Liputan6.com, Jakarta - Serangan terhadap dompet Bitcoin Coldcard Wallet diduga telah memasuki gelombang keempat. Peneliti blockchain Alex Thorn mengungkapkan hampir 449 Bitcoin (BTC) berada dalam risiko setelah aset dari ratusan alamat dompet dipindahkan hanya dalam waktu sekitar dua setengah jam.
Dalam unggahannya, dikutip dari CoinMarketCap, Senin (3/8/2026), Thorn menyebut aktivitas terbaru tersebut masih berlangsung ketika analisis dipublikasikan. Serangan ini mengikuti tiga gelombang sebelumnya yang diyakini berkaitan dengan kerentanan pada proses pembangkitan seed (frasa pemulihan) di sejumlah versi firmware Coldcard.
Berdasarkan hasil analisisnya, Thorn menemukan 218 transaksi yang melibatkan 462 alamat yang diduga menjadi korban pada rentang blok Bitcoin 960778 hingga 969792. Dari transaksi tersebut, sebanyak 388,93 BTC, atau sekitar US$ 24,4 juta atau sekitar Rp 438 miliar (asumsi kurs Rp 17.989 per dolar AS), dipindahkan ke 216 alamat tujuan yang hampir seluruhnya baru dibuat dan belum pernah memiliki riwayat transaksi.
"Alamat-alamat ini kemungkinan besar merupakan korban Coldcard. Polanya sesuai dengan UTXO Coldcard yang rentan dan pola transaksi yang meningkat membuat saya sangat yakin ini merupakan gelombang serangan berikutnya," ujar Thorn.
Meski demikian, Thorn menegaskan belum menerima konfirmasi langsung dari para korban. Karena itu, ia sengaja menggunakan istilah "kemungkinan besar" untuk menggambarkan temuannya.
Setelah melakukan analisis lanjutan, Thorn merevisi daftar alamat tujuan yang sebelumnya dipublikasikan. Ia menghapus enam alamat karena diketahui telah menerima dan membelanjakan Bitcoin jauh sebelum insiden Coldcard mulai terdeteksi pada 30 Juli 2026. Keenam alamat tersebut mencakup lebih dari 5 BTC dari total perhitungan sebelumnya.
Selain itu, Thorn juga mengeluarkan 89 alamat multisignature (multisig) dari daftar karena tidak ditemukan dalam tiga gelombang serangan sebelumnya. Setelah penyaringan tersebut, jumlah alamat yang masih dianggap berkaitan dengan serangan mencapai 709 alamat, dengan total aset sekitar 448,73 BTC atau senilai US$ 28,1 juta (sekitar Rp 461 miliar).
Thorn mendesak para pengguna Coldcard yang terdampak agar segera memindahkan aset mereka ke dompet baru dan menggunakan biaya transaksi (fee) yang lebih tinggi.
Ia juga mengingatkan bahwa sebagian transaksi yang masih tertunda menggunakan fitur Replace-by-Fee (RBF). Artinya, korban yang transaksinya masih berada di mempool kemungkinan masih memiliki peluang yang sangat singkat untuk mengajukan biaya transaksi yang lebih tinggi daripada pelaku, sehingga dana mereka dapat dikonfirmasi lebih dulu dan berpotensi diselamatkan.
Sebelumnya, Galaxy Research memperkirakan tiga gelombang serangan pertama telah menguras 1.367 BTC, atau sekitar US$ 85,7 juta (sekitar Rp 1,41 triliun), dari 4.585 alamat Bitcoin. Menurut perusahaan tersebut, seluruh dana hasil pencurian masih berada di dompet yang dikendalikan pelaku, sehingga mengindikasikan operasi yang terkoordinasi, bukan aksi pencurian secara acak.
Meski demikian, tidak semua Bitcoin hasil curian tetap berada di dompet tersebut. Salah satu korban yang memiliki hampir 30 BTC dilaporkan kehilangan 17 BTC yang kemudian dialihkan melalui ThorChain menuju kasino daring Duel. Pihak kasino disebut meminta korban terlebih dahulu membuat laporan kepada kepolisian sebelum mempertimbangkan pembekuan aset.
Serangan ini berasal dari kerentanan pada proses pembuatan seed yang memengaruhi sejumlah versi firmware Coldcard yang dirilis setelah Maret 2021. Coinkite, produsen Coldcard Wallet, mengonfirmasi bahwa seed yang dibuat menggunakan perangkat Mk3, Mk4, Mk5, dan Q dengan firmware terdampak memang berisiko. Perusahaan menyatakan pembaruan firmware terbaru telah menutup celah tersebut untuk seed baru, tetapi tidak dapat melindungi seed lama yang sudah telanjur dibuat.
Coinkite juga mengungkapkan telah memusnahkan seluruh stok perangkat yang masih menggunakan firmware rentan, menghentikan pengiriman produk terkait, serta bekerja sama dengan pelanggan dan aparat penegak hukum untuk mengidentifikasi pelaku pencurian. Perusahaan turut menyarankan seluruh pengguna segera bermigrasi ke seed baru pada perangkat yang tidak terdampak.
Thorn bahkan memperingatkan bahwa seluruh alamat Coldcard dengan skema single-signature yang dibuat menggunakan firmware rentan pada akhirnya berpotensi dikuras oleh pelaku.
