Detak Media — Peretas berhasil menguras Bitcoin (BTC) senilai lebih dari US$ 100 juta atau sekitar Rp 1,8 triliun dari ribuan akun yang sebelumnya dianggap paling aman. Insiden ini menambah panjang daftar skandal di industri aset kripto yang kerap merugikan investor.

Hilangnya dana secara masif ini dipicu oleh celah perangkat lunak (software flaw) pada cold wallet Bitcoin buatan Coinkite, perusahaan asal Kanada. Cold wallet merupakan media penyimpanan fisik berbasis hardware yang dilengkapi kata sandi pribadi (private key), dirancang untuk memberikan lapisan keamanan ekstra di luar kode rumit biasa yang sering menjadi sasaran peretasan.

Coinkite telah memberi tahu para pengguna bahwa beberapa wallet yang menggunakan perangkat Coldcard milik mereka telah terkompromi. Riset dari Galaxy Research mencatat, lebih dari 1.755 koin Bitcoin senilai sekitar US$ 110 juta atau Rp 1,9 triliun telah dikuras dari 5.000 wallet.

Kabar pembobolan ini memicu kepanikan di media sosial, terutama bagi para korban yang kehilangan aset mereka secara mendadak. “Begitu sistem memuat, saya tahu saya berada dalam masalah besar karena melihat deretan garis merah transaksi penarikan. Antara pukul 21.36 hingga 21.43 pada 29 Juli, seluruh dana di tiga wallet saya habis tak tersisa,” ujar Jonathan Goodman, salah satu korban, seperti dikutip Bloomberg.

Goodman mengaku mengalami kerugian hingga US$ 1,6 juta atau sekitar Rp 28,6 miliar akibat serangan siber tersebut.

Awal Mula dan Celah Kunci Peretasan

Berdasarkan laporan tim teknis Block Inc. serta konfirmasi dari Coinkite, serangan ini bermula dari bug pada perangkat lunak Coldcard. Celah tersebut membuat seed phrase, deretan kata acak yang digunakan untuk mengakses wallet, menjadi mudah ditebak oleh peretas.

Masalah utama terletak pada cara Coinkite mengimplementasikan pembuat angka acak (random-number generator) saat memproduksi seed phrase. Dalam keamanan kriptografi, acakan yang mutlak adalah syarat utama. Namun, perangkat Coldcard memiliki mekanisme cadangan (fallback) yang justru menghasilkan kunci berdasarkan nilai-nilai sederhana, seperti nomor seri perangkat.

Akibatnya, peretas mampu menghitung ulang algoritma tersebut dan menguras isi wallet pengguna secara sistematis. Laporan awal mencatat kerugian sekitar US$ 38 juta atau Rp 679,9 miliar, namun angkanya melonjak drastis hingga melampaui US$ 100 juta atau Rp 1,8 triliun.

“Insiden ini menjadi pengingat metode self-custody (penyimpanan mandiri) hanya sekuat proses yang digunakan untuk membuat dan melindungi kunci pribadinya,” kata Ayesha Kiani, Chief Operating Officer di firma investasi aset digital Monarq Asset Management.

Dalam pernyataan resminya, Coinkite membenarkan dana pengguna masih berisiko dan merilis pembaruan perangkat lunak khusus bagi para nasabah.

Mitos Keamanan Offline Terpatahkan

Peretasan ini memicu perdebatan sengit di kalangan pakar keamanan siber dan eksekutif industri kripto. “Kasus ini mematahkan anggapan menyimpan kripto secara offline pasti aman. Perangkat keras hanya bertugas membuat kata sandi Anda. Jika formulasi matematis di baliknya rusak, kata sandi tersebut bisa dilacak dan diretas balik,” tegas CEO firma teknologi keamanan siber Failsafe Aneirin Flynn.

Data TRM Labs menunjukkan, sepanjang semester I-2026 total kerugian akibat pencurian kripto sebenarnya menurun menjadi US$ 972 juta atau Rp 17,4 triliun dibanding periode yang sama di tahun sebelumnya (US$ 2,3 miliar). Namun, frekuensi serangan justru melonjak hingga 207 kasus peretasan, rekor tertinggi dalam periode enam bulanan.

Pukulan terberat dirasakan para investor yang merasa telah memilih metode penyimpanan paling aman. Tim Lamb, Managing Director di EquityEdge Studio, meluapkan kekecewaannya di platform X. Ia kehilangan dua Bitcoin yang rencananya disimpan untuk masa depan anak-anaknya.

Bagi Goodman, insiden ini mengakhiri kepercayaannya pada teknologi kripto. Ia memutuskan untuk berhenti berinvestasi di Bitcoin maupun menggunakan cold wallet. “Jika teknologinya se-rumit dan se-teknis ini, mungkin memang tidak sepadan. Pada akhirnya, tidak ada yang benar-benar tahu bagaimana cara kerja teknologi ini,” pungkas Goodman.

Sejak kemunculan Bitcoin, prinsip self-custody, yaitu memegang dan mengelola kunci akses aset digital secara mandiri tanpa melibatkan pihak ketiga seperti bank, selalu diagungkan sebagai puncak keamanan tertinggi di dunia kripto. Penggunaan cold wallet atau media penyimpanan fisik yang tidak terhubung ke jaringan internet secara langsung dipromosikan sebagai benteng terakhir dari ancaman peretas daring.

Namun, kasus peretasan Coinkite ini menyingkap fakta rentannya ekosistem penyimpanan mandiri. Ketika keamanan bergantung pada perangkat keras dan kode unik buatan pabrikan, investor pada dasarnya mengalihkan risiko dari peretas jaringan ke potensi cacat produksi (human error/software flaw) dari pembuat perangkat tersebut.

Maraknya kasus serangan siber yang kian canggih ini kian mempertegas dilema utama di dunia aset digital. Dilema tersebut termasuk kemudahan dan kontrol penuh atas aset sering kali berbanding lurus dengan besarnya risiko teknis yang harus ditanggung pengguna awam secara mandiri.