Pemegang Bitcoin kecil memindahkan koin pada 31 Juli dengan tingkat yang tidak terlihat sejak keruntuhan FTX, menurut CryptoQuant, seiring dengan tersebarnya berita bahwa dompet hardware Coldcard telah menghasilkan kunci yang dapat ditebak selama lima tahun.

Transfer kurang dari 1 BTC mencapai total 39.600 BTC (sekitar $2,5 miliar) pada hari itu, cuit Kepala Penelitian perusahaan, Julio Moreno. Angka sebanding terakhir adalah 39.900 BTC pada 16 November 2022, beberapa hari setelah FTX bangkrut. Alamat aktif harian meningkat dari 645.000 pada 30 Juli menjadi hampir satu juta pada 31 Juli, tertinggi sejak Desember 2024, dengan lonjakan terkonsentrasi pada alamat pengirim daripada alamat penerima.

Sebagian dari dana tersebut masuk ke bursa. Deposit yang terdiri dari transfer di bawah 10 BTC mencapai 7.300 BTC ($459 juta) pada 31 Juli, terbanyak sejak 6 Februari, kata CryptoQuant. Moreno mengaitkan perpindahan tersebut dengan pelanggaran Coldcard, mengatakan bahwa orang-orang tampaknya memindahkan kepemilikan "mencari keamanan," meskipun ia mencatat bahwa koneksi tersebut tidak pasti.

Patut dicatat, harga Bitcoin hampir tidak bergerak di tengah gelombang deposit bursa, menunjukkan bahwa pengguna memindahkan koin mereka untuk mengamankannya daripada menjual. Bitcoin saat ini diperdagangkan pada $62.724, turun 0,7% selama sehari terakhir, menurut data CoinGecko.

Eksploitasi ColdCard

Kelemahan Coldcard berasal dari kesalahan pembuatan firmware pada Maret 2021 yang menyebabkan frasa benih (seed phrases) diambil dari kumpulan yang terlalu kecil. Galaxy Research mencatat tiga gelombang pencurian pada hari Sabtu, dengan total 1.367 BTC di 4.585 alamat, naik dari $38 juta saat kelemahan tersebut diungkapkan dan $70 juta ketika pendiri Binance Changpeng Zhao memperingatkan para pemegang.

Gelombang keempat kemungkinan sedang berlangsung. Alex Thorn dari Galaxy Research menandai penyapuan di 15 blok berturut-turut pada hari Senin, berjalan sekitar 45 kali lipat dari tingkat normal, dan setelah mengoreksi set yang salah memasukkan alamat multisig, gelombang tersebut berjumlah 709 alamat dan 448,73 BTC ($28 juta). Ini akan menjadikan total berjalan sekitar 1.816 BTC, mendekati $114 juta. Thorn menambahkan peringatan bahwa belum ada korban yang mengkonfirmasi gelombang keempat ini, yang didasarkan pada pencocokan pola.

Beberapa penyapuan masih belum terkonfirmasi di mempool dan telah memilih untuk replace-by-fee (RBF), katanya, yang berarti pemegang yang bertindak cepat dan membayar biaya tinggi mungkin dapat mengungguli penyerang. Tidak ada alamat yang terkena dalam tiga gelombang pertama yang merupakan multisig.

'Panggilan bangun'

Chief Security Officer Kraken, Nick Percoco, menyebut insiden itu sebagai "panggilan bangun bagi seluruh industri dompet hardware." ColdCard Mk4, Mk5, dan Q dilengkapi dengan elemen aman bersertifikat, catatnya, dan frasa benihnya masih dihasilkan sekitar 72 bit, karena sertifikasi hanya mencakup komponen sementara tidak ada yang memverifikasi jalur kode mana yang sebenarnya berjalan.

Percoco menginginkan validasi lab independen untuk sumber entropi, yang terikat pada versi firmware tertentu dan tercantum dalam registri publik, seperti yang sudah disyaratkan oleh terminal pembayaran. Dia menambahkan bahwa perbaikan cepat (hotfix) Coinkite sekarang akan menggagalkan pembangunan (build) kecuali generator yang benar terhubung, sebuah kontrol yang menurutnya membutuhkan waktu sekitar 48 jam untuk ditulis setelah perusahaan tahu apa yang harus dicari.