Para pengembang sukarela mencatat 4.962 temuan keamanan dari 390 proyek Bitcoin dalam waktu sekitar 30 jam. Dari 391 basis kode yang mereka periksa, hanya satu yang benar-benar bersih.
Kelompok ini menamakan diri mereka sebagai Bitcoin Red Team. Tim tersebut mengklasifikasikan 720 dari temuan itu sebagai tingkat tinggi atau kritis. Hanya 147 temuan yang sudah sampai ke pengelola proyek yang harus memperbaikinya.
Setiap 1 dari 7 Temuan Termasuk Serius
Pembagian tingkat keparahan temuan lebih sempit dibandingkan jumlah totalnya. Para peninjau mencatat 85 temuan kritis serta 635 temuan tingkat tinggi.
Persentasenya mencapai 14,5% dari seluruh temuan yang tercatat. Sisanya berada di kategori sedang, rendah, ataupun hanya sebagai informasi. Ada juga 246 temuan lain yang belum mendapat label tingkat keparahan.
Kualitas bukti juga beragam. Sekitar 21,4% disertai dengan kode proof-of-concept yang berfungsi. Kira-kira 91% masuk lewat pemindaian otomatis. Peninjau menghapus hanya delapan temuan karena dianggap false positive.
Ikuti kami di X untuk menerima berita terbaru secara langsung
Satu Jam Menghasilkan 83% Temuan
Konteks durasi 30 jam ini perlu penjelasan tambahan. Dalam satu jam saja, ada sebanyak 4.101 temuan yang tercatat. Lonjakan ini terjadi sebagai proses pengisian data, bukan dari pemindaian live. Rob Hamilton, CEO dari perusahaan asuransi Bitcoin, AnchorWatch, melakukan peninjauan sendiri sebelum kampanye resmi dimulai.
Ia mengatakan bahwa ia menghabiskan lebih dari US$10.000 untuk memindai lebih dari 100 pustaka.
Jika temuan massal itu dihilangkan, kecepatan berubah drastis. Sekitar 840 temuan masuk selama 29 jam berikutnya. Jumlah itu sekitar 29 temuan per jam, bukan 166,3 seperti yang dicantumkan dalam laporan.
Data Menunjukkan Fokus Bukan pada Hardware Wallet
Pembagian berdasarkan kategori membawa hasil yang tak terduga. Hardware wallet dan firmware, kelompok tempat Coldcard berada, menempati posisi kedua terendah untuk temuan cacat serius dengan 9,6%.
Bagian lain justru lebih buruk. Mining pool terkena angka 21,7%, infrastruktur dan tooling sebesar 21,5%, sedangkan swaps dan exchange mencapai 20,9%. Alat privasi tercatat paling tinggi pada 24%, walau peninjau hanya melihat tiga jenis alat tersebut.
Crypto library justru menyumbang jumlah terbesar. Tercatat ada 1.385 temuan dari 128 proyek, lebih dari seperempat seluruh data yang ada.
Calle, fisikawan pseudonim pembuat protokol ecash Cashu, mengungkapkan para pengelola proyek sedang mengonfirmasi laporan terburuk.
“Sebagian besar laporan kritis yang sudah kami buat sejauh ini dengan cepat diverifikasi oleh pemilik proyek. Kami tahu bahwa kami benar-benar mengenai target sebenarnya,” mereka tulis.
Mengapa Red Team Terbentuk Setelah Kasus Coldcard
Pemeriksaan besar-besaran ini terjadi karena satu chip yang bermasalah. Coinkite membeberkan pada 30 Juli bahwa pembuatan seed pada perangkat Coldcard yang terdampak kembali pada pola perangkat lunak yang mudah diprediksi.
Kekurangannya sangat fatal. Hanya 32 bit yang dihasilkan dari secure element, sehingga penyerang hanya perlu menebak sekitar 4,3 miliar kemungkinan.
Galaxy Research memperkirakan pencurian sudah terjadi sebanyak 1.596 Bitcoin (BTC) dari sekitar 7.300 alamat per 4 Agustus. Diduga adanya serangan gelombang keempat akan membuat total kerugian mendekati US$130 juta. Galaxy menekankan bahwa daftar alamat yang mereka punya belum pasti final.
Panik tersebut juga terlihat di on-chain, ketika jumlah alamat aktif melonjak ke titik tertinggi dalam 20 bulan. Holder asal Korea Selatan sebagian besar selamat karena di sana penggunaan seed berbasis dadu sudah menjadi hal umum.
Masalah lemahnya angka acak terus muncul di jaringan Bitcoin. Pada 2023, bug Milk Sad menyebabkan kunci Libbitcoin Explorer berasal dari 32 bit waktu jam. Di bulan Mei, kerentanan Ill Bloom menguras US$5,7 juta dari wallet yang dibangun dengan generator JavaScript yang lemah.
Pendanaan Menyusul Setelah Temuan
OpenSats, lembaga nonprofit yang mendanai pengembangan Bitcoin, meluncurkan jalur hibah Code RED pada hari Kamis. Inisiatif ini memberikan kompensasi kepada peneliti yang melaporkan celah. Selain itu, OpenSats juga mengganti biaya tagihan artificial intelligence (AI) yang digunakan dalam proses tersebut.
Sementara itu, Bitcoin diperdagangkan di kisaran US$64.396 pada hari Kamis, naik 0,5% dalam 24 jam terakhir. Audit ini tidak mempengaruhi pasar.
Konteks tetap penting untuk angka mentah ini. Temuan tersebut bukan eksploitasi yang sudah dikonfirmasi, dan sebagian besar tidak akan pernah dimanfaatkan.
Dari bukti yang ada sejauh ini, Coldcard bukan satu-satunya kasus kegagalan. Data juga menunjukkan insiden berikutnya sepertinya bukan berasal dari hardware wallet.
