Bug Dompet Bitcoin Dieksploitasi untuk Mencuri Dana melalui Biaya Percepatan

Pada 26 Oktober 2026, sebuah celah kritis dalam dompet Bitcoin Electrum memungkinkan server berbahaya untuk mengalihkan dana dengan mengeksploitasi mekanisme biaya percepatan (accelerated fees). Menurut CoinDesk, setidaknya satu pengguna mengonfirmasi telah kehilangan bitcoin, yang menggarisbawahi risiko berkelanjutan terkait keamanan infrastruktur pihak ketiga dalam ekosistem di mana kepercayaan bergantung pada protokol terdesentralisasi. Konteks Electrum, salah satu dompet perangkat lunak Bitcoin tertua dan paling banyak digunakan, mengandalkan jaringan server eksternal untuk menyiarkan transaksi dan mengambil riwayat pembayaran. Berbeda dengan node Bitcoin penuh (full node), yang memverifikasi semua data blockchain sendiri, Electrum mendelegasikan tugas ini kepada pihak ketiga, sebuah pendekatan yang mengoptimalkan kecepatan tetapi memperkenalkan kerentanan. Sementara itu, jaringan Bitcoin sedang mengalami periode kongesti moderat saat insiden terjadi, dengan lebih dari 43.000 transaksi tertunda di mempool dan biaya rata-rata 0,135 satoshi per byte (sat/vB) untuk konfirmasi dalam tiga blok. Celah yang terungkap pada 26 Oktober ini terjadi di tengah meningkatnya ketegangan seputar keamanan dompet. Regulator Eropa, di bawah naungan regulasi MiCA (Markets in Crypto-Assets), baru-baru ini memperketat persyaratan transparansi dan perlindungan pengguna. Secara paralel, pasar aset digital menunjukkan stabilitas relatif, dengan Bitcoin bergerak di sekitar 61.000 dolar menurut data awal CoinDesk, sebelum CryptoScore Pro merevisi angka tersebut menjadi 80.053 dolar pada hari publikasi yang sama. Fakta-fakta Kerentanan tersebut, yang diidentifikasi dan diperbaiki pada 24 Oktober 2026 dengan perilisan Electrum versi 4.8.3, mengeksploitasi celah dalam pengelolaan transaksi yang belum dikonfirmasi. Berikut adalah poin-poin utama, yang diatribusikan kepada sumbernya: Metode serangan : Server berbahaya mencegat transaksi sah sebelum disiarkan ke jaringan Bitcoin. Mereka menggantinya dengan versi penipuan, mengirimkan dana ke alamat yang dikendalikan oleh penyerang, dengan tanda tangan tidak valid yang tidak diverifikasi oleh dompet. Ketika pengguna mencoba mempercepat transaksi melalui mekanisme Replace-by-Fee (RBF), Electrum memvalidasi versi penipuan tersebut, sehingga mengirimkan dana kepada penyerang (sumber: CoinDesk, 26 Oktober 2026). Korban dan jumlah : Dua laporan diterima oleh pengembang pada bulan Oktober. Laporan pertama, pada 11 Oktober, melibatkan dompet multisignature (2 dari 3) yang menggunakan dua perangkat keras Trezor. Meskipun pengguna telah memverifikasi transaksi sah pada perangkat mereka, transaksi keluar yang berbeda muncul dalam riwayat dompet, namun tidak ada kehilangan dana yang dilaporkan. Kasus kedua, yang dilaporkan pada 18 Oktober, berujung pada pencurian, tetapi jumlah dana maupun identitas server berbahaya tidak diungkapkan (sumber: CoinDesk). Perbaikan dan rekomendasi : Versi 4.8.3 Electrum telah menambahkan verifikasi tanda tangan untuk transaksi yang belum dikonfirmasi yang menggunakan dana dari dompet. Pengembang menyarankan pengguna untuk memperbarui perangkat lunak mereka dan selalu memverifikasi alamat penerima serta jumlah dana sebelum menandatangani transaksi. Pengguna yang hanya terhubung ke server terpercaya, termasuk server milik mereka sendiri, tidak terdampak (sumber: Electrum, 24 Oktober 2026). Berdasarkan data CryptoScore Pro pada 26 Oktober 2026 pukul 05:19 UTC, harga Bitcoin berada di angka 80.053 dolar, turun 0,96% dalam 24 jam dan 2,97% dalam tujuh hari, dengan kapitalisasi pasar sebesar 1,61 triliun dolar. Indeks Crypto Fear & Greed menunjukkan skor netral 50/100. Tidak ada perubahan harga yang signifikan yang teramati dalam beberapa jam setelah pengungkapan celah keamanan tersebut (sumber: CryptoScore Pro). Memahami Konsep Kunci Replace-by-Fee (RBF) Replace-by-Fee (RBF) adalah fitur dari protokol Bitcoin yang memungkinkan pengguna untuk mengganti transaksi yang belum dikonfirmasi dengan versi baru yang menawarkan biaya (fee) lebih tinggi. Opsi ini berguna ketika jaringan sedang padat dan penambang memprioritaskan transaksi yang paling menguntungkan. Sebagai contoh, jika seorang pengguna mengirim 0,01 BTC dengan biaya 10 sat/vB namun transaksi tersebut tertahan, ia dapat membuat transaksi baru untuk jumlah yang sama dengan biaya 20 sat/vB. Penambang, yang tertarik oleh imbalan yang lebih tinggi, akan memasukkan transaksi terakhir ini ke dalam blok berikutnya. Namun, fleksibilitas ini menimbulkan risiko. Dalam kasus Electrum, penyerang mengeksploitasi RBF untuk membujuk pengguna agar memvalidasi transaksi penipuan, dengan menampilkan versi yang dimodifikasi sebagai "tertahan" dan memerlukan percepatan. Dompet tersebut, karena tidak memverifikasi keaslian transaksi awal, memungkinkan penyerang untuk mencuri dana tersebut. Mempool dan Kongesti Jaringan Mempool (atau "memory pool") adalah area sementara di mana transaksi Bitcoin menunggu untuk dikonfirmasi oleh penambang. Setiap node jaringan memelihara mempool-nya sendiri, yang ukurannya dapat bervariasi tergantung pada tingkat kongesti. Ketika mempool penuh, seperti yang terjadi pada 26 Oktober 2026 dengan 43.420 transaksi yang tertunda, pengguna harus meningkatkan biaya agar transaksi mereka diproses dengan cepat. Sebagai contoh, jika biaya rata-rata untuk konfirmasi dalam tiga blok adalah 0,135 sat/vB, transaksi dengan biaya yang lebih rendah bisa tertahan selama berjam-jam, bahkan berhari-hari. Dinamika ini menciptakan tekanan bagi pengguna untuk menyesuaikan biaya mereka, yang kemudian dieksploitasi dalam serangan terhadap Electrum: penyerang menampilkan transaksi penipuan sebagai "tertahan" untuk memicu percepatan melalui RBF. Dompet Multisignature (multisig) Dompet multisignature (atau "multisig") memerlukan beberapa tanda tangan untuk mengizinkan transaksi, yang meningkatkan keamanan dengan membagi kontrol di antara beberapa pihak. Sebagai contoh, dompet 2-dari-3 mengharuskan dua dari tiga…