🚨⚠️[NEWS][COLDCARD USER] 600 BTC++ sudah di curi karena Bug Firmware

[ryzaadit]

Diduga sesuai riet tersebut, CTO @Coinkite sendiri yang menulis kode bermasalah tersebut dengan menyamar sebagai orang lain.
Dia juga punya latar belakang sebagai pembuat USB keylogger, KVM switch, dan kemungkinan bekerja sama dengan pemerintah AS melalui perusahaan lain.

Saya agak penasaran, dari investigasi² yang dilakukan secara independen. Apakah hal ini bakal bikin semacam triger untuk otoritas setempat melakukan aksi investigasi terhadap Coinkite ?

Kalau kita cek, Coinkite ini perusahaan yang berasal dari Toronto, Ontario yaitu Kanada. Saya search mengenai "Dasar hukum Kanada terkait perangkat device bermasalah skala internasional"
Ada beberapa hal menarik yang diberikan:

• Canada Consumer Product Safety Act (CCPSA)
• Ontario Sale of Goods Act
• Ontario Consumer Protection Act, 2002

Masalah isi, dll terkait hukum diatas. Tolong jangan tanya saya, soalnya bukan pakar hukum

Ini mungkin bisa dijadikan landasan semacam Class Action. Saya search di Internet, terkait Class Action yang dilayangkan kepada Coinkite dan mendapatkan berita: https://news.bitcoin.com/regulation-and-legal/coinkite-faces-class-action-threat-as-bitcoin-wallet-bug-costs-users-over-1300-btc/

Salah satu user X Thomas Braziel dengan username @Bkclaims melakukan class action terhadap Coinkite untuk pengguna COLDCARD yang terkena musibah ini.


Dia memberikan update terkait Class Action-nya yaitu: https://x.com/Bkclaims/status/2084307749517553684

Cuman ada hal yang membuat agak sedikit hati-hati dengan orang ini, yaitu dia ada histori kasus: https://x.com/L0laL33tz/status/2084371489810423846.

Jadi bisa ajh, semacam orang yang coba untuk ngambil keuntungan dari musibah COLDCARD ini. Agak sedikit hati-hati, untuk saat ini masih belum nemu Class Action terhadap Coinkite dari orang yang berbeda. Semoga sih ada Class Action kepada Coinkite karna masuk ke perlindungan konsumen. Walau saya yakin korban² tidak akan mendapatkan ganti rugi palingan Coinkite harus membayar Denda kepada pemerintah Kanada, tapi Coinkite juga harus bisa merasakan kerugian gak cuman dari segi kepercayaan terhadap device mereka tapi juga harus merasakan kerugian finansial dari kasus ini.

[Chikito]

Kesimpulannya, Diduga sesuai riet tersebut, CTO @Coinkite sendiri yang menulis kode bermasalah tersebut dengan menyamar sebagai orang lain.
Dia juga punya latar belakang sebagai pembuat USB keylogger, KVM switch, dan kemungkinan bekerja sama dengan pemerintah AS melalui perusahaan lain.

Hal ini bisa kita jadikan warning ke depannya untuk tidak menggunakan wallet begitu saja. Kalau permasalahannya wallet itu sendiri: bukan karena kesalahan human kayak wallet2 lama yang sudah banyak dipakai (kayak electrum, trezor, ledger, dll) artinya tidak ada keprofesionalan dalam pekerjaan. dkbit98 sendiri pernah bikin thread khusus mengenai ini pada tahun 2024 lalu: nvK c0inkite c0ldacrd is Anti-OpenSource nutcase Ini wallet source-nya tertutup, dan ada "sesuatu" yang bikin kita kehilangan btc. Jadi ya, setidaknya kita perlu waspada jika hendak menggunakan wallet2 keluaran terbaru.

Memantau forum ini juga wajib, dan harus tahu wallet2 apa saja yang kredible dipakai. Selama ini ya saya hanya pakai wallet keluaran lama yang dibikin oleh member sini, tentunya bitcoin core, electrum, trezor dan ledger. Karena semua wallet tersebut saya anggap aman, kalau pun ada yang kehilangan, diakibatkan error pengguna, bukan sistem wallet itu sendiri.

[taufik123]

-snip-
Semoga sih ada Class Action kepada Coinkite karna masuk ke perlindungan konsumen. Walau saya yakin korban² tidak akan mendapatkan ganti rugi palingan Coinkite harus membayar Denda kepada pemerintah Kanada, tapi Coinkite juga harus bisa merasakan kerugian gak cuman dari segi kepercayaan terhadap device mereka tapi juga harus merasakan kerugian finansial dari kasus ini.

Sampai sekarang masih belum jels bagaimana Proses Class action yang dilakukan, apakah Konsumen ebnar-benar membuatnya atau mereka tidak melakukan gugatan apapun.
Tapi Coinkite seharusnya melakukan tindakan yang berguna, bukan hanya Nontonin doang, Update Firmware juga gak becus, dan yaa sapa juga yang mau pakek Coldcard lagi kalo gini.
PAdahal ini berita peretasan yang paling besar, Tapi sekan-akan tidak ada tindakan apapun dari pihak berwajib.
Malah masih jualan dengan diskon 10%, Pengguna yang kehilangan sampai pusing mikir tabungan masa depan mereka.

-snip-
Memantau forum ini juga wajib, dan harus tahu wallet2 apa saja yang kredible dipakai. Selama ini ya saya hanya pakai wallet keluaran lama yang dibikin oleh member sini, tentunya bitcoin core, electrum, trezor dan ledger. Karena semua wallet tersebut saya anggap aman, kalau pun ada yang kehilangan, diakibatkan error pengguna, bukan sistem wallet itu sendiri.

