Kerugian Bitcoin yang dicuri dari eksploitasi dompet Coldcard yang masif telah mulai melambat, tetapi jumlah total BTC yang dicuri terus meningkat—dan yang terburuk mungkin belum berakhir.
Itu adalah kabar terbaru dari Galaxy Research, firma riset kripto yang telah melacak eksploitasi tersebut sejak awal. Perusahaan itu mengatakan Kamis bahwa eksploitasi rekonstruksi seed Coldcard kini telah menguras lebih dari 1.778 BTC—sekitar $112 juta—dan angka akhirnya kemungkinan akan lebih tinggi.
Galaxy mengatakan memiliki "keyakinan sangat tinggi" terhadap hitungan tersebut, yang mencakup pencurian yang dikonfirmasi dan diatribusikan kepada pemilik sejak serangan dimulai pada 30 Juli, menurut utasnya di X.
"Penyerang telah melakukan serangan ini setidaknya sejak pagi hari tanggal 30 Juli 2026, secara sistematis merekonstruksi seed yang dihasilkan Coldcard dan menarik dana di blockchain," tulis Galaxy Research.
Di antara gelombang dan jejak yang dikonfirmasi Galaxy, tidak ada yang menunjukkan aktivitas setelah 6 Agustus. Itu tidak berarti metode tersebut berhenti berfungsi. Itu berarti target-target yang mudah sudah tidak ada.
Sebagian besar dana tetap tidak bergerak sejak dicuri dari para korban. Dari setidaknya 1.778 BTC yang telah dicuri, 1.531 BTC tetap berada di alamat yang dikendalikan penyerang tanpa dipindahkan. Sekitar 246 BTC telah dipindahkan oleh penyerang setelah pencurian, dengan 65% mengalir ke transaksi Coinjoin… pic.twitter.com/OHjJkr1x6D
— Galaxy Research (@glxyresearch) 14 Agustus 2026
Pembaruan firmware tahun 2021 secara diam-diam mengalihkan pembuatan seed Coldcard dari chip bilangan acak perangkat kerasnya ke pengganti perangkat lunak, sehingga kekuatan kunci runtuh dari 128 bit menjadi serendah 40. Penyerang dapat membangun kembali seed dari nomor seri perangkat dan status waktu, kemudian menarik koin tanpa menggunakan teknik phishing atau malware dan bahkan tanpa akses fisik ke perangkat aslinya.
Analisis Galaxy menunjukkan gelombang terbesar yang terbukti—Gelombang 1—mencapai 1.082,65 BTC yang ditarik dari 1.195 alamat pada menit-menit pembukaan. Itu sekitar $70,5 juta nilai Bitcoin yang dicuri pada saat itu.
Jejak E, kluster tunggal terbesar yang dikonfirmasi oleh pemilik, mengambil 209,94 BTC (sekitar $13,3 juta) dari 2.148 alamat; Gelombang 3 mengambil 208,24 BTC (mendekati $13,0 juta) dari 1.912. Di seluruh tiga gelombang yang terbukti dan 41 jejak yang lebih kecil, firma tersebut memetakan lebih dari 5.200 alamat yang telah dikuras. Per blok 962.304 (data 13 Agustus), 1.499,27 BTC (hampir $93,9 juta) masih belum terpakai di tangan penyerang.
Di antara gelombang dan jejak aktivitas penyerang yang dikonfirmasi dengan keyakinan tinggi, tidak ada yang terjadi setelah 6 Agustus. Korban tambahan terus melaporkan ke Galaxy Research (kami telah berbicara langsung dengan lebih dari 190 orang), membantu kami mengatribusikan kerugian secara langsung dan mengonfirmasi jejak tambahan, tetapi tidak ada… pic.twitter.com/8jEdFdJEog
— Galaxy Research (@glxyresearch) 14 Agustus 2026
Dari sebagian kecil yang dapat dilacak Galaxy hingga titik akhir—174,97 BTC—sebagian besar masuk ke putaran privasi coinjoin, dengan sejumlah kecil mencapai KuCoin dan Jump Crypto.
Galaxy telah berbicara dengan lebih dari 190 korban secara langsung untuk mengatribusikan kerugian. "Penurunan gelombang serangan kemungkinan karena pengguna yang rentan telah bermigrasi atau sebagian besar dana telah dikuras," tulisnya. Perusahaan mengulang sarannya: "Jika Anda masih menyimpan dana di dompet Coldcard tanda tangan tunggal, Anda disarankan untuk memindahkan dana Anda ke alamat baru."
Insiden ini telah mendorong sekitar $15 miliar Bitcoin ke kustodi yang lebih aman dan menarik peringatan dari Ledger bahwa keamanan dompet harus beradaptasi dengan penemuan yang dibantu AI. Rekan-rekan firma perangkat keras juga telah menandai lonjakan phishing yang memanfaatkan kepanikan.
Galaxy masih memiliki gelombang keempat yang menjadi kandidat—638,5 BTC yang belum dikonfirmasi—yang akan meningkatkan total kerugian menjadi 2.417 BTC, di atas $151,3 juta dengan harga hari ini.
