Hariankripto – Tim Bitcoin Red menemukan 4.962 temuan keamanan setelah memeriksa ratusan proyek Bitcoin dengan bantuan kecerdasan buatan atau AI. Audit besar tersebut muncul setelah kasus Coldcard meningkatkan perhatian terhadap keamanan wallet dan perangkat lunak di ekosistem Bitcoin.
Dalam 27,5 jam pertama, tim memeriksa 390 proyek dan mencatat 85 temuan critical serta 635 temuan high severity. Mereka menggunakan sejumlah model AI, termasuk Kimi K3, GPT Sol, dan Opus, untuk mempercepat pemeriksaan kode.
Tim tidak membatasi audit pada hardware wallet. Mereka juga menyisir library, mining pool, privacy tools, layanan swap, exchange, hingga perangkat pendukung infrastruktur Bitcoin.
Selain mempercepat pencarian masalah, AI membantu developer menangani volume kode yang sangat besar. Namun, developer tetap perlu memvalidasi hasil tersebut sebelum menentukan tingkat risiko setiap temuan.
OpenSats turut mendukung upaya ini dengan menanggung biaya komputasi sekitar US$40.000. Dukungan tersebut memberi Tim Bitcoin Red ruang untuk menjalankan audit dalam skala yang sulit tercapai melalui pemeriksaan manual saja.
Kasus Coldcard Picu Pemeriksaan Keamanan Lebih Luas
Kasus Coldcard menjadi salah satu pemicu utama gerakan audit tersebut. Coinkite menerbitkan Coldcard Security Advisory pada 30 Juli 2026 setelah menemukan masalah keamanan pada proses pembuatan seed di beberapa versi firmware COLDCARD.
Wallet Bitcoin membutuhkan entropy yang kuat untuk menghasilkan seed phrase. Entropy menentukan tingkat keacakan angka yang menjadi fondasi pembuatan private key.
Masalah muncul ketika beberapa firmware Coldcard menghasilkan tingkat entropy yang lebih rendah dari standar keamanan yang seharusnya. Kondisi itu dapat mempersempit jumlah kemungkinan yang harus penyerang coba ketika mencari private key.
Risiko tersebut langsung menarik perhatian komunitas karena seed phrase memegang peran penting dalam penguasaan aset Bitcoin. Pengguna yang kehilangan keamanan seed dapat menghadapi risiko kehilangan seluruh dana dalam wallet terkait.
Tidak lama kemudian, Galaxy Research menemukan indikasi pencurian dalam jumlah besar dari korban Coldcard. Pada tahap awal investigasi, Galaxy mencatat sekitar 1.596 BTC dari ribuan alamat yang tersebar dalam beberapa gelombang serangan.
Kemudian, pada 7 Agustus 2026, Galaxy Research memperbarui temuannya. Tim tersebut menyatakan memiliki keyakinan tinggi bahwa pelaku telah mengambil sekitar 1.719 BTC dengan nilai sekitar US$111 juta.
$111 MILLION CONFIRMED STOLEN SO FAR IN COLDCARD EXPLOIT
— Galaxy Research (@glxyresearch) August 7, 2026
Thanks to victim reports, we can confirm with high confidence that 1719 BTC has been stolen from Coldcard victims so far
We have many more coins we are vetting for confirmation – we think total losses likely exceed $130m pic.twitter.com/pLfiMQZFyX
Galaxy masih memeriksa aset tambahan yang mungkin berkaitan dengan insiden tersebut. Tim riset itu memperkirakan total kerugian dapat melampaui US$130 juta jika investigasi mengonfirmasi lebih banyak transaksi.
Meski kasus Coldcard mendapat perhatian besar, masalah terkait randomness bukan hal baru dalam dunia Bitcoin. Pada 2023, bug Milk Sad menunjukkan bagaimana entropy yang terlalu lemah dapat membahayakan private key.
Kasus Ill Bloom juga kembali menyoroti risiko generator angka acak yang buruk. Insiden tersebut menimbulkan kerugian sekitar US$5,7 juta dari wallet yang menggunakan generator JavaScript lemah.
AI Percepat Audit Ratusan Proyek Bitcoin
Tim Bitcoin Red menggunakan AI untuk mempercepat pencarian pola kode yang berpotensi menimbulkan masalah keamanan. Kimi K3, GPT Sol, dan Opus membantu developer memeriksa repository dalam jumlah besar.
🚨JUST IN: Team formed after Coldcard's $130 MILLION exploit finds 4,962 flaws across 390 Bitcoin projects using AI.
— Coin Bureau (@coinbureau) August 8, 2026
The Bitcoin Red Team used Kimi K3, GPT Sol, and Opus to scan wallets, libraries, and infrastructure in under 30 hours, averaging "1 critical exploit per hour."… pic.twitter.com/lrMgUDw9ua
Dalam 27,5 jam, tim mencatat 4.962 temuan dari 390 proyek. Dari jumlah itu, mereka menempatkan 85 temuan dalam kategori critical dan 635 temuan dalam kategori high severity.