Sampai sekarang masih setia dengan Electrum sebagai wallet utama, Tapi juga mencoba di beberapa wallet Bitcoin seperti Unisat yang cukup bagus juga.
Untuk HW saya maish jadi pengguna Safepal dan sampai sekarang masih aman-aman saja, meskipun gak ada jaminan aman terus.
Sekarang nyimpan aset di HW sudah punya stigma negatif karna Coldcard, HW device memang aman, tapi Firmwarenya yang perlu waspadai, jangan sampai ada bug yang merugikan seperti sekarang.

[Chikito]

-snip-
Memantau forum ini juga wajib, dan harus tahu wallet2 apa saja yang kredible dipakai. Selama ini ya saya hanya pakai wallet keluaran lama yang dibikin oleh member sini, tentunya bitcoin core, electrum, trezor dan ledger. Karena semua wallet tersebut saya anggap aman, kalau pun ada yang kehilangan, diakibatkan error pengguna, bukan sistem wallet itu sendiri.

Sampai sekarang masih setia dengan Electrum sebagai wallet utama, Tapi juga mencoba di beberapa wallet Bitcoin seperti Unisat yang cukup bagus juga.
Untuk HW saya maish jadi pengguna Safepal dan sampai sekarang masih aman-aman saja, meskipun gak ada jaminan aman terus.
Sekarang nyimpan aset di HW sudah punya stigma negatif karna Coldcard, HW device memang aman, tapi Firmwarenya yang perlu waspadai, jangan sampai ada bug yang merugikan seperti sekarang.

Ya, lebih baik kita mengikuti penggunanya secara default saja, ikuti SOP sebuah wallet dan tidak melenceng dari petunjuk. Misal kayak Trezor kan dulu ada firmware bernama bitcoin wallte only, saya sempat ragu mau upgrade firmware ke sana atau secara default. Tapi karena saya memang tertarik, saya baca2 dulu source sodenya digithub, dan ngulik source nya secara intens sehingga dirasa aman baru saya upgrade, dan btc saya masih aman sampe sekarang. Tapi ya masih ragu (misal ada update firmware) kalau tidak urgen, lebih baik tidak diapa-apain, tetap gunakan firmware lama.

Kalau pun mau upgrade, tunggu dulu sampai benar-benar aman. Misal nih, Electrum kan sekarang sudah versi 4.8.1. Jangan dulu diupdate sampai benar-benar aman. Saat ini pun saya masih pakai versi 4.7, belum update ke 4.8. Berbulan-bulan masih aman saya pakai untuk transaksi dari hasil signature.

[retreat]

Sampai sekarang masih belum jels bagaimana Proses Class action yang dilakukan, apakah Konsumen ebnar-benar membuatnya atau mereka tidak melakukan gugatan apapun.
Tapi Coinkite seharusnya melakukan tindakan yang berguna, bukan hanya Nontonin doang, Update Firmware juga gak becus, dan yaa sapa juga yang mau pakek Coldcard lagi kalo gini.
PAdahal ini berita peretasan yang paling besar, Tapi sekan-akan tidak ada tindakan apapun dari pihak berwajib.
Malah masih jualan dengan diskon 10%, Pengguna yang kehilangan sampai pusing mikir tabungan masa depan mereka.

Agak disayangkan perusahaan sebesar itu responnya terhadap masalah ini sangat minim, bahkan dari yang kelihatannya seperti berusaha  cuci tangan dari kasus ini. Padahal harusnya mereka bertanggung jawab penuh atas kelalaian yang mereka perbuat, dengan ganti rugi kepada para korban dan biar perlu juga perusahaannya harusnya ditutup, karena tidak ada lagi yang perlu dipercaya dari Coldcard ini. Meskipun mereka mengklaim kalau sudah mengambil tindakan yang diperlukan untuk mencegah hal serupa, tapi tetap saja itu tidak menjamin kalau kejadian seperti ini tidak akan terulang lagi.

Tapi kalau masih ada yang tetap beli perangkat Coldcard, mungkin masih kemakan sama klaim mereka dan "diskon 10%" di halaman store mereka. Itu parah banget sih level tololnya.

[taufik123]

Kalau pun mau upgrade, tunggu dulu sampai benar-benar aman. Misal nih, Electrum kan sekarang sudah versi 4.8.1. Jangan dulu diupdate sampai benar-benar aman. Saat ini pun saya masih pakai versi 4.7, belum update ke 4.8. Berbulan-bulan masih aman saya pakai untuk transaksi dari hasil signature.

Nunggu benar-benar stabil dan aman, kalo gak ada laporan Bug dan semacamnya baru Upgrade.
Apalagi kalo ada versi beta, biasanya masih belum benar-benar fix dan ditujukan untuk pengguna awal yang biasanya cari bug dan beberapa celah yang mungkin ada.

Agak disayangkan perusahaan sebesar itu responnya terhadap masalah ini sangat minim, bahkan dari yang kelihatannya seperti berusaha  cuci tangan dari kasus ini. Padahal harusnya mereka bertanggung jawab penuh atas kelalaian yang mereka perbuat, dengan ganti rugi kepada para korban dan biar perlu juga perusahaannya harusnya ditutup, karena tidak ada lagi yang perlu dipercaya dari Coldcard ini. Meskipun mereka mengklaim kalau sudah mengambil tindakan yang diperlukan untuk mencegah hal serupa, tapi tetap saja itu tidak menjamin kalau kejadian seperti ini tidak akan terulang lagi.

