Dompet dingin juga tidak aman lagi: Kerentanan firmware Coldcard, serangan rantai pasokan Ledger—apakah BTC-mu benar-benar milikmu?
Kamu menghabiskan 1000 yuan untuk membeli dompet dingin, mengira asetmu aman tanpa cela. Dalam setahun, dua insiden memberitahumu—dompet dingin juga bisa menjadi bom waktu.
Bom pertama: Coldcard, kamu bahkan tidak pernah menyentuh perangkat, uang hilang.
Maret 2021, produsen dompet perangkat keras Kanada Coinkite memperkenalkan cacat fatal pada firmware Coldcard: saat perangkat menghasilkan mnemonic, tidak menggunakan chip angka acak perangkat keras asli, melainkan generator angka acak semu perangkat lunak. Singkatnya—apa yang kamu kira "acak" sebenarnya tidak acak. Penyerang tidak perlu menyentuh perangkatmu, bahkan tidak perlu kamu terhubung ke internet, mereka bisa secara matematis menebak mnemonic-mu secara massal.
Serangan pertama terjadi pada 30 Juli 2026. Dalam 25 menit, sekitar 594 BTC hilang dari 500 alamat. Itu baru permulaan. Kemudian terjadi setidaknya tiga gelombang serangan lagi, akhirnya lebih dari 1.816 BTC hilang dari lebih 5.200 alamat, kerugian sekitar 114 juta hingga 116 juta dolar AS.
Seorang pengguna mengatakan, Coldcard-nya tidak pernah terhubung ke internet, mnemonic-nya tidak pernah bocor, tapi asetnya tetap dicuri. Respon resmi Coinkite hanya satu kalimat: mnemonic yang dibuat sejak Maret 2021 dianggap sudah bocor. Memperbarui firmware tidak berguna—mnemonic yang sudah dibuat tidak pernah aman, kamu harus membuat mnemonic baru dan memindahkan aset.
Bom kedua: Ledger, perangkat yang kamu beli dari distributor mungkin sudah dimanipulasi.
9 Oktober, pengguna Ledger mengalami pencurian besar-besaran, kerugian lebih dari 86 juta dolar AS, melibatkan Ethereum, TRON, Bitcoin, dan ratusan dompet di berbagai blockchain. Korban memiliki kesamaan: semua membeli perangkat melalui distributor CryptoBilis di Asia Tenggara.
Mantan CEO Mt. Gox Mark Karpelès membuka sebuah Ledger dari Malaysia dan menemukan papan sirkuit tambahan di dalam perangkat, dengan modul LTE dan eSIM. Papan ini bisa membaca sinyal yang dikirim ke layar, menangkap mnemonic saat kamu menginisialisasi perangkat, lalu mengirimkannya melalui jaringan seluler.
Kamu kira itu "distributor resmi", tapi perangkat sudah dibongkar, dipasang ulang, dan dimanipulasi sejak keluar pabrik.
Sinyal yang lebih menyakitkan: asumsi keamanan seluruh infrastruktur DeFi sedang satu per satu dihancurkan.
Balancer kehilangan 128 juta dolar AS, Kelp DAO kehilangan 292 juta dolar AS, Stream Finance mengalami depeg pada synthetic USD xUSD, nilai total terkunci Aave turun dari 26 miliar menjadi 14,2 miliar dalam 5 hari. Dari protokol pinjam-meminjam hingga synthetic USD, dari bursa hingga dompet perangkat keras pribadi—setiap bagian yang kamu kira "aman" mengalami insiden tahun ini.
Apa yang harus kamu lakukan? Tiga hal, lakukan hari ini.
Pertama, beli dompet perangkat keras melalui saluran resmi. Jangan tergiur harga murah lewat distributor, jangan beli dari pihak ketiga. Insiden Ledger sudah memberitahumu, serangan rantai pasokan bersembunyi di balik kata "distributor resmi".
Kedua, pengguna Coldcard harus segera memeriksa. Jika kamu membuat mnemonic di Coldcard setelah Maret 2021, buat dompet baru hari ini dan pindahkan asetmu. Mnemonic lama tidak pernah aman.
Ketiga, gunakan multisig untuk aset besar. Dompet tanda tangan tunggal adalah target utama serangan Coldcard. Gunakan multisig 2-dari-3 dengan Trezor Safe 7, Ledger Nano, dan kunci pemulihan Casa, jika satu perangkat bermasalah, asetmu tetap aman. Jangan taruh semua telur dalam satu keranjang—apalagi jangan serahkan kunci privat ke satu perangkat.
1011 mengajarkan kita bahwa leverage bisa membunuh. Tahun ini mengajarkan kita—bahkan dompet dingin pun bisa mengkhianatimu.
Di pasar ini, satu-satunya musuh keamanan adalah keberuntunganmu.
$BTC$ETH$ZEC#Ledger确认一台涉事设备遭硬件植入
Penafian: Konten OKX Orbit ini hanya disediakan untuk tujuan informasi. Selengkapnya
Balasan
Belum ada komentar. Jadilah yang pertama membalas!
