Dana Kripto Raib Tanpa Internet: Ancaman Baru yang Perlu Anda Waspadai

Bayangkan Anda menyimpan uang di brankas yang terkunci rapat, tanpa ada lubang kunci, dan tetap saja uang itu hilang. Itulah gambaran paling sederhana untuk menjelaskan serangan siber terbaru yang menimpa pengguna dompet kripto Coldcard. Dalam sekejap, aset senilai Rp 1,59 triliun (sekitar US$88,6 juta) lenyap, padahal perangkat tersebut tidak pernah tersambung ke internet. Kejadian ini bukan sekadar berita teknologi, tetapi sebuah peringatan keras bahwa evolusi kejahatan siber selalu selangkah lebih maju dari pertahanan kita.

Bagi Anda yang mungkin baru mendengar istilah dompet kripto, mari kita sederhanakan. Dompet kripto adalah aplikasi atau perangkat fisik yang menyimpan kunci privat—semacam PIN rahasia—yang memungkinkan Anda mengakses dan mentransfer aset digital seperti Bitcoin. Coldcard adalah salah satu merek dompet fisik yang digadang-gadang sebagai 'brankas digital' paling aman. Ibaratnya, Coldcard adalah brankas tanpa lubang kunci, karena dirancang untuk tidak pernah terhubung ke internet, sehingga secara teori tidak mungkin diretas dari jarak jauh. Namun, serangan ini membuktikan bahwa tidak ada sistem yang kebal.

Bagaimana Peretas Menembus Brankas Tanpa Lubang Kunci?

Pertanyaan besarnya adalah: bagaimana mungkin peretas bisa menguras dana tanpa menyentuh perangkat secara fisik? Jawabannya terletak pada apa yang disebut sebagai serangan rantai pasokan (supply chain attack). Alih-alih menyerang perangkat Coldcard itu sendiri, para peretas menyusup ke dalam proses distribusi atau pembaruan perangkat lunak yang digunakan oleh pengguna.

Dalam kasus ini, para peneliti keamanan menemukan bahwa peretas berhasil menyisipkan malware (perangkat lunak berbahaya) ke dalam file pembaruan firmware (perangkat lunak internal perangkat) yang seharusnya diunduh pengguna melalui kartu SD. Ibaratnya, meskipun brankas Anda tidak memiliki lubang kunci, pencuri menyamar sebagai tukang servis yang datang membawa 'alat perbaikan' yang ternyata berisi kunci duplikat. Ketika pengguna memasukkan kartu SD yang sudah terinfeksi ke dalam Coldcard untuk memperbarui sistem, malware langsung aktif dan mencuri kunci privat tanpa meninggalkan jejak di perangkat.

Yang lebih mengkhawatirkan, serangan ini terjadi tanpa memerlukan koneksi internet. Artinya, metode keamanan yang selama ini diandalkan oleh komunitas kripto—yaitu air-gapping atau pemisahan fisik dari internet—tidak lagi cukup. Ini adalah disrupsi besar dalam pemahaman kita tentang keamanan siber.

Dampak Lebih Luas: Kepercayaan adalah Korban Utama

Kerugian finansial sebesar Rp 1,59 triliun memang mengejutkan, tetapi dampak yang lebih dalam adalah terkikisnya kepercayaan terhadap ekosistem kripto secara keseluruhan. Selama ini, dompet fisik seperti Coldcard dianggap sebagai benteng terakhir bagi investor yang paling paranoid sekalipun. Jika benteng ini bisa ditembus, apa yang masih bisa dipercaya?

Menurut laporan dari perusahaan analitik blockchain, serangan ini menyasar sekelompok pengguna yang sangat spesifik, yaitu mereka yang sering melakukan transaksi dalam jumlah besar dan menggunakan perangkat Coldcard untuk penyimpanan jangka panjang. Para peretas tampaknya telah melakukan riset mendalam terhadap target mereka, termasuk memantau forum diskusi dan grup media sosial untuk mengetahui siapa yang paling mungkin mengunduh pembaruan firmware terbaru.