Tapi kalau masih ada yang tetap beli perangkat Coldcard, mungkin masih kemakan sama klaim mereka dan "diskon 10%" di halaman store mereka. Itu parah banget sih level tololnya.

Conkite itu berlindung pada kata-kata Self-Custody karena mereka menganggap tidak mengelola dan memegang dana apapun.
Jadi merasa gak harus mengganti kerugian pengguna, Sampai sekarangpun gak ada update soal ganti rugi dan mereka juga pasti bangkrut.

Kerugian  $114 juta atau sekitar 8 Miliar cuma di ganti dengan kata maaf.
Dan beberapa pembaruan katanya sudah dilakukan, Tapi siapa juga yang mau pakek HW cacat lagi?

https://pluang.com/news-feed/pembaruan-firmware-coldcard-minta-pengguna-pindahkan-bitcoin

Bentuk tanggung jawab yang dilakukan Conkite cuman:
- Pembaruan Keamanan (Patching)
- Penghentian Produk Cacat ( produk sampah )
- Imbauan Evakuasi Dana ( LOL )

[Husna QA]

—snip—

Bentuk tanggung jawab yang dilakukan Conkite cuman:
- Pembaruan Keamanan (Patching)
- Penghentian Produk Cacat ( produk sampah )
- Imbauan Evakuasi Dana ( LOL )

Tidak mungkin juga mereka mengganti rugi bahkan hingga ribuan BTC yang diretas dari banyak user ColdCard.
Termasuk akan sulit juga menentukan user mana yang benar-benar diretas dan mana yang hanya klaim palsu untuk memanfaatkan situasi tersebut kalaupun ada program untuk kompensasi terhadap pengguna ColdCard yang terkena masalah, terlebih yang membeli ColdCard juga pastinya tidak semua langsung dari situs resminya.

Berbeda kasusnya kalau yang diretas adalah exchange (terutama CEX yang menerapkan KYC), karena mereka tentunya memiliki data konsumennya, kalaupun ada kompensasi penggantian aset kripto.

[taufik123]

Tidak mungkin juga mereka mengganti rugi bahkan hingga ribuan BTC yang diretas dari banyak user ColdCard.
Termasuk akan sulit juga menentukan user mana yang benar-benar diretas dan mana yang hanya klaim palsu untuk memanfaatkan situasi tersebut kalaupun ada program untuk kompensasi terhadap pengguna ColdCard yang terkena masalah, terlebih yang membeli ColdCard juga pastinya tidak semua langsung dari situs resminya.

Berbeda kasusnya kalau yang diretas adalah exchange (terutama CEX yang menerapkan KYC), karena mereka tentunya memiliki data konsumennya, kalaupun ada kompensasi penggantian aset kripto.

Tapi untuk kompenasi apapun masih belum jelas arahnya kemana, Malah terlihat kasus ini hilang begitu saja.
Entah ada yang ajuin banding atau enggak, Tapi beberapa korban sudah mulai menyuarakan untuk minta ganti rugi atau minimal ada kompensasi yang jelas.
Karena sepenuhnya ini kesalahan dari pihak developer.

Meskipun HW Coldcrad ini Self Custody Tapi setidaknya butuh perhatian untuk penggunanya yang kehilangan banyak aset BTC untuk tabungan hidup mereka.
Ledger aja yang pernah.

Jika merujuk pada Tos Coldcard ganti ruginya cuman dikit banget, Cuman di ganti harga pembelian HW Coldcard, LOL

"Berdasarkan Ketentuan Layanan (Terms of Service) resmi Coinkite, perangkat disediakan dengan asas "as is" (apa adanya).
Secara hukum tertulis, Coinkite menyatakan tidak bertanggung jawab atas kehilangan dana akibat kegagalan sistem keamanan
dan membatasi tanggung jawab finansial mereka maksimal hanya sebatas mengembalikan harga pembelian fisik alat Coldcard-nya saja (sekitar $125–$150)."

https://www.reddit.com/r/Bitcoin/comments/1vkvi2b/doesnt_cold_card_have_to_pay_out_now/

Tapi secara moral gak bisa itu sih, tetep harus ada tanggung jawab yang jelas, karena yang ilang bukan ratusan ribu dolar, tapi jutaan dolar.
Seperti Ledger yang pernah di retas lewat Ledger Connect Kit (Desember 2023)  yang menguras dana pengguna ledger hingga $600k, Tapi secara berkomitmen dan karena moral Ledger mengganti semuanya.
Ini adalah ganti rugi secara sukarela untuk menjaga reputasi ledger biar tidak di jauhi penggunanya.

[salad daging]

Tidak mungkin juga mereka mengganti rugi bahkan hingga ribuan BTC yang diretas dari banyak user ColdCard.
Termasuk akan sulit juga menentukan user mana yang benar-benar diretas dan mana yang hanya klaim palsu untuk memanfaatkan situasi tersebut kalaupun ada program untuk kompensasi terhadap pengguna ColdCard yang terkena masalah, terlebih yang membeli ColdCard juga pastinya tidak semua langsung dari situs resminya.

Bagaimana dengan cara menandatangani pesan bitcoin dompet mereka, apakah ini bisa menentukan user mana saja yang kena dampak hack? Saya tidak tahu apakah dengan cara ini akan mudah mengidentifikasi nya mengingat alamat korban yang terdampak itu sekitar 8600 alamat menurut Galaxy Research pasti akan membutuhkan usaha dan waktu banyak menentukan alamat yang valid kena hack.

