Liputan6.com, Jakarta - Pendiri Binance, Changpeng Zhao atau CZ, kembali memicu perdebatan mengenai keamanan dompet kripto (crypto wallet) setelah kasus peretasan Coldcard yang mengakibatkan lebih dari 1.367 Bitcoin senilai sekitar US$ 88,6 juta atau sekitar Rp 1,6 triliun dicuri (estimasi kurs Rp 18.000 per dolar AS).
Kasus tersebut menunjukkan bahwa perangkat hardware wallet pun tidak sepenuhnya bebas dari risiko. Dalam insiden Coldcard, kelemahan justru muncul saat perangkat membuat recovery seed, yaitu rangkaian kata yang menjadi kunci untuk memulihkan dompet kripto.
Advertisement
Akibat bug pada firmware, sejumlah perangkat menghasilkan recovery seed yang lebih mudah ditebak. Celah tersebut kemudian dimanfaatkan peretas untuk mengakses aset korban tanpa harus melakukan phishing, memasang malware, atau mencuri perangkat.
Menanggapi insiden tersebut, CZ mengatakan tidak ada satu pun dompet kripto yang benar-benar aman.
"Bahkan hardware wallet pun bisa memiliki bug. Bahkan wallet yang sudah lama beredar dan memiliki rekam jejak panjang pun tetap bisa memiliki bug.
Bagaimana cara mengurangi risikonya? Mungkin dengan membagi aset ke beberapa wallet. Namun, cara ini juga memiliki risikonya sendiri. Tidak ada yang benar-benar 100% aman.
Tetap ikuti perkembangan informasi. Tetap SAFU!" tulis CZ melalui akun X miliknya, dikutip dari CoinMarketCap, Senin (3/8/2026).
Untuk diketahui, SAFU adalah istilah khas Binance (Secure Asset Fund for Users) yang sudah menjadi jargon di komunitas kripto.
Galaxy Research memperkirakan total kerugian akibat kasus Coldcard kini mencapai 1.367,05 BTC yang tersebar di 4.585 alamat Bitcoin.
Bug Firmware Jadi Awal Mula Masalah
Tim keamanan Bitcoin dari Block menemukan akar persoalan berasal dari kesalahan integrasi firmware yang diperkenalkan pada Maret 2021.
Kesalahan tersebut membuat sebagian perangkat Coldcard menggunakan generator cadangan (fallback) yang bersifat deterministik ketika membuat recovery seed, alih-alih selalu menggunakan generator angka acak khusus yang seharusnya menghasilkan seed sulit diprediksi.
Generator tersebut memanfaatkan identitas chip dan data waktu perangkat sehingga mempersempit jumlah kemungkinan recovery seed.
Peretas kemudian dapat membuat berbagai kemungkinan seed menggunakan komputer mereka sendiri, menghasilkan alamat Bitcoin yang sesuai, lalu membandingkannya dengan alamat yang memiliki saldo di blockchain.
Begitu ditemukan kecocokan, private key yang sesuai dapat digunakan untuk memindahkan Bitcoin milik korban.
Coinkite menyatakan recovery seed pada perangkat Coldcard Mk2 dan Mk3 yang dibuat menggunakan firmware versi 4.0.1 hingga 4.1.9 berpotensi memiliki tingkat entropi yang sangat lemah.
Sementara itu, seed yang dibuat pada perangkat Mk4, Mk5, dan Q sebelum pembaruan darurat juga disebut hanya memiliki sekitar 72 bit entropi, jauh di bawah target 128 bit.
Banyak Wallet Bisa Kurangi Risiko
Coinkite telah merilis pembaruan firmware untuk memperbaiki bug tersebut. Namun, pembaruan perangkat lunak tidak dapat memperkuat recovery seed lama yang sudah dibuat menggunakan firmware bermasalah.
Karena itu, pengguna disarankan memperbarui perangkat, membuat recovery seed baru, lalu memindahkan seluruh aset kripto ke alamat yang dikendalikan oleh private key baru.
CZ menilai penggunaan beberapa dompet kripto dapat menjadi salah satu cara mengurangi risiko apabila salah satu wallet mengalami gangguan keamanan.
Dengan membagi aset ke beberapa wallet yang memiliki recovery seed berbeda, kegagalan pada satu dompet tidak akan langsung membahayakan seluruh portofolio investor.
Namun, ia juga mengingatkan strategi tersebut memiliki tantangan tersendiri, seperti meningkatnya risiko kehilangan cadangan recovery seed, kesalahan saat proses pemulihan aset, hingga pengelolaan banyak perangkat sekaligus.
Selain menggunakan beberapa wallet, sistem multisignature juga dinilai dapat meningkatkan keamanan karena memerlukan lebih dari satu private key sebelum transaksi dapat dilakukan.