Terungkap, Begini Cara Hacker Curi Bitcoin Rp 1,6 Triliun dari Cold Wallet Coldcard

Liputan6.com, Jakarta - Dunia kripto diguncang oleh salah satu insiden keamanan terbesar pada 2026 setelah lebih dari 1.367 Bitcoin senilai sekitar US$ 88,6 juta atau sekitar Rp 1,6 triliun (kurs sekitar Rp 18.000 per dolar AS) dilaporkan dicuri dari ribuan dompet Bitcoin yang dibuat menggunakan perangkat keras (hardware wallet) Coldcard.

Yang membuat kasus ini berbeda, peretas sama sekali tidak meretas perangkat korban, tidak mencuri recovery phrase, maupun menyusup ke komputer pengguna.

Dikutip dari CoinMarketCap, Minggu (2/8/2026), Galaxy Research mengungkap seluruh serangan bermula dari kesalahan pada firmware Coldcard yang sebenarnya sudah terjadi sejak integrasi perangkat lunak pada 2021.

Kesalahan tersebut membuat proses pembuatan seed, yaitu kode rahasia yang menjadi dasar seluruh alamat dan private key Bitcoin, tidak menggunakan generator angka acak khusus seperti yang dirancang.

Sebaliknya, firmware justru memakai generator cadangan (fallback) yang jauh lebih mudah diprediksi.

Akibatnya, kombinasi seed yang seharusnya nyaris mustahil ditebak berubah menjadi jauh lebih sempit sehingga dapat dihitung menggunakan komputer berkinerja tinggi.

Setelah mengetahui adanya kelemahan tersebut, peretas tidak perlu menghubungi atau menginfeksi perangkat milik korban.

Mereka cukup membuat jutaan hingga miliaran kemungkinan seed menggunakan komputer sendiri.

Setiap seed kemudian menghasilkan alamat Bitcoin tertentu.

Alamat-alamat tersebut lalu dibandingkan dengan data blockchain yang bersifat terbuka dan dapat diakses siapa saja.

Begitu ditemukan alamat yang memiliki saldo, pelaku langsung menggunakan seed yang berhasil ditebak untuk mengakses Bitcoin korban.

Galaxy Research menyebut proses tersebut berlangsung secara sistematis.

Pada gelombang pertama, sekitar 1.082,65 BTC dipindahkan dari 1.196 alamat hanya dalam waktu 41 menit pada 30 Juli 2026.

Beberapa jam dan hari berikutnya, peneliti kembali menemukan gelombang serangan baru.

Hingga akhirnya total aset yang diduga berhasil dicuri meningkat menjadi 1.367,05 BTC yang berasal dari sekitar 4.585 alamat Bitcoin.

Kasus Coldcard mengejutkan karena selama ini hardware wallet dianggap sebagai tempat penyimpanan Bitcoin paling aman.

Perangkat tersebut tidak terhubung ke internet sehingga hampir mustahil diretas dari jarak jauh.

Namun dalam kasus ini, kelemahannya bukan pada koneksi internet.

Masalah justru muncul sejak dompet pertama kali dibuat.

Seed yang seharusnya benar-benar acak ternyata dapat diprediksi karena berasal dari kombinasi nomor seri perangkat dan informasi waktu pada chip.

Dengan kata lain, peretas tidak perlu menyerang perangkat korban.

Mereka cukup menebak kemungkinan seed yang pernah dihasilkan firmware tersebut.

Seluruh proses dilakukan secara offline menggunakan komputer milik pelaku.

Bahkan perangkat korban bisa saja tetap tersimpan di brankas dan tidak pernah terhubung ke internet.

Inilah yang membuat insiden Coldcard dianggap jauh lebih mengkhawatirkan dibandingkan peretasan bursa kripto atau pencurian recovery phrase.

Setelah insiden tersebut terungkap, Coinkite selaku pembuat Coldcard segera merilis firmware terbaru untuk perangkat yang terdampak.

Namun para peneliti menegaskan bahwa memperbarui firmware saja tidak cukup.

Apabila seed dibuat menggunakan firmware yang bermasalah, seed tersebut tetap dianggap berisiko.

Galaxy Research dan tim keamanan Block menyarankan pengguna membuat seed baru menggunakan firmware yang telah diperbaiki.

Setelah itu pengguna diminta memindahkan seluruh Bitcoin ke dompet baru.

Peneliti juga menjelaskan bahwa pengguna tidak dapat mengetahui apakah seed miliknya termasuk yang mudah ditebak atau tidak.

Karena itu seluruh pengguna yang pernah membuat dompet menggunakan firmware terdampak diminta menganggap seed lama sudah tidak aman.

Sementara itu, perangkat seperti TAPSIGNER, OPENDIME, dan SATSCARD disebut tidak terdampak karena menggunakan basis kode yang berbeda.

Galaxy Research menilai kasus Coldcard menunjukkan bahwa keamanan hardware wallet tidak hanya bergantung pada kemampuan menyimpan private key secara offline.

Keamanan juga ditentukan oleh kualitas proses pembangkitan seed sejak awal.

Peristiwa ini sekaligus mengubah pandangan banyak investor mengenai konsep self-custody, yang selama ini dianggap sebagai benteng terakhir keamanan aset kripto.

Selain menimbulkan kerugian hingga sekitar US$ 88,6 juta, insiden tersebut memicu penurunan sentimen terhadap Bitcoin dan meningkatkan kekhawatiran investor terhadap keamanan dompet perangkat keras.

Hingga laporan terbaru diterbitkan, Bitcoin hasil dugaan pencurian masih berada di sejumlah alamat blockchain dan belum dipindahkan.

Galaxy Research juga memperingatkan kemungkinan masih muncul gelombang serangan berikutnya apabila pengguna yang terdampak belum memindahkan aset mereka ke dompet baru.