Sangat sulit juga sih alamat bitcoin mana yang di hasilkan oleh Coldcard, ini sulit di verifikasi kayak nya.

Tapi secara moral gak bisa itu sih, tetep harus ada tanggung jawab yang jelas, karena yang ilang bukan ratusan ribu dolar, tapi jutaan dolar.
Seperti Ledger yang pernah di retas lewat Ledger Connect Kit (Desember 2023)  yang menguras dana pengguna ledger hingga $600k, Tapi secara berkomitmen dan karena moral Ledger mengganti semuanya.
Ini adalah ganti rugi secara sukarela untuk menjaga reputasi ledger biar tidak di jauhi penggunanya.

Kalau sudah ada ToS seperti di atas sekalipun pengguna Coldcard kehilangan $10,000 pun tidak akan di ganti, komitmen mereka hanya mampu mengganti HW nya aja sedangkan dana nya tidak.
Apalagi ini adalah hilang di atas $100 juta, jangan berharap kompensasi karena itu semua tidak mungkin akan di penuhi, meskipun secara moral harus nya ColdCard bisa ganti, tapi duit nya dari mana
Reputasi nya sekarang sudah buruk, tidak di percaya custumers lagi, dalam 2-3 tahun penjualan HW ColdCord bisa merosot tajam.

[ryzaadit]

Tapi untuk kompenasi apapun masih belum jelas arahnya kemana, Malah terlihat kasus ini hilang begitu saja.
Entah ada yang ajuin banding atau enggak, Tapi beberapa korban sudah mulai menyuarakan untuk minta ganti rugi atau minimal ada kompensasi yang jelas.
Karena sepenuhnya ini kesalahan dari pihak developer.
-snip

Tidak bakal ada ganti rugi om dari CoinKite, gak kuat. Paling banter yah bayar denda, atau mereka memakai opsi melakukan deklarasi kebangkrutan.

Bagaimana dengan cara menandatangani pesan bitcoin dompet mereka, apakah ini bisa menentukan user mana saja yang kena dampak hack? Saya tidak tahu apakah dengan cara ini akan mudah mengidentifikasi nya mengingat alamat korban yang terdampak itu sekitar 8600 alamat menurut Galaxy Research pasti akan membutuhkan usaha dan waktu banyak menentukan alamat yang valid kena hack.
~snip~

Memang perlu banyak metode, dan berbagai macam opsi. Sign-message doang pun memang tak cukup buat mengidentifikasi bahwa agan adalah pemilik murni address tersebut. Kalau dari opini saya pribadi, diharuskan berbagai macam metode kualifikasi dikarenakan semua orang bisa saja memiliki address yang terdampak. Tapi masing-masing bisa membuktikan dengan cara pihak mana yang memiliki klaim paling kuat dengan cara:

• Memiliki address yang terkena sweeps tentunya untuk tahap awal.
• Memiliki device yang terdampak. Beberapa informasi seperti; pembelian device, serial number, firmware update dan beberapa faktor lainnya yang berkaitan dengan device tersebut.
• Sign-message dari transaksi sebelumnya juga bisa dipakai sebagai metode kualifikasi:
• • Jika BTC disimpan dari pembelian exchange, bisa memberikan bukti penarik dari exchange yang digunakan.
  • Jika BTC disimpan dari hasil mining, bisa memberikan histori dari pools mining yang digunakan.
  • Jika BTC disimpan dari pengiriman address/wallet yang pribadi, bisa melakukan sign-message dari address tersebut.

CoinKite tidak ada kemampuan untuk bayar ganti rugi, cuman pelaporan diwajibkan agar sewaktu-waktu di masa mendatang otoritas setempat mendapatkan pelaku dan berhasil menyita BTC curian.

Saya harap juga apabila hal itu terjadi, pengadilan memutuskan bahwa BTC tersebut hasil stolen/forfeitable property. Sehingga bisa jadi korban-korban mendapatkan kesempatan untuk mendapatkan setidaknya sebagian BTC mereka yang dicuri dari hasil penangkapan tersebut dengan cara kompensasi korban, restitusi. Bakal sangat bikin masalah banget apabila tidak ada klaim atau korban yang teridentifikasi, karena dana tersebut bisa saja bakal diambil oleh otoritas negara yang melakukan penangkapan tersebut.

Makanya penting banget buat korban-korban ini melakukan pelaporan sekarang atau sebagai tahap awal.


Salah satu otoritas yang memang memiliki resource paling tinggi yaitu pastinya US dengan lembaga mereka DOJ (Department of Justice). Mereka sejak tahun 2000 telah melakukan restitusi kepada pihak korban dengan total mencapai 13$ miliar ^{Source:Victim Program}.

Contoh beberapa kasus pengembalian dari Department of Justice untuk para korban-korban:

• 2022: 12.16 BTC dari penipuan yang mengatasnamakan pemerintah ^{U.S. Attorney Dena J. King Announces The Successful Forfeiture And Return Of Stolen Cryptocurrency To Elderly Man Victimized By Government Imposter Scam}
• 2025: $680,000 + 480.996 BNB dari SafeMoon exploitasi ^{United States returns over $680,000 in stolen cryptocurrency using civil asset forfeiture}
• 2026: $470,735 Korban dari penipuan investasi ^{Department of Justice to Return $470,735 to Victims of Cryptocurrency Investment Scheme}

Walau kemungkinan kecil, tak ada salahnya tuk mencoba untuk sekarang melakukan pelaporan.