Rob Hamilton juga menjalankan pemeriksaan terhadap lebih dari 100 library yang berkaitan dengan Bitcoin. Ia menghabiskan lebih dari US$10.000 untuk proses pemindaian tersebut dan menggunakan Kimi K3 sebagai model utama.
Hamilton bersama kelompok kecil peneliti menemukan beberapa kelemahan serius dengan cakupan serta tingkat risiko yang berbeda. Temuan tersebut kemudian ikut mendorong seruan agar developer Bitcoin meningkatkan pemeriksaan terhadap kode mereka.
Sementara itu, Calle terus melaporkan perkembangan audit dalam skala yang lebih besar. Setelah 108 jam kerja, sekitar 25 developer Bitcoin dari berbagai negara telah memperluas pemeriksaan ke 501 proyek.
🚩 Bitcoin Red Team Update
— calle (@callebtc) August 8, 2026
We're continuing a large-scale security review of the Bitcoin open-source ecosystem.
25 Bitcoin developers around the world have been working on this task non-stop for 108 hours. pic.twitter.com/CwNXHgRmdn
Jumlah temuan kemudian meningkat menjadi 7.958. Tim menempatkan 1.280 di antaranya dalam kategori high atau critical.
Dengan demikian, angka 4.962 menunjukkan hasil pada tahap awal audit. Sementara itu, angka 7.958 menggambarkan perkembangan setelah tim menambah jumlah proyek yang mereka periksa.
Tim Bitcoin Red juga memperbaiki metode klasifikasi setelah menerima masukan dari maintainer. Calle menjelaskan bahwa mereka sekarang menerapkan standar yang lebih ketat ketika menentukan kategori high dan critical.
Perubahan tersebut memiliki arti penting. AI dapat menemukan banyak pola mencurigakan, tetapi tidak semua temuan otomatis menjadi exploit yang dapat penyerang gunakan.
Developer masih perlu memahami konteks kode, membuat proof-of-concept, mengukur dampak, dan menentukan kondisi yang memungkinkan eksploitasi. Proses validasi tersebut membantu tim mengurangi false positive.
Karena itu, jumlah temuan tidak sama dengan jumlah serangan aktif. Meskipun demikian, data tersebut tetap menunjukkan luasnya permukaan serangan yang perlu developer periksa dalam ekosistem Bitcoin.
Risiko Bitcoin Tersebar di Berbagai Lapisan
Hasil awal audit menghasilkan temuan yang cukup mengejutkan. Hardware wallet dan firmware justru tidak mencatat proporsi masalah serius tertinggi. Kategori tersebut mencatat sekitar 9,6 persen temuan high dan critical. Angka itu menempatkan hardware wallet dan firmware pada posisi kedua terendah dalam kategori yang tim periksa.
Sebaliknya, privacy tools mencatat sekitar 24 persen. Namun, tim hanya memeriksa tiga proyek dalam kelompok tersebut sehingga ukuran sampelnya masih terbatas.Mining pool mencatat sekitar 21,7 persen temuan serius. Infrastruktur dan tooling berada tidak jauh di bawahnya dengan sekitar 21,5 persen.
Selanjutnya, kategori swaps dan exchanges mencatat sekitar 20,9 persen. Distribusi tersebut menunjukkan bahwa risiko keamanan tidak hanya muncul dari perangkat penyimpanan Bitcoin. Crypto library justru menghasilkan volume temuan paling besar. Tim menemukan sekitar 1.385 masalah dari 128 proyek dalam kategori tersebut.
Library memiliki posisi strategis karena banyak aplikasi menggunakan komponen kode yang sama. Satu kelemahan pada library populer dapat menyebarkan risiko ke beberapa wallet atau layanan sekaligus.
Data tersebut juga menyoroti batas dari transparansi open-source. Akses publik terhadap source code memang memberi peneliti kesempatan untuk memeriksa sistem secara terbuka. Namun, keterbukaan kode tidak otomatis menghasilkan keamanan.Developer tetap membutuhkan audit aktif dan adversarial testing. Penguji harus mencoba berpikir seperti penyerang agar mereka dapat menemukan jalur eksploitasi yang mungkin luput dari pemeriksaan biasa.
Ledger juga menekankan pentingnya lapisan perlindungan hardware seperti Secure Element. Pendekatan tersebut dapat melengkapi transparansi open-source dan pengujian keamanan berbasis perangkat lunak.
Pada akhirnya, kasus Coldcard memperlihatkan bahwa keamanan Bitcoin membutuhkan beberapa lapisan sekaligus. Developer perlu memastikan kualitas entropy, mengaudit kode, menguji perangkat, dan menjalankan responsible disclosure ketika menemukan celah.
AI sekarang mempercepat proses tersebut. Namun, teknologi yang sama juga dapat membantu penyerang mencari kelemahan dengan lebih cepat.
Kondisi itu membuat audit berkelanjutan semakin penting. Tim Bitcoin Red menunjukkan bagaimana developer dapat menggabungkan AI dan pemeriksaan manusia untuk menemukan masalah sebelum pihak lain mengeksploitasinya.
Audit tersebut juga mengubah fokus komunitas. Persoalannya bukan lagi hanya apakah kode bersifat open-source, melainkan apakah seseorang benar-benar menguji kode tersebut secara aktif.