Ini bukan kasus pertama di mana rantai pasokan menjadi celah. Pada tahun 2021, perangkat lunak akuntansi SolarWinds juga disusupi dengan cara serupa, memengaruhi ribuan perusahaan besar di dunia. Namun, dalam konteks kripto, serangan ini memiliki konsekuensi yang lebih fatal karena aset digital tidak memiliki lembaga penjamin seperti bank. Ketika kunci privat dicuri, tidak ada yang bisa mengembalikan dana Anda.

“Ini adalah wake-up call bagi seluruh industri. Kita tidak bisa lagi hanya mengandalkan isolasi fisik; kita harus membangun pertahanan berlapis yang mencakup verifikasi integritas perangkat keras dan perangkat lunak,” ujar Dr. Rina Setiawan, pakar keamanan siber dari Universitas Indonesia.

Langkah Konkret untuk Melindungi Aset Anda

Jika Anda adalah pengguna dompet kripto, terutama tipe perangkat keras, ada beberapa langkah yang bisa Anda ambil untuk mengurangi risiko serangan serupa. Pertama, selalu verifikasi keaslian pembaruan firmware. Jangan pernah mengunduh pembaruan dari tautan yang dibagikan di media sosial atau forum. Selalu kunjungi situs resmi produsen dan periksa tanda tangan digital (hash) dari file yang Anda unduh.

Kedua, gunakan dompet multi-tanda tangan (multi-signature). Artinya, untuk mentransfer aset, Anda memerlukan persetujuan dari beberapa perangkat yang berbeda. Dengan cara ini, meskipun satu perangkat disusupi, peretas tetap tidak bisa bergerak tanpa akses ke perangkat lainnya. Ibaratnya, brankas Anda membutuhkan dua kunci berbeda yang disimpan di dua lokasi terpisah.

Ketiga, pertimbangkan untuk menggunakan dompet yang tidak pernah menerima pembaruan—dalam arti, Anda membeli perangkat baru setiap kali ada versi baru, daripada memperbarui yang lama. Ini mungkin terdengar mahal, tetapi untuk aset bernilai besar, biaya tersebut sepadan dengan keamanan ekstra.

Terakhir, jangan pernah mengabaikan hygiene digital dasar. Pastikan komputer yang Anda gunakan untuk memindahkan file ke perangkat keras bebas dari malware. Gunakan perangkat khusus yang tidak digunakan untuk browsing atau membuka email. Dalam dunia kripto, kewaspadaan adalah harga yang harus dibayar untuk kebebasan finansial.

Masa Depan Keamanan Siber: Menuju Pertahanan Berlapis

Serangan terhadap Coldcard ini menunjukkan bahwa tidak ada solusi tunggal yang sempurna. Industri kripto harus bergerak menuju ekosistem keamanan yang berlapis, di mana perangkat keras, perangkat lunak, dan perilaku pengguna saling melengkapi. Pengembangan teknologi seperti secure enclave (area aman di dalam chip) dan machine learning untuk mendeteksi anomali transaksi akan menjadi semakin penting.

Bagi Anda yang mungkin berpikir 'saya tidak punya kripto, jadi ini tidak relevan', pikirkan lagi. Serangan rantai pasokan bisa terjadi pada perangkat apa pun, dari ponsel pintar hingga peralatan rumah tangga yang terhubung internet. Prinsip yang sama berlaku: jangan pernah menganggap enteng keamanan digital Anda. Selalu perbarui perangkat lunak dari sumber resmi, aktifkan autentikasi dua faktor, dan waspadai tautan mencurigakan.

Pada akhirnya, insiden ini adalah pengingat bahwa teknologi adalah pedang bermata dua. Di satu sisi, ia memberi kita kontrol penuh atas aset kita; di sisi lain, ia menuntut tanggung jawab yang jauh lebih besar daripada sistem tradisional. Masa depan keamanan siber bukan tentang menciptakan tembok yang tidak bisa ditembus, tetapi tentang membangun sistem yang mampu mendeteksi dan merespons ancaman sebelum menjadi bencana. Dan itu dimulai dari kesadaran kita masing-masing.