Pencurian Bitcoin dari dompet hardware Coldcard yang diretas masih berlangsung, dengan para peneliti kini melacak kerugian sekitar $88 juta dan memperingatkan bahwa setiap perangkat yang rentan pada akhirnya akan dikosongkan.

Galaxy Research menyatakan pada hari Sabtu bahwa mereka telah mengidentifikasi gelombang pencurian ketiga, di mana 207,73 BTC dikuras, meningkatkan total yang teramati menjadi sekitar 1.367 BTC—sekitar $88,6 juta—di 4.585 alamat. Perusahaan tersebut menyebut eksploitasi ini sedang berlangsung dan mendesak siapa pun yang memegang dana tanda tangan tunggal (single-signature) di Coldcard untuk segera memindahkannya. Galaxy mengatakan telah menandai sekitar 600 alamat penyerang yang dicurigai kepada penyelidik federal, perusahaan kepatuhan, dan penyelidik siber lintas industri, memberikan penghargaan kepada para korban yang membagikan detail transaksi karena membantu memetakan pola on-chain.

“Saya terus menyelidiki dan menambahkan alamat korban dan penyerang Coldcard baru ke basis data investigasi kami,” posting Alex Thorn, kepala penelitian Galaxy, di X. “Serangan ini masih berlangsung—segera pindahkan dana Anda dari alamat yang dihasilkan Coldcard jika Anda belum melakukannya.”

Cacat tersebut, seperti yang dilaporkan Decrypt sebelumnya, berasal dari kesalahan build firmware Maret 2021 pada perangkat Coinkite yang menyebabkan frasa benih (seed phrases) dihasilkan dengan tingkat acak yang terlalu rendah, meninggalkan kunci pribadi (private keys) yang dapat ditebak. Thorn menulis bahwa penarikan dana tersebut terlihat disengaja dan terprogram, kemungkinan diorkestrasi dengan model bahasa besar (large language model/LLM), dan memperingatkan bahwa setiap alamat Coldcard single-sig yang dibuat setelah pembaruan 2021 tersebut pada akhirnya akan dikuras, mengatakan itu hanya masalah waktu.

Thorn mencatat bahwa koin yang dicuri telah tidak tersentuh selama bertahun-tahun sebelum diambil—rata-rata dormansi 3,18 tahun—menggarisbawahi bahwa para korban adalah pemegang jangka panjang. Dana dari tiga gelombang yang didokumentasikan tetap tersimpan di alamat penyerang dan belum dipindahkan.

Dampaknya telah mendorong respons panik dari pengguna yang terpengaruh, dengan para ahli keamanan mendesak kehati-hatian saat memindahkan dana ke alamat baru. Banyak pengguna yang terpengaruh berlomba untuk memindahkan Bitcoin dari self-custody dan kembali ke bursa kripto terpusat (centralized crypto exchanges), seperti Coinbase atau Binance, atau alamat yang baru dibuat—sebuah pembalikan etos industri yang biasa, "bukan kuncimu, bukan koinmu".

Bagi sebagian orang, peringatan datang terlambat. Pelatih Kanada Jonathan Goodman mengatakan dalam sebuah postingan di X bahwa 18,25 BTC, senilai sekitar $1,6 juta Kanada, dikuras dari dompetnya dalam rentang waktu tujuh menit pada 29 Juli, meskipun kunci-kuncinya berada di brankas yang tidak pernah terhubung ke internet. "Mungkin bagian tersulit dari ini adalah saya sudah melakukan segalanya dengan benar," tulisnya, menambahkan bahwa ia sedang mengajukan laporan ke polisi dan Komisi Sekuritas Ontario.