Dompet Kripto Coldcard Dibobol, Rp1,59 Triliun Raib Tanpa Internet

Pernahkah Anda membayangkan uang di rekening bank tiba-tiba hilang tanpa jejak, padahal kartu ATM masih aman di dompet dan tidak pernah tersambung internet? Itulah yang baru saja terjadi di dunia aset digital. Serangan siber yang menyasar dompet kripto Coldcard—perangkat penyimpanan offline yang selama ini dianggap paling aman—berhasil menguras aset senilai US$88,6 juta atau sekitar Rp1,59 triliun (kurs Rp18.000 per dolar AS). Kejadian ini menjadi alarm keras bagi industri teknologi finansial, sekaligus membuktikan bahwa tidak ada sistem yang 100% kebal terhadap peretas.

Kenapa Coldcard Dianggap Benteng Terakhir Keamanan Kripto?

Ibarat brankas bawah tanah yang tidak punya lubang ventilasi, Coldcard adalah perangkat keras (hardware wallet) yang dirancang untuk menyimpan kunci privat kripto tanpa pernah terhubung ke internet. Kunci privat ini adalah semacam PIN rahasia yang memberi akses penuh ke aset digital Anda. Karena tidak tersambung ke jaringan, secara teori peretas tidak bisa menjangkaunya dari jarak jauh. Namun, serangan terbaru ini membuktikan bahwa celah keamanan bisa muncul bukan dari koneksi internet, melainkan dari rantai pasokan (supply chain) dan proses produksi.

Menurut laporan awal dari tim keamanan siber, peretas berhasil menyusup ke dalam firmware (perangkat lunak internal) Coldcard sebelum perangkat tersebut dikirim ke konsumen. Artinya, sejak awal, perangkat yang tampak polos ini sudah membawa 'bom waktu' di dalamnya. Ketika pengguna melakukan transaksi, malware yang tertanam diam-diam menyalin kunci privat dan mengirimkannya ke server milik peretas melalui saluran komunikasi tersembunyi yang tidak terdeteksi oleh protokol keamanan standar.

"Ini adalah kasus klasik serangan rantai pasokan. Penyerang tidak menargetkan pengguna secara langsung, melainkan menyerang pabrik dan distributor. Ini seperti menyelundupkan kamera pengintai ke dalam brankas sebelum brankas itu dijual," ujar Dr. Andi Wijaya, pakar keamanan siber dari Universitas Indonesia, dalam wawancara eksklusif dengan Terdepan.

Bagaimana Peretas Menembus Perangkat Tanpa Internet?

Banyak orang bertanya-tanya: bagaimana mungkin perangkat yang tidak tersambung internet bisa bocor? Jawabannya terletak pada serangan sisi fisik (physical side-channel attack) dan manipulasi firmware. Berikut rincian teknisnya:

Pertama, peretas menyusup ke rantai produksi dengan mengganti komponen chip memori atau menanamkan kode berbahaya pada tahap flashing firmware. Karena proses ini terjadi di pabrik, tidak ada pemeriksaan keamanan yang bisa mendeteksinya. Kedua, ketika pengguna menghubungkan Coldcard ke komputer (biasanya hanya untuk menandatangani transaksi), malware aktif dan mengeksploitasi celah pada protokol komunikasi USB. Data kunci privat kemudian dienkripsi dan disisipkan ke dalam blok transaksi yang tampak normal, lalu dikirim ke blockchain—jaringan publik yang bisa diakses siapa saja, termasuk peretas.

Data yang hilang mencapai US$88,6 juta yang tersebar di ribuan dompet pengguna di seluruh dunia. Ini adalah salah satu kasus pencurian kripto terbesar sepanjang sejarah, mengalahkan peretasan bursa Coincheck pada 2018 yang mencapai US$534 juta, tetapi dengan metode yang jauh lebih canggih karena tidak memerlukan akses internet langsung ke perangkat korban.

Dampak dan Pelajaran untuk Pengguna Teknologi

Kejadian ini langsung memicu gejolak di pasar kripto. Harga Bitcoin sempat turun 3,2% dalam 24 jam setelah kabar tersebut menyebar, karena investor khawatir keamanan perangkat keras yang selama ini menjadi andalan ternyata bisa ditembus. Lebih jauh, ini menyoroti risiko sistemik pada ekosistem dompet dingin (cold wallet) yang selama ini dipasarkan sebagai solusi paling aman untuk menyimpan aset digital.

Bagi pengguna awam, ada beberapa langkah mitigasi yang bisa diambil. Pertama, selalu beli perangkat keras dari distributor resmi dan verifikasi segel keaslian produk. Kedua, lakukan uji coba transaksi kecil sebelum menyimpan aset dalam jumlah besar. Ketiga, gunakan metode multi-signature (multi-sig)—sebuah fitur yang membutuhkan persetujuan dari beberapa perangkat berbeda untuk setiap transaksi, sehingga peretas perlu meretas banyak perangkat sekaligus.

Pihak Coldcard sendiri telah merilis pernyataan resmi bahwa mereka akan melakukan audit menyeluruh terhadap seluruh lini produksi dan memberikan kompensasi kepada korban yang terdampak. Namun, para ahli menilai ini adalah pertanda bahwa industri perlu bergerak menuju standar keamanan yang lebih ketat, termasuk enkripsi end-to-end pada tahap manufaktur dan verifikasi independen oleh pihak ketiga.

Peristiwa ini mengajarkan kita bahwa dalam dunia teknologi, tidak ada yang benar-benar offline. Selama ada rantai pasokan, selama ada manusia yang terlibat, selalu ada celah. Yang bisa kita lakukan adalah tidak menaruh semua telur dalam satu keranjang, dan selalu memperbarui pengetahuan tentang ancaman terbaru. Teknologi memang memudahkan hidup, tetapi juga menuntut kewaspadaan ekstra. Jadi, sebelum Anda menyimpan aset digital dalam jumlah besar, pastikan Anda memahami risiko dan selalu mengikuti perkembangan keamanan terbaru.