Produsen dompet hardware Ledger menyatakan bahwa eksploitasi Coldcard baru-baru ini seharusnya menjadi peringatan bagi industri mata uang kripto.

Menurut CTO Ledger Charles Guillemet, insiden tersebut mengungkap kelemahan dalam cara beberapa perangkat, dalam hal ini dompet kripto hardware, menghasilkan keacakan kriptografi sekaligus menunjukkan bagaimana kecerdasan buatan membentuk ulang serangan siber dan pertahanan digital.

"Kami memperlakukan ini sebagai pengingat serius tentang bagaimana seluruh model keamanan dompet hardware sangat bergantung pada keacakan," kata Guillemet kepada Decrypt. "Kriptografi itu sulit dan mengimplementasikannya dengan aman jauh lebih sulit. Insiden Coldcard minggu ini membuatnya terlihat dengan cara yang paling mahal."

Komentar ini muncul saat dampak dari eksploitasi Coldcard terus berkembang.

Minggu lalu, pembuat Coldcard, Coinkite, mengungkapkan cacat pada dompet hardware Bitcoin Coldcard yang terisolasi (air-gapped) yang berasal dari build firmware Maret 2021. Bug tersebut menggunakan cadangan perangkat lunak (software fallback) alih-alih generator angka acak hardware perangkat untuk membuat seed pemulihan dompet, membuat beberapa kunci privat dapat ditebak dan memungkinkan pencuri untuk mencuri Bitcoin pengguna.

Hingga saat ini, kerugian telah mencapai sekitar $130 juta sementara pencurian lainnya masih dalam penyelidikan. Pada hari Minggu, Coinkite merilis firmware yang telah diperbaiki dan mendesak pengguna yang terpengaruh untuk memindahkan dana ke dompet yang baru dibuat.

Coinkite tidak menanggapi permintaan komentar Decrypt untuk cerita ini.

Ledger mengatakan dompet hardware mereka sendiri tidak terpengaruh karena mereka menghasilkan frasa pemulihan dengan cara yang berbeda.

"Dompet hardware Ledger mendapatkan rahasia utamanya (Frasa Pemulihan Rahasia 24 kata) dari generator angka acak hardware sejati yang dibangun langsung ke dalam Secure Element yang tersertifikasi, tanpa jalur cadangan perangkat lunak," kata Guillemet. "Generator tersebut menghasilkan 256 bit entropi penuh untuk setiap seed."

Bagi Ledger, insiden ini menimbulkan pertanyaan yang lebih luas tentang bagaimana keamanan dompet hardware dievaluasi.

"Sumber terbuka (open source) dan ditinjau (reviewed) bukanlah hal yang sama," kata Guillemet. "Cacat ini berada dalam kode publik selama lebih dari lima tahun hingga, dilaporkan, seorang musuh menggunakan AI untuk menemukannya, sebuah pengingat bahwa menjadi terbuka dan ditinjau adalah dua hal yang berbeda."

Dia mengatakan AI mengubah keamanan siber dengan memungkinkan penyerang memindai kode, mencari kesalahan konfigurasi, dan mengidentifikasi kerentanan "dengan kecepatan mesin."

"Itu berarti pertahanan harus bergerak dengan kecepatan yang sama," katanya. "Ini perlu berasal dari keamanan berdasarkan desain, hardware, dan matematika."

Pada bulan Mei, seorang peneliti keamanan menggunakan Claude Opus 4.8 menemukan kerentanan berusia empat tahun yang dapat memicu pencetakan Zcash tanpa batas, menyebabkan kepanikan investor berskala besar dan membuat harga Zcash turun lebih dari 40% dalam satu hari sebagai respons.

Menurut Guillemet, Ledger menyatakan telah menghabiskan dua tahun terakhir menggunakan AI bersama insinyur keamanan manusia dan kriptografer untuk meninjau kode dan mengidentifikasi kerentanan sebelum penyerang dapat mengeksploitasinya.

"Kami juga tidak hanya mengandalkan perkataan kami sendiri," jelasnya. "Laboratorium penelitian Donjon kami ada untuk mencoba membobol produk kami sebelum orang lain bisa melakukannya."

Untuk mengurangi risiko di masa depan, Guillemet mengatakan pengguna yang mengevaluasi dompet hardware apa pun harus memahami bagaimana ia menghasilkan keacakan dan apakah proses tersebut telah disertifikasi secara independen.

"Keacakan harus berasal dari fisika, bukan formula," katanya. "Itu harus disertifikasi oleh orang-orang yang pekerjaannya adalah mencoba membuktikan klaim tersebut salah, bukan hanya ditegaskan oleh vendor."