Agustus 2026 menjadi periode naik-turun yang ekstrem bagi dunia kripto. Agak buruk, sebenarnya. Tepat sebelum bulan itu dimulai, beberapa penyerang tak dikenal berhasil memanfaatkan bug pada dompet perangkat keras Coldcard untuk mencuri hingga 2.055 $BTC (~$130 juta) langsung dari pengguna. Ini dianggap sebagai eksploitasi dompet perangkat keras terbesar hingga saat ini. Dan kemudian diikuti oleh serangan lain pada Trezor dan SafePal, dua penyedia dompet perangkat keras utama lainnya. Karena itu, penyimpanan mandiri dipertanyakan oleh banyak orang.
Kami telah diberitahu, berulang kali, bahwa kunci pribadi kami harus tetap offline, jauh dari jangkauan peretas dan penipu. Karena itu, banyak pengguna kripto memilih untuk berinvestasi pada keamanan yang lebih tinggi dan membeli perangkat keras khusus untuk melindungi koin mereka. Kini, di antara mereka yang memilih Coldcard sebagai perangkat khusus ini, beberapa telah kehilangan dana mereka tanpa melakukan apa pun, karena serangan itu sepenuhnya dilakukan dari jarak jauh dan di luar kendali mereka.
Rasanya tidak adil. Tapi tunggu, karena masih ada beberapa hal yang perlu dibahas sebelum kehilangan kepercayaan pada self-custody.
Jadi, Apa yang Terjadi pada Coldcard dan Perusahaan Lainnya?
Hal pertama yang harus kita pahami adalah: tidak, jaringan kripto tidak otomatis menjadi tidak aman sekarang. Serangan terbaru bukan menyerang distributed ledger yang kuat, melainkan perusahaan-perusahaan tertentu dan produk mereka. Mari mulai dari kasus Coldcard: masalahnya berasal dari cara beberapa perangkat menghasilkan wallet seeds atau kunci privat.
Pada dompet kripto rata-rata, sekadar “menebak” seed dengan menerapkan brute force (banyak percobaan berulang) itu mustahil. Frasa 12 kata saja memiliki sekitar 340 undecillion kemungkinan. Ini berarti, seperti dijelaskan oleh Knowing Bitcoin, bahwa “jika setiap komputer di Bumi mencoba satu miliar frasa seed per detik, itu akan memerlukan waktu dalam skala triliunan kali umur alam semesta saat ini untuk mencoba semuanya." Sayangnya, untuk beberapa perangkat Coldcard, kejadiannya tidak seperti itu.
Perubahan perangkat lunak yang diperkenalkan pada tahun 2021 menyebabkan beberapa perangkat menggunakan generator angka acak semu berbasis perangkat lunak, alih-alih generator angka acak berbasis perangkat keras yang seharusnya digunakan untuk membuat seed yang aman. Dengan kata lain, keamanan dompet bergantung pada kurangnya keacakan. Penyerang mampu menebak kunci privat, padahal seharusnya mereka tidak bisa melakukannya.
Bahkan setelah menerapkan perbaikan firmware, seed-seed itu tetap tidak cocok untuk digunakan lagi. Siapa pun yang telah menghasilkan seed di Coldcard antara 2021 dan 2026 disarankan untuk menarik semua dananya ke dompet yang lebih aman.
Bagaimana dengan Trezor dan SafePal?
Setidaknya, tidak ada dana yang dikompromikan dalam dua serangan ini. Namun, serangan-serangan itu bisa dianggap sama seriusnya, karena data pribadi dan alamat fisik memang bocor. Pada 12 Agustus, Trezor menginformasikan bahwa ShipMonk, salah satu penyedia pengiriman mereka, mengalami pelanggaran data berat yang mengekspos nama lengkap, nomor telepon, alamat email, dan alamat fisik hampir 12.000 pelanggannya.
Dengan cara yang sama, beberapa hari setelahnya, SafePal mengumumkan penemuan bug yang dapat memungkinkan seseorang mengakses atau melacak informasi pesanan pelanggan tanpa izin yang semestinya. Dan beberapa peretas melakukannya. Data rahasia seperti nama, nomor telepon, email, dan alamat fisik dari hampir 40.000 pelanggan dicuri.
Sepertinya "lebih baik" daripada dana atau kunci privat diambil, tapi itu tidak. Dengan semua informasi ini, para peretas dengan mudah bisa menemukan pelanggan, melakukan serangan yang ditargetkan, phishing, bahkan merencanakan "wrench attacks" atau pembobolan fisik di rumah mereka. Memang, menurut Certik, serangan fisik kekerasan terhadap pengguna kripto meningkat 33% pada 2026 dibanding tahun sebelumnya.
Haruskah kita buru-buru pindah ke bursa kripto, lalu?
Menurut CMC, "Coldcard Hack Membuat Pengguna Bitcoin Kegirangan Mencari CEX." Jadi, apakah mereka benar-benar lebih aman bagi kita? Apakah itu solusi nyata untuk jangka panjang bagi pengguna kripto? Jawabannya tidak sesederhana itu. Bursa terpusat, meskipun mereka sudah menginvestasikan banyak dana untuk keamanan, bisa dan telah diretas.