[taufik123]

Kalau sudah ada ToS seperti di atas sekalipun pengguna Coldcard kehilangan $10,000 pun tidak akan di ganti, komitmen mereka hanya mampu mengganti HW nya aja sedangkan dana nya tidak.
Apalagi ini adalah hilang di atas $100 juta, jangan berharap kompensasi karena itu semua tidak mungkin akan di penuhi, meskipun secara moral harus nya ColdCard bisa ganti, tapi duit nya dari mana
Reputasi nya sekarang sudah buruk, tidak di percaya custumers lagi, dalam 2-3 tahun penjualan HW ColdCord bisa merosot tajam.

Gak usah nunggu 2-3 tahun, sekarang aja penjualannya tentu merosot dan banyak yang menghindari HW Coldcard ini karena emang rentan dan pengguna takut keulang lagi.
Karena kompensasi yang juga belum jelas, reputasinya juga sudah sangat buruk dan akhirnya gulung tikar aja solusinya.

Tidak bakal ada ganti rugi om dari CoinKite, gak kuat. Paling banter yah bayar denda, atau mereka memakai opsi melakukan deklarasi kebangkrutan.

ini paling bener, di umumin aja kalo udah bangkrut daripada banyak yang berharap diganti Tapi ujung-ujungnya banyak yang kecewa.
Tapi tentu harus ada investigasi yang jelas sebenarnya siapa dalang dibalik peretasan ini.
Kalo kasus besar seperti ini tiba-tiba ilang dan gak ada tindak lanjut, pengguna yang terdampak berhak melakukan tuntutan apapun.

Contoh beberapa kasus pengembalian dari Department of Justice untuk para korban-korban:

• 2022: 12.16 BTC dari penipuan yang mengatasnamakan pemerintah ^{U.S. Attorney Dena J. King Announces The Successful Forfeiture And Return Of Stolen Cryptocurrency To Elderly Man Victimized By Government Imposter Scam}
• 2025: $680,000 + 480.996 BNB dari SafeMoon exploitasi ^{United States returns over $680,000 in stolen cryptocurrency using civil asset forfeiture}
• 2026: $470,735 Korban dari penipuan investasi ^{Department of Justice to Return $470,735 to Victims of Cryptocurrency Investment Scheme}

Walau kemungkinan kecil, tak ada salahnya tuk mencoba untuk sekarang melakukan pelaporan.

Mungkin dengan pelaporan seperti ini bisa ada titik terang, Meskipun dibandingkan dengan kasus Coldcard yang penggunanya kehilangan total lebih dari $100 Juta,
contoh kasus tersebut masih dibawah jumlah kehilangan pengguna Coldcard.
Ya semoga saja yang terdampak bisa ngajuin pelaporan tersebut dan bisa dapet pengembalian dari Department of Justice.

[AakZaki]

Ya semoga saja yang terdampak bisa ngajuin pelaporan tersebut dan bisa dapet pengembalian dari Department of Justice.

Syuulit dan setidaknya tidak dalam Waktu dekat, masalahnya BTC yang kena hack belum juga bergerak dari alamat si hackel. pihak otoritas mau nangkep siapa terus dan Department of Justice mau mengembalikan dari uangya siapa kalo hackernya belum di tangkep?

Saya rasa prosesnya akan berjalan lama, sekalipun pihak otoritas mengupayakan pencariannya, kalo BTC nya tidak keluar dari alamat si hackel itu akan jadi jalan buntu. Kecuali BTC itu keluar setidaknya ke market atau ke mixer mungkin pihak terkait bisa melacaknya lebih lanjut.

Namun saya yakin semua pihak akan mendorong atas pencarian pelaku hacker tersebut, saat ini seperti yang saya tahu Blockchain.com sudah membuat tag di alamat tersebut dengan tag "COLDCARD hacker" ini bentuk dukungan dari berbagai pihak termasuk Blockchain.com, agar ketika BTC tersebut bergerak maka alamat tersebut mudah di ketahui bahwa alamat dari di hackle sudah ngririm BTC ke alamat yang di tuju.

[Husna QA]

Tidak mungkin juga mereka mengganti rugi bahkan hingga ribuan BTC yang diretas dari banyak user ColdCard.
Termasuk akan sulit juga menentukan user mana yang benar-benar diretas dan mana yang hanya klaim palsu untuk memanfaatkan situasi tersebut kalaupun ada program untuk kompensasi terhadap pengguna ColdCard yang terkena masalah, terlebih yang membeli ColdCard juga pastinya tidak semua langsung dari situs resminya.

Bagaimana dengan cara menandatangani pesan bitcoin dompet mereka, apakah ini bisa menentukan user mana saja yang kena dampak hack? Saya tidak tahu apakah dengan cara ini akan mudah mengidentifikasi nya mengingat alamat korban yang terdampak itu sekitar 8600 alamat menurut Galaxy Research pasti akan membutuhkan usaha dan waktu banyak menentukan alamat yang valid kena hack.

Bisa saja Bitcoin address Sign Message tersebut dilakukan, tapi masalahnya yang dicuri hacker ini adalah salinan seed phrase korban. Ini artinya dia (hacker) juga bisa sign message menggunakan address yang sama persis (address yang dihack). Bukankah dia bisa sama-sama klaim juga dan berpura-pura sebagai korban padahal dia adalah hackernya?

