Detak Media — Peretas berhasil mengeksploitasi celah keamanan pada perangkat keras dompet kripto (hardware wallet) merek Coldcard, yang selama ini dikenal sebagai penyimpanan aset kripto paling aman. Akibat serangan ini, dana puluhan juta dolar AS berhasil dikuras dari ribuan pengguna.

Perusahaan pembuat Coldcard asal Kanada, Coinkite Inc., telah memberi tahu para penggunanya mengenai ditemukannya celah keamanan pada kunci pelindung dompet mereka. Berdasarkan laporan lembaga riset Galaxy Research, sekitar 1.367 Bitcoin bernilai hampir US$ 86 juta atau setara Rp 1,5 triliun telah tersedot dari lebih dari 4.500 dompet kripto.

Coldcard adalah perangkat keras yang dirancang untuk menyimpan aset Bitcoin secara luring atau offline. Metode ini umumnya dipandang paling aman dari jangkauan peretas karena tidak terhubung langsung ke jaringan internet. Namun, laporan dari tim teknis Block Inc. mengungkapkan celah pada software Coldcard membuat kata sandi pemulihan (seed phrase) yang dihasilkan perangkat menjadi dapat diprediksi oleh peretas.

“Kasus ini meruntuhkan anggapan kripto Anda sepenuhnya aman saat luring,” ujar Aneirin Flynn, CEO dari firma teknologi siber Failsafe. “Perangkat tersebut bertugas menghasilkan kata sandi Anda. Jika formulasi matematis dasarnya rusak, maka kata sandi Anda dapat dilacak dan direkayasa balik (reverse-engineered).”

Jonathan Goodman, salah satu korban, mengaku sempat berpikir perangkat miliknya aman sebelum akhirnya ia memeriksa isi dompetnya secara langsung. “Begitu aplikasi dimuat, saya tahu saya berada dalam masalah besar karena melihat deretan garis merah penarikan dana. Antara pukul 21.36 hingga 21.43 pada 29 Juli 2026, seluruh isi dari tiga dompet kripto saya ludes tanpa sisa,” kata Goodman.

Menurut laporan Block Inc., inti permasalahan terletak pada cara Coinkite mengimplementasikan sistem pembuat angka acak (random-number generator) saat membuat kata sandi pemulihan. Dalam sistem keamanan kriptografi, keacakan mutlak adalah syarat utama. Namun, sistem pada perangkat Coldcard memiliki mekanisme cadangan (fallback) yang justru menggunakan nilai pasti (deterministic values), seperti nomor seri perangkat.

Celah ini dimanfaatkan peretas untuk menghitung ulang kombinasi kata sandi secara sistematis dan menguras dompet para pengguna. Pada Jumat (31/7/2026), estimasi kerugian awal berada di kisaran US$ 38 juta, namun angkanya melonjak drastis hingga puluhan juta dolar selama akhir pekan.

Melalui pernyataan resmi di situs webnya, Coinkite membenarkan dana yang dikendalikan oleh seed phrase dari versi firmware terdampak berada dalam risiko tinggi. Pihaknya menyatakan telah merilis pembaruan firmware perbaikan untuk seluruh model yang terdampak.

Tren Kasus Peretasan Kripto 2026

Insiden ini menambah panjang catatan kasus peretasan di industri aset digital sepanjang tahun 2026. Laporan lembaga analitis TRM Labs mencatat bahwa total nilai kerugian akibat peretasan kripto pada paruh pertama tahun 2026 mencapai US$ 972 juta. Meskipun angka kerugian tersebut menurun dibanding periode yang sama tahun 2025 yang menembus US$ 2,3 miliar, frekuensi serangan justru mencatatkan rekor tertinggi.

Sepanjang semester I-2026, tercatat ada 207 insiden peretasan. Angka ini menjadi frekuensi tertinggi dalam periode semesteran sepanjang sejarah aset kripto. Cold wallet atau hardware wallet merupakan perangkat fisik yang dirancang khusus untuk menyimpan kunci privat (private keys) aset kripto secara terpisah dari jaringan internet.

Berbeda dari hot wallet (aplikasi dompet berbasis web atau ponsel) yang rentan terhadap serangan peretasan daring, cold wallet dianggap sebagai standar tertinggi (gold standard) dalam manajemen risiko keamanan kripto, terutama bagi investor institusional dan pemegang aset berskala besar.

Kasus peretasan yang menimpa Coldcard ini menjadi preseden penting dalam industri keamanan siber aset digital. Insiden ini membuktikan faktor kelemahan internal pada pemrograman firmware dan algoritma pembangkit kunci acak dapat meruntuhkan proteksi fisik terkuat sekalipun, sekaligus menjadi peringatan keras bagi para investor untuk rutin memperbarui firmware perangkat penyimpanan mereka.