Pada 2025, Coinbase, salah satu bursa terbesar di dunia, mengalami jenis kebocoran yang sama seperti Trezor dan SafePal. Pada tahun-tahun sebelumnya, perusahaan lain seperti Liquid, KeepChange, Celsius, dan OpenSea juga menghadapi pelanggaran data besar. Di luar itu, banyak bursa kripto di berbagai tahun telah dirampok atau bangkrut—atau memang sejak awal hanyalah penipuan. Mt. Gox, QuadrigaCX, Cryptopia, dan FTX hanyalah sebagian dari mereka. Ribuan pengguna di seluruh dunia menderita kerugian besar akibat kasus-kasus ini. Itulah sebabnya semboyan ini begitu umum di kripto: Bukan kunci kamu? Bukan koin kamu.
Namun, sekarang saat self-custody tampak terancam, apa alternatifnya? Kita lari ke mana? Kamu mungkin berpikir, ya, kelemahannya terbatas pada merek tertentu, jadi kita ganti merek saja dan selesai…! Tapi itu pun bukan jawabannya. Jawabannya adalah tidak ada apa pun dan tidak ada siapa pun yang kebal dari kegagalan. Self-custody menuntut tanggung jawab lebih, sementara custody eksternal menghadirkan seperangkat risiko yang berbeda. Tapi begitulah.
Tidak ada susunan yang menghilangkan risiko. Mereka menaruh risiko yang berbeda di sisi yang berbeda dari meja, dan kamu perlu memilih risiko mana yang “lebih kecil” untuk kondisi pribadimu. Keuntungan apa yang kamu lebih suka (misalnya, kepemilikan penuh vs. kenyamanan) dan seberapa besar risiko yang bersedia kamu ambil demi hal itu? Bahkan mata uang fiat dan bank pun memiliki risiko dan kekurangan masing-masing, dan jebakan-jebakan itulah alasan utamanya kenapa mata uang kripto ada. Sedih, tapi benar.
Pelajaran Baru: Jangan Taruh Semua Telurmu dalam Satu Keranjang
Sentralisasikan, seperti jaringan kripto itu sendiri! Jika satu perangkat, satu produsen, satu cadangan, satu perusahaan, atau satu proses dapat menentukan apakah seluruh simpananmu selamat, itu adalah satu titik kegagalan yang perlu kamu perbaiki secepatnya, apa pun yang kamu yakini soal keamanannya. Ada beberapa solusi untuk itu.
Titik awal yang sederhana adalah redundansi cadangan, dengan salinan disimpan di lokasi yang terpisah agar satu kebakaran, banjir, atau perangkat yang cacat tidak menghapus semuanya. Di Obyte, kamu bisa membuat beberapa textcoin dengan jumlah berbeda di dalamnya, lalu menyimpannya secara offline. Namun, kamu harus memastikan mencatat textcoin-mu (seed), menyalinnya ke lokasi aman yang berbeda, dan merawatnya sebaik mungkin. Satu-satunya cara untuk self-custody adalah tanggung jawab yang tinggi.
Untuk perlindungan yang lebih kuat, dompet multisignature dapat mengharuskan dua atau lebih kunci terpisah sebelum koin dapat dipindahkan. Contohnya, setup 2-of-3 menggunakan tiga kunci, tetapi membutuhkan persetujuan dari dua kunci apa pun untuk memproses transaksi. Artinya, kehilangan satu kunci tidak otomatis mengunci kamu keluar, sementara mengompromikan satu kunci tidak memberi penyerang kontrol yang cukup. Kamu juga bisa menyebarkan kunci ke berbagai perangkat atau produsen, sehingga mengurangi ketergantungan pada satu teknologi.
Di Obyte, kamu bisa membuat akun multisignature (multidevice) hanya dalam beberapa langkah untuk meningkatkan keamanan, dan jika kamu mau, menyertakan orang lain sebagai co-signer, bukan hanya perangkatmu sendiri.
Ada juga nilai dalam menguji pemulihan. Cadangan yang tidak pernah dicek adalah rencana di atas kertas. Tes pemulihan yang berhasil memberi bukti bahwa rencananya bekerja. Dan kompleksitas pantas mendapat label peringatan tersendiri. Setiap frasa sandi tambahan, perangkat, lokasi, dan cadangan menambah satu hal lagi untuk diingat dan dipelihara.
Jadi, Apakah Self-Custody Kripto Sudah Mati?
Tidak. Kalau ada, benjolan di jalan justru membuat idenya makin matang. Self-custody menghindari potensi sensor finansial dan bisa memberi orang kontrol penuh, tetapi kontrol itu disertai pekerjaan rumah—mulai dari memahami bagaimana kunci dibuat sampai mengetahui di mana cadangannya disimpan dan apa yang terjadi ketika sebuah perangkat gagal. Bahkan. Untuk siap menghadapi perangkat yang bisa gagal.
Self-custody berarti mengambil alih kepemilikan atas seluruh model keamanan, bukan sekadar membeli perangkat dengan kata-kata “hardware wallet” di kotaknya. Lakukan riset sendiri (DYOR) untuk setiap merek, setiap perangkat lunak, dan setiap proses. Ini penting untuk diulang: satu-satunya cara untuk self-custody adalah tanggung jawab yang tinggi!
Awalnya Dipublikasikan di Hackernoon