[ryzaadit]

ini paling bener, di umumin aja kalo udah bangkrut daripada banyak yang berharap diganti Tapi ujung-ujungnya banyak yang kecewa.

Pada awalnya punya pemikiran yang sama dengan agan @taufik123. Tapi ada skenario lain, apabila Coinkite melakukan deklarasi kebangkrutan.
- Mereka akan menjual perusahaan
- Dibuyback ama orang lain/perusahaan lain
- Kemudian rilis device dengan nama dan design berbeda

Next, mereka bakal klaim. Kami berbeda, kami bukanlah Coinkite, device kami lebih baik dari mereka atau bahkan device2 lainnya. Terus buat PR, Alasan kenapa device kami lebih baik dari Hardware Wallet lainnya wkwkwkw.

Jangan lupa bayar2 PR article & paid promotion ke YT.

masalahnya BTC yang kena hack belum juga bergerak dari alamat si hackel. pihak otoritas mau nangkep siapa terus dan Department of Justice mau mengembalikan dari uangya siapa kalo hackernya belum di tangkep?

Saya rasa prosesnya akan berjalan lama, sekalipun pihak otoritas mengupayakan pencariannya, kalo BTC nya tidak keluar dari alamat si hackel itu akan jadi jalan buntu. Kecuali BTC itu keluar setidaknya ke market atau ke mixer mungkin pihak terkait bisa melacaknya lebih lanjut.

Ada juga pergerakan pertama kali. Para ahli forensik menemukan semacem jejak melakukan pembayaran ke akun di penyedia layanan data blockchain terkemuka.
Source: https://www.cryptotimes.io/2026/08/19/block-and-galaxy-research-give-lead-to-law-enforcement-in-111m-coldcard-bitcoin-theft/


Saat ini juga sudah coba2 mau mulai om. Mau nyoba ngesplits.

Menggunakan metode Coinjoin. Mungkin terdapat kesalahan yang memang ngebuat sebagian besar BTC tidak termixing:
64.90373154 BTC dengan input 324 & output 382. 54.31783009 BTC gagal untuk dipecah.
Hanya sukses dengan total 10 BTC saja.

Kemudian mencoba kembali.
54 BTC, 47.12126860 BTC gagal untuk dipecah.

Lagi dan lagi, dengan input 454 dan output 502.
7.74840978 BTC gagal untuk dipecah.

Apakah ini menandakan bahwa mungkin saja exploiter tersebut tidak terlalu pandai? Mungkin dalam kasus ini si-exploiter nemuin celah dengan bantuan AI atau dadakan dan saat ini bingung bagaimana caranya untuk mixing dana sebesar ini.

Keindahan blockchain yah; semua tercatat dalam jaringan. Jadi kalau melakukan kesalahan semacam ini, semua tercatat dalam on-chain.

Source: https://www.reddit.com/r/coldcard/comments/1vy9ekz/coldcard_hacker_discovered_mixers_and_is_doing_a/

[taufik123]

-snip-
Namun saya yakin semua pihak akan mendorong atas pencarian pelaku hacker tersebut, saat ini seperti yang saya tahu Blockchain.com sudah membuat tag di alamat tersebut dengan tag "COLDCARD hacker" ini bentuk dukungan dari berbagai pihak termasuk Blockchain.com, agar ketika BTC tersebut bergerak maka alamat tersebut mudah di ketahui bahwa alamat dari di hackle sudah ngririm BTC ke alamat yang di tuju.

Jadi masih di pantau-pantau terus sampai BTC hasil curiannya bergerak, Sementara itu Coinkite masih ingin terus membangun brandingnya agar tidak di cap sampah.
Kasus masih terus berjalan dan beberapa tindak lanjut lewat hukum mungkin akan dilakukan.

Bisa saja Bitcoin address Sign Message tersebut dilakukan, tapi masalahnya yang dicuri hacker ini adalah salinan seed phrase korban. Ini artinya dia (hacker) juga bisa sign message menggunakan address yang sama persis (address yang dihack). Bukankah dia bisa sama-sama klaim juga dan berpura-pura sebagai korban padahal dia adalah hackernya?

Nah ini juga yang jadi masalah, Si hackel sudah punya akses penuh dan bisa melakukan sign message dengan mudah.
Mungkin harus ada metode lain dan bukan cuman sign message  saja, atau verifikasi yang langsung bisa mengetahui bahwa dia pemilik sebenarnya.

Pada awalnya punya pemikiran yang sama dengan agan @taufik123. Tapi ada skenario lain, apabila Coinkite melakukan deklarasi kebangkrutan.
- Mereka akan menjual perusahaan
- Dibuyback ama orang lain/perusahaan lain
- Kemudian rilis device dengan nama dan design berbeda

Next, mereka bakal klaim. Kami berbeda, kami bukanlah Coinkite, device kami lebih baik dari mereka atau bahkan device2 lainnya. Terus buat PR, Alasan kenapa device kami lebih baik dari Hardware Wallet lainnya wkwkwkw.

Istilah kata di rebranding ulang, Tapi ya jejaknya pasti ketahuan kalo itu device  dan Firmware dari perusahaan yang sama.
Apalagi kalo gak mau Open Source, bisa jadi pertanyaan besar nantinya.

Sekarang Coldcard udah ditandai sebagai HW gagal dan gak ada yang mau nyimpen BTC di wallet yang udah kebobolan.


