Peringatan dari Jameson Lopp tentang Pengelolaan Bitcoin
Jameson Lopp, Kepala Petugas Keamanan Casa, telah mengingatkan pemegang Bitcoin untuk tidak menyerahkan pengelolaan aset mereka kepada ETF atau kustodian pihak ketiga, terutama setelah serangkaian insiden keamanan yang mengancam dompet cryptocurrency. Dalam surat terbuka yang ditujukan kepada klien Casa dan komunitas Bitcoin pada 22 Oktober, Lopp menekankan bahwa serangan terbaru telah menimbulkan kekhawatiran serius mengenai pengelolaan kunci pribadi, tetapi tidak seharusnya menjadi alasan untuk menyerahkan kontrol langsung atas kepemilikan Bitcoin.
Insiden Keamanan dan Tantangan yang Dihadapi
Lopp merujuk pada insiden-insiden terbaru yang melibatkan peretas yang memanfaatkan kecerdasan buatan untuk menemukan celah keamanan, serta masalah dalam rantai pasokan dompet perangkat keras yang terkompromi, dompet dingin yang terkuras, dan penipuan yang semakin canggih. Hal ini telah membuat banyak pemegang Bitcoin mempertanyakan kemampuan mereka untuk mengelola dana dengan aman. Menurutnya, banyak serangan yang kini menjadi sorotan sudah dikenal oleh para profesional keamanan, meskipun kemunculannya dalam insiden nyata membuat risiko