Peretasan Coldcard sebesar US$116 juta mengguncang para holder Bitcoin pekan lalu. Eksekutif keamanan utama Ledger menilai pemberitaan tersebut benar-benar salah arah.
Saat berbicara kepada Bloomberg, Ian Rogers, Chief Human Agency Officer Ledger, menuturkan bahwa serangan itu bukan bukti self-custody atau hardware wallet berisiko pada dasarnya. Menurutnya, inti persoalan sebenarnya adalah bagaimana AI memudahkan penyerang untuk menembus sistem yang dibangun di atas randomness yang lemah.
Mengapa Ledger Tidak Terkena Dampak
Celah pada Coldcard ini bersumber dari bug firmware tahun 2021 yang mengalihkan proses pembuatan seed ke generator angka acak semu perangkat lunak, bukan chip hardware milik perangkat tersebut.
Hal ini hanya menghasilkan entropy sekitar 40 hingga 72 bit, sehingga ruang alamatnya cukup kecil untuk dipindai secara sistematis oleh penyerang berbasis AI dan menemukan private key. TRM Labs menemukan 1.082 BTC telah terkuras dalam penyisiran gelombang pertama yang berlangsung 41 menit pada 30 Juli.
Ledger, papar Rogers kepada Bloomberg, menghasilkan entropy sepenuhnya lewat hardware, menggunakan chip bersertifikasi aman tanpa fallback perangkat lunak. Ia mengibaratkan ruang alamat yang dihasilkan sebagai “angka tiga diikuti 67 nol.” Tak ada penyerang yang bisa brute-force sistem ini.
Ledger sendiri bukan pertama kali menemukan kelemahan semacam ini. Pada 2022, perusahaan juga mengidentifikasi bug serupa di Trust Wallet dan segera melakukan pengungkapan secara bertanggung jawab agar pengguna bisa memindahkan dana ke tempat aman. Liputan BeInCrypto mengenai gelombang pencurian Coldcard yang terus terjadi menunjukkan betapa cepat dan sistematis aksi eksploitasi tersebut setelah celah keamanan diketahui.
3 Cara AI Mengubah Ancaman
Rogers memaparkan tiga ancaman utama yang saling memperparah.
Pertama, AI memberi penyerang lebih banyak kekuatan untuk menemukan celah di sistem mana pun, bukan hanya di aset kripto. Ia mencontohkan serangan ke infrastruktur air di AS sebagai bagian dari tren yang sama, sebab alat yang dipakai bersifat umum.
Kedua, pengembangan yang didukung AI membuat lebih banyak kode dikirimkan lebih cepat ke seluruh industri, sehingga permukaan serangan semakin luas bagi semua pihak. BeInCrypto melaporkan bagaimana eksploitasi smart contract berbasis AI kini melampaui kemampuan deteksi alat yang ada.
Ketiga—di sinilah Rogers melampaui sekadar kasus Coldcard—perusahaan kini menerapkan agen-agen yang bisa mengakses rahasia internal seperti email, Slack, dan kredensial. Bloomberg menggambarkan insiden Coldcard sebagai masalah hardware, sedangkan Rogers menilainya sebagai sinyal awal dari masalah keamanan yang jauh lebih luas di era AI.
Ancaman Agen yang Diingatkan oleh Rogers
Pada akhir tahun lalu, Rogers menggambarkan masa depan di mana orang-orang menyerahkan password, kartu kredit, dan identitas mereka ke agen AI sebagai risiko berbahaya yang tak dikelola. Hanya sedikit yang benar-benar memahami maksudnya pada saat itu. Kini masyarakat mulai paham.
Ia menganalogikan hubungan antara agen AI dan rahasia seperti hubungan remaja dan kunci mobil. Kunci tidak ditaruh di kamar remaja. Orang tua memutuskan kapan akses itu boleh diberikan, tergantung konteks. Mengendarai ke sekolah di Senin pagi boleh saja, tapi Jumat malam selepas pesta jelas tidak. Rogers menegaskan, logika yang sama juga perlu mengatur kapan pun agen boleh mengakses sesuatu.
Ledger saat ini sudah menyediakan alat yang memungkinkan agen memegang wallet tanpa harus menyimpan private key. Prinsipnya sama seperti prinsip hardware security sejak awal: perlindungan harus hadir lewat rancangan, bukan sekadar kebijakan.
Di manapun aset Anda disimpan, Anda sebaiknya memperhatikan seberapa tinggi tingkat keamanan yang melindunginya.
ucap Rogers kepada Bloomberg.
