadi lebih dari 200 serangan siber terhadap perusahaan kripto pada tahun ini, dengan total kerugian melampaui $950 juta. Tren peningkatan ini menggarisbawahi perlunya peningkatan keamanan dan kesadaran di seluruh ekosistem kripto, baik bagi individu maupun institusi.
Yang menjadikan peretasan terhadap pengguna dompet Coldcard ini sangat menarik adalah tujuan utama penggunaan produk seperti Coldcard. Dompet ini seharusnya menjadi salah satu cara paling aman untuk menyimpan mata uang kripto, setidaknya secara teori. Konsep ‘cold wallet’ atau dompet dingin telah lama dianggap sebagai standar emas untuk keamanan aset digital, terutama bagi investor yang memegang jumlah besar.
Pemilik Bitcoin dapat menyimpan kunci rahasia atau frasa benih (seed phrase) – yang pada dasarnya adalah kata sandi – untuk mata uang kripto mereka di dompet Coldcard. Perangkat ini tidak terhubung ke internet, sehingga dianggap sebagai ‘dompet dingin’ (cold wallet). Dengan sistem ini, Bitcoin tetap berada di blockchain, namun dilindungi oleh kata sandi yang hanya tersimpan secara offline. Ini berbeda dengan ‘dompet panas’ (hot wallet) yang terhubung ke internet, seperti yang ditemukan di aplikasi, ekstensi peramban, dan akun di bursa kripto komersial seperti Binance atau Coinbase. Perbedaan fundamental ini yang membuat banyak pengguna memilih Coldcard, dengan asumsi keamanan yang lebih tinggi.
Namun, para peretas berhasil menemukan cacat dalam cara dompet Coldcard menghasilkan frasa benih pengguna, yang ternyata dapat diprediksi. Setelah menemukan celah ini, para peretas hanya perlu melakukan serangan brute-force untuk menghasilkan frasa benih korban. Dengan mengetahui cara membuat kunci-kunci ini, para peretas tidak perlu membobol tempat penyimpanan fisik. Mereka pada dasarnya menemukan cara untuk ‘memotong kunci’ dalam skala besar, memanfaatkan kerentanan dalam algoritma pembangkitan kunci itu sendiri. Kerentanan ini, yang dikenal sebagai ‘side-channel attack’ atau ‘predictable random number generation’, adalah mimpi buruk bagi perangkat keamanan.
Jonathan Goodman, salah satu korban yang mengklaim kehilangan $1,6 juta dari dompet Coldcard-nya, mengungkapkan kekecewaannya di platform X. “Mungkin bagian tersulit dari ini adalah saya sudah melakukan segalanya dengan benar,” tulis Goodman. “Saya tidak pernah membagikan frasa benih saya kepada siapa pun. Perangkat saya tidak pernah terhubung ke internet. Semuanya disimpan di beberapa brankas dan kotak penyimpanan aman.” Pengalaman Goodman mencerminkan frustrasi banyak korban yang merasa telah mengambil semua tindakan pencegahan yang diperlukan.
“Tidak ada yang berarti. Semua karena perangkat keras yang awalnya membuat frasa benih memiliki satu baris kode dari tahun 2021 yang memiliki kerentanan,” tambah Goodman. Coinkite, perusahaan pembuat Coldcard, telah mengeluarkan peringatan pada Kamis dan memperbarui pada Sabtu, mendesak pengguna untuk memperbarui perangkat mereka dan kemudian ‘memigrasi’ ke frasa benih baru. Coinkite belum memberikan tanggapan terkait permintaan komentar dari TechCrunch, menambah kekhawatiran tentang transparansi dan respons perusahaan terhadap insiden sebesar ini.
Detail Latar Belakang Celah Keamanan:
Celah keamanan yang dimaksud tampaknya berkaitan dengan ‘Entropy’ atau keacakan yang digunakan Coldcard dalam menghasilkan frasa benih. Sebuah frasa benih yang aman harus dihasilkan dari sumber keacakan yang sangat tinggi, sehingga tidak mungkin diprediksi atau direkayasa ulang. Jika sumber keacakan ini memiliki pola atau bias, bahkan yang sangat kecil, peretas dapat mengeksploitasinya. Dalam kasus Coldcard, diduga ada kerentanan dalam implementasi generator angka acak (RNG) yang digunakan untuk membuat frasa benih, mungkin karena penggunaan sumber entropy yang tidak memadai atau bug dalam kode yang mengimplementasikan RNG tersebut. Peretas dapat menggunakan teknik seperti analisis statistik atau pencocokan pola untuk memprediksi kemungkinan frasa benih yang valid, lalu melakukan serangan brute-force yang ditargetkan.