Update:
Pada pernyataan terakhir beberapa jam yang lalu, pihak Coldcard katanya terus melakukan penyelidikan dan tidak akan ada yang di abaikan.
Tapi ketika di tanya apakah Kodenya akan Open Source, tdak ada jawaban lagi.



https://x.com/COLDCARDwallet/status/2093826932475375851

[salad daging]

Bisa saja Bitcoin address Sign Message tersebut dilakukan, tapi masalahnya yang dicuri hacker ini adalah salinan seed phrase korban. Ini artinya dia (hacker) juga bisa sign message menggunakan address yang sama persis (address yang dihack). Bukankah dia bisa sama-sama klaim juga dan berpura-pura sebagai korban padahal dia adalah hackernya?

Iyah benar juga sih dengan Bitcoin sign message tidak akan cukup untuk proses klaim, yang di jabarkan ryzaadit dengan teori nya agak sulit di lakukan meskipun itu adalah metode yang paling mungkin untuk memverifikasi keaslian pemilik addres tersebut, saya pikir CoinKite tidak akan melakukan proses semacam ini mengingat tidak ada niat ganti rugi, pernyataan sedang bekerja sama dengan penegak hukum masih penasaran apa saja langkah yang akan di ambil.

Pada awalnya punya pemikiran yang sama dengan agan @taufik123. Tapi ada skenario lain, apabila Coinkite melakukan deklarasi kebangkrutan.
- Mereka akan menjual perusahaan
- Dibuyback ama orang lain/perusahaan lain
- Kemudian rilis device dengan nama dan design berbeda

Menjual perusahaan dalam kondisi panas gini kan tidak mungkin ada yang mau menerima nya, perusahaan lain yang harus menanggung kerugian nya, terus membangun reputasi nya pun butuh waktu lagi.
Zaman sekarang kalau sudah viral karena bad tidak akan laku lagi walau ganti brand, tetap saja bekas nama dulu masih ada orang masih ingat, orang orang mulai menyerukan tinggalan device ini.

[Husna QA]

Bisa saja Bitcoin address Sign Message tersebut dilakukan, tapi masalahnya yang dicuri hacker ini adalah salinan seed phrase korban. Ini artinya dia (hacker) juga bisa sign message menggunakan address yang sama persis (address yang dihack). Bukankah dia bisa sama-sama klaim juga dan berpura-pura sebagai korban padahal dia adalah hackernya?

Iyah benar juga sih dengan Bitcoin sign message tidak akan cukup untuk proses klaim, yang di jabarkan ryzaadit dengan teori nya agak sulit di lakukan meskipun itu adalah metode yang paling mungkin untuk memverifikasi keaslian pemilik addres tersebut, saya pikir CoinKite tidak akan melakukan proses semacam ini mengingat tidak ada niat ganti rugi, pernyataan sedang bekerja sama dengan penegak hukum masih penasaran apa saja langkah yang akan di ambil.

Salah satu yang cukup efektif dalam mengembalikan dana user Coldcard yang di hack adalah menangkap lebih dulu hacker-nya, dan ini bisa jadi 'pekerjaan rumah' yang sulit bagi Coinkite sebagai developer HW ColdCard yang bermasalah tersebut.

PR berikutnya kalaupun misalkan si Hacker sudah ditangkap adalah pemastian Bitcoin sitaannya harus masih ada (bahkan utuh) untuk mengembalikan jumlah Bitcoin yang berasal dari address wallet user yang berbeda-beda dilihat dari history transaksinya di Blockchain.

[ryzaadit]

Menjual perusahaan dalam kondisi panas gini kan tidak mungkin ada yang mau menerima nya, perusahaan lain yang harus menanggung kerugian nya, terus membangun reputasi nya pun butuh waktu lagi.

Malah bagus untuk yang mau beli om, dapet harga murmer bisa nego lebih banyak. Kalaupun terjual, yang beli pastinya gak bakal rebranded atau ngeluarin produk dalam jangka waktu sekarang. Yah paling juga nunggu, hibernasi dulu sampai meredah beberapa tahun baru deh muncul brand barunya.

Zaman sekarang kalau sudah viral karena bad tidak akan laku lagi walau ganti brand, tetap saja bekas nama dulu masih ada orang masih ingat, orang orang mulai menyerukan tinggalan device ini.

Walau sudah kena rebrand dan team baru atau perusahaan baru. Pastinya komunitas sudah pasti melakukan DD untuk perusahaan dan device mereka, dan pasti bakal disangkal dengan:

• Code sudah diaudit oleh AI dan ahli terkemuka
• Kami bukanlah team sebelumnya, atau produk sebelumnya
• Produk kami berbeda 100%

Itu response mereka, dan respon nya pun pastinya cuman 1x respon. Lepas itu fokus untuk marketing biar ngilangin negativity discussion. Bakal boost banyak ke PR article (biar SEO mantap), hired beberapa small creator buat review di Youtube dan lain-lain.

Begitu sih, kalau menurut saya.

