COLDCARD: Panduan Lapor Celah Keamanan

Coinkite sediakan jalur resmi buat lapor celah keamanan hardware wallet COLDCARD secara privat. Peneliti wajib pakai enkripsi PGP dan tunggu konfirmasi sebelum kirim detail eksploit. Ada skema reward dan koordinasi rilis perbaikan sebelum bug dibuka ke publik.

Mengenal Layanan & Gambaran Teknis

Program responsible disclosure (pelaporan celah keamanan terkoordinasi) dari Coinkite. Peneliti yang nemu bug di COLDCARD diminta lapor diam-diam ke developer biar bisa ditambal dulu sebelum dimanfaatin peretas jahat.

Panduan Langkah Demi Langkah

1. Langkah 1: Kunjungi situs coldcard.com/resources/security/report-a-security-issue buat baca panduan cakupan bug (scope) dan aturan main pengujian.
2. Langkah 2: Siapkan laporan teknis berisi versi firmware, model hardware, prasyarat akses penyerang, dan PoC (bukti konsep eksploit).
3. Langkah 3: Kirim email awal dalam bentuk teks biasa (cleartext) ke [email protected] yang menyertakan public key PGP milikmu tanpa melampirkan detail bug sensitif.
4. Langkah 4: Tunggu balasan terenkripsi dari pihak Coinkite sebelum mengirimkan seluruh detail teknis, kode eksploit, atau PoC sensitif.

Persyaratan & Kesiapan

• Kunci PGP aktif buat komunikasi email terenkripsi
• Bukti konsep (PoC) yang bisa direproduksi oleh tim Coinkite
• Pengujian tidak boleh merusak data atau merugikan dana pengguna

Tips Optimalisasi

• Sertakan log revisi hardware dan channel firmware spesifik biar reproduksi bug lebih cepat
• Kalau ragu apakah pengujian fisik aman atau melanggar aturan, email tim security dulu sebelum dieksekusi

Mitigasi Risiko & Keamanan

• Mempublikasikan bug sebelum ada perbaikan resmi melanggar aturan disclosure dan membatalkan hak reward
• Eksploitasi langsung pada perangkat produksi berisiko merusak hardware secara permanen

Kesimpulan & Catatan Penting

Jalur disclosure resmi Coinkite lindungi pengguna COLDCARD dari celah zero-day lewat koordinasi patch terstruktur. Ikuti protokol enkripsi PGP biar temuan keamanan diproses aman dan valid.