Rekomendasi Praktis untuk Pengguna Coldcard dan Umum:
1. Segera Perbarui Firmware: Bagi pengguna Coldcard, langkah pertama dan terpenting adalah segera memperbarui firmware perangkat ke versi terbaru yang telah menambal kerentanan ini. Ikuti instruksi resmi dari Coinkite dengan cermat.
2. Migrasi ke Frasa Benih Baru: Setelah memperbarui firmware, sangat disarankan untuk memigrasikan aset ke dompet baru dengan frasa benih yang baru dan aman. Ini berarti membuat frasa benih baru pada perangkat yang telah diperbarui, lalu mengirimkan semua aset kripto dari alamat lama ke alamat baru yang dihasilkan dari frasa benih baru tersebut. Ini adalah satu-satunya cara untuk memastikan kunci Anda tidak lagi rentan.
3. Diversifikasi Penyimpanan: Jangan hanya mengandalkan satu jenis dompet atau satu merek. Pertimbangkan untuk mendiversifikasi penyimpanan aset Anda di beberapa dompet perangkat keras dari merek berbeda atau menggunakan solusi multi-sig (multi-signature) untuk keamanan tambahan.
4. Pahami Konsep Entropy: Pelajari lebih lanjut tentang bagaimana frasa benih dihasilkan. Beberapa dompet perangkat keras memungkinkan pengguna untuk menambahkan entropy mereka sendiri (misalnya, dengan menggoyangkan perangkat atau memasukkan serangkaian angka acak). Manfaatkan fitur ini jika tersedia.
5. Pendidikan Berkelanjutan: Tetap terinformasi tentang ancaman keamanan terbaru dan praktik terbaik dalam ruang kripto. Ikuti berita dari sumber tepercaya dan komunitas keamanan.
6. Uji Coba Transaksi Kecil: Sebelum memindahkan jumlah besar, selalu lakukan transaksi uji coba dengan jumlah kecil untuk memastikan semuanya berfungsi dengan benar dan Anda memahami prosesnya.
7. Verifikasi Sumber: Pastikan Anda mengunduh firmware atau perangkat lunak dari situs web resmi produsen dompet perangkat keras. Waspadai situs phishing atau tautan palsu.
Dampak Insiden:
1. Kehilangan Kepercayaan: Insiden ini secara signifikan merusak kepercayaan pengguna terhadap keamanan dompet perangkat keras, terutama merek Coldcard yang sebelumnya memiliki reputasi kuat sebagai salah satu yang paling aman. Ini dapat menyebabkan keraguan di kalangan investor baru dan yang sudah ada.
2. Kerugian Finansial: Kerugian $130 juta adalah pukulan telak bagi individu yang terkena dampak, beberapa di antaranya mungkin telah kehilangan seluruh tabungan hidup mereka. Dampak psikologis dan finansialnya sangat besar.
3. Peningkatan Pengawasan: Insiden semacam ini seringkali memicu peningkatan pengawasan dari regulator dan badan pemerintah terhadap industri kripto, yang dapat mengarah pada regulasi yang lebih ketat dalam standar keamanan.
4. Dorongan untuk Inovasi Keamanan: Meskipun merugikan, insiden ini juga dapat mendorong produsen dompet perangkat keras untuk berinvestasi lebih banyak dalam penelitian dan pengembangan keamanan, mencari metode baru untuk menghasilkan entropy yang lebih kuat dan tahan serangan.
5. Evolusi Praktik Terbaik: Komunitas kripto akan belajar dari insiden ini, mengarah pada evolusi praktik terbaik dalam penyimpanan aset digital, termasuk penekanan yang lebih besar pada verifikasi independen terhadap generator angka acak dan audit keamanan yang lebih mendalam.
6. Reputasi Merek: Coinkite, sebagai produsen Coldcard, akan menghadapi tantangan besar dalam membangun kembali reputasinya. Respons mereka terhadap krisis, termasuk transparansi dan dukungan kepada korban, akan sangat penting dalam menentukan masa depan merek mereka.
Peretasan Coldcard adalah pengingat yang menyakitkan bahwa tidak ada sistem yang 100% kebal terhadap serangan. Bahkan perangkat yang dirancang untuk keamanan offline pun dapat memiliki kerentanan yang dieksploitasi oleh aktor jahat yang canggih. Ini menekankan pentingnya kewaspadaan terus-menerus, pendidikan, dan adopsi praktik keamanan berlapis dalam dunia aset digital yang terus berkembang.