[taufik123]

UPDATE ( agak telat efek Sakit seminggu ini):

Kabar terbaru dari Coldcard sudah melakukan Update untuk Firmware berkaitan dengan pembuatan seed COLDCARD dengan metode baru (MK4/MK5 ≥5.6.1 dan Q ≥1.5.1Q)

Seperti ini alurnya


Pantau status keamanan di sini: https://coldcard.com/security/status
Jelajahi alat interaktif dan kode sumber di sini: https://scgbckbone.github.io/seedflow/

Informasi lengkap: https://x.com/COLDCARDwallet/status/2095564900068123109


dan kabar terbaru dari Rodolfo Novak AKA nvk selaku CEO dari Coldcard, menuliskan permintaan maafnya di akun X miliknya.
nvk meminta maaf Kepada seluruh pengguna Coinkite dan seluruh komunitas Bitcoin,

Auto Translate by X
Kepada seluruh pengguna Coinkite dan seluruh komunitas Bitcoin,

Saya minta maaf dan saya sangat terpukul. Tim kami sangat sedih mendengar berita kemarin.
Sebagai tim yang telah mendedikasikan hidup kami untuk mengamankan Bitcoin yang dimiliki oleh jutaan individu, bisnis, dan keluarga, ini adalah tanggung jawab inti kami, dan kami telah gagal.
Jika Anda mengenal siapa pun yang memiliki Coldcard, mohon pastikan mereka melihat ini. Beberapa pengguna yang terdampak mungkin tidak sedang memantau media sosial saat ini, dan setiap jam sangat berarti.
 
Kami tidak menyimpan informasi pelanggan, dan kami menghargai semua bantuan dalam menghubungi pengguna yang terdampak.
Jika Anda membuat seed menggunakan dompet Coldcard, pindahkan dana Anda sekarang
, dengan menggunakan praktik terbaik kami yang telah diperbarui, sebelum membaca lebih lanjut.

Kami sepenuhnya bertanggung jawab atas bug firmware ini dan kami menyampaikan permintaan maaf yang tulus kepada pihak yang terdampak.
Kami terus bekerja 24/7 untuk memahami dan sepenuhnya mengidentifikasi sejauh mana masalah ini.

Yang akan kita lakukan hari ini:

• Kami telah merilis firmware. perbaikan cepat
• Hal ini sepenuhnya menghilangkan jalur cadangan perangkat lunak. Ini melindungi seed baru ke depannya. Namun, ini tidak memperbaiki seed yang sudah dihasilkan pada firmware yang rentan.
  Jika seed Anda dihasilkan sebelum perbaikan, seed tersebut perlu dimigrasikan secara individual ke seed baru. Pembaruan firmware saja tidak dapat melakukan hal itu untuk Anda.
• Kami akan menerbitkan uraian teknis lengkap tentang bagaimana bug tersebut masuk ke dalam basis kode dan mengapa proses peninjauan kami sendiri tidak mendeteksinya setelah kami memverifikasi setiap detailnya.
  Kami lebih memilih akurat daripada cepat dalam analisis teknis pasca-kejadian, meskipun kami tahu orang-orang menginginkan jawaban sekarang juga.
• Kami akan menerbitkan pembaruan di https://blog.coinkite.com/
• Seiring kita mempelajari lebih lanjut. Kita belum memiliki atribusi atau cakupan lengkap dari masalah ini, dan kita tidak akan berspekulasi sampai evaluasi teknis lengkap kita selesai.
• Kami berkomitmen untuk bekerja sama dengan pengguna yang terdampak yang ingin mengajukan laporan polisi, klaim asuransi, atau investigasi sendiri.
  Kami akan memberikan ringkasan insiden tertulis yang spesifik untuk kerugian Anda dan data transaksi apa pun yang dapat kami bagikan.
  Kami sepenuhnya bekerja sama dengan penyelidik on-chain dan lembaga penegak hukum mana pun yang membuka kasus.

Kami tahu permintaan maaf tidak akan mengembalikan dana siapa pun. Kami tahu kami harus mendapatkan kembali kepercayaan pengguna kami.
Itu dimulai dengan bersikap terbuka dan mengatakan yang sebenarnya tentang bagaimana ini terjadi.

Kepada semua pengembang lainnya: kami percaya ini adalah realita nyata dari paradigma AI baru.
Tinjauan kode berbantuan AI kini dapat menemukan bug tersembunyi dengan kecepatan yang melampaui bahkan para ahli paling berpengalaman di industri ini.
Jika firmware Anda bersifat open-source atau pernah dipublikasikan, anggaplah firmware tersebut sudah dibaca oleh penyerang dan pembela.

Kami memulai Coinkite karena kami percaya pada Bitcoin dan hak setiap orang untuk memegang kunci mereka sendiri.
Kami tetap berkomitmen untuk melakukan segala sesuatu ke depannya demi kepentingan terbaik proyek Bitcoin, industri, dan pengguna kami.

nvk,
koinkite

[Husna QA]

—snip—

Auto Translate by X
—snip—
Kepada semua pengembang lainnya: kami percaya ini adalah realita nyata dari paradigma AI baru.
Tinjauan kode berbantuan AI kini dapat menemukan bug tersembunyi dengan kecepatan yang melampaui bahkan para ahli paling berpengalaman di industri ini.
Jika firmware Anda bersifat open-source atau pernah dipublikasikan, anggaplah firmware tersebut sudah dibaca oleh penyerang dan pembela.
—snip—

Ada kalimat yang cukup menarik perhatian saya dari quote auto-translate diatas, pada kalimat yang saya highlight.
Seolah mereka (pihak Coinkite) tidak mau disalahkan juga karena firmware mereka (sebagian atau seluruhnya) pada perangkat Coldcard menggunakan closed-source.
Dan secara tidak langsung seperti 'mengatakan' developer hardware lain yang menggunakan firmware bersifat open-source termasuk akan rentan juga ketika sudah dihadapkan pada realita era AI saat ini.

Dari yang sudah pernah saya baca pada kasus-kasus sebelumnya, baik open-source maupun close-source keduanya memang masih berpotensi rentan. Namun, dari kedua opsi tersebut tinggal dilihat mana yang lebih minim celah keamanannya.