Kerentanan perisian pada Cold Card mengakibatkan kerugian sebesar 114 bilion won... Batasan dompet terpencil (air-gapped)

Dompet air gap adalah dompet perangkat keras tanpa kustodian yang terputus secara fisik dari semua komunikasi nirkabel, termasuk Wi-Fi, Bluetooth, dan NFC, serta dari internet. Keunggulan utamanya adalah bahwa kunci pribadi tidak terpapar ke lingkungan online, sehingga permukaan serangan dari malware atau serangan peretasan jarak jauh sangat kecil. Beberapa produsen terkemuka termasuk ELLIPAL yang berbasis kode QR, Keystone, Foundation Devices (Passport), Blockstream (Jade), dan CoinKite yang memproduksi cold card. Sebaliknya, Ledger dan Trezor terhubung melalui USB atau Bluetooth, sehingga secara ketat tidak termasuk dalam kategori dompet air gap. Carta ColdCard, yang diperkenalkan pada tahun 2017, menyokong tanda tangan luar talian menggunakan kad microSD dan kod QR, dan ia telah lama dianggap sebagai salah satu dompet perkakasan Bitcoin yang paling menekankan keselamatan. Namun, pada akhir Julai 2026, pengeluar, CoinKite, mendedahkan bahawa beberapa peranti ColdCard telah menghasilkan frasa pemulihan dalam kumpulan yang jauh lebih kecil daripada yang dirancang, disebabkan oleh ralat binaan perisian tegar yang diperkenalkan pada Mac 2021. Ini bermakna bahawa kebarangkalian rawak yang diperlukan untuk melindungi kunci peribadi telah berkurangan dengan ketara, dan kini menjadi lebih mudah bagi penyerang untuk meneka kunci peribadi tersebut dengan lebih cepat menggunakan AI atau perisian khusus. Galaxy Research menganalisis bahwa serangan "cold card exploit" ini terjadi dalam beberapa gelombang. Kerugian yang terdeteksi awalnya sekitar 8,8 juta dolar AS, tetapi dalam beberapa hari, kerugiannya meningkat menjadi hampir 114 juta dolar AS dalam bentuk Bitcoin. Setelah peringatan dari para peneliti, banyak pengguna "cold card" yang memindahkan Bitcoin mereka dari alamat yang rentan, tetapi kekhawatiran masih ada bahwa alamat-alamat yang rentan lainnya dapat menjadi target. Peristiwa ini lebih menyoroti risiko rantaian bekalan yang melekat pada produk dompet perangkat keras, daripada batasan kaedah pengasingan (air gap) itu sendiri. Walaupun dompet tersebut tidak disambungkan ke internet, pengguna akhirnya bergantung pada kualiti perisian (firmware) pengeluar, mekanisme penjanaan nombor rawak, dan amalan pembangunan perisian. Pengasingan (air gap) adalah lapisan pertahanan yang penting, tetapi ia tidak menjamin bahawa peranti tersebut sepenuhnya bebas daripada kelemahan. Pakar keselamatan menekankan berulang kali bahawa pemegang mata wang kripto harus mengelakkan satu titik kegagalan, iaitu jangan menyimpan semua aset mereka di satu tempat. Selain itu, mereka juga mengingatkan kembali prinsip-prinsip asas seperti menyimpan frasa pemulihan dengan selamat, semestinya mengesahkan rekod transaksi sebelum menandatanganinya, dan memberi perhatian kepada keselamatan peranti fizikal.