Bug pembuatan seed Coldcard: BTC senilai 100 juta USD+ dicuri dari ribuan dompet

Cacat pembuatan seed Coldcard tidak terlihat selama bertahun-tahun, meskipun pengguna dapat memeriksa firmware publik. Penelitian kemudian menelusuri masalah tersebut ke perubahan firmware Maret 2021 (v4.0.0) yang memakai generator acak yang lebih lemah saat pembuatan frasa seed, alih-alih sumber entropi perangkat keras khusus yang seharusnya. Para penyelidik melaporkan pencurian sekitar 1.596–1.816 BTC (lebih dari $100 juta) dari kira-kira 5.200–7.300 alamat. Coinkite mengatakan beberapa model yang terdampak memiliki entropi sekitar ~72 bit dibandingkan yang ditargetkan 128 bit, sehingga ruang pencarian seed menyusut drastis. Tim keamanan Block menyatakan jalur pembangkitan acak yang terdampak tidak menghasilkan kerandoman yang aman. Coinkite telah merilis firmware yang diperbaiki untuk model Coldcard yang terdampak, tetapi pembaruan tidak “meningkatkan” frasa pemulihan yang sudah ada. Pengguna yang terdampak harus memasang patch, membuat seed baru, dan memindahkan dana ke alamat yang diturunkan dari seed yang sudah dikoreksi. James O’Beirne menandai masalah kerandoman setelah audit pada Mei 2025, dan menelusurinya ke libngu. Bagi para trader, kelemahan pembuatan seed Coldcard ini memperkuat risiko pihak lawan/perusahaan manufaktur dalam konteks self-custody pada tahap pembuatan kunci. Ini merupakan pukulan reputasi dan operasional terhadap kepercayaan pada dompet perangkat keras, tetapi kejadian ini kemungkinan tidak mengubah fundamental inti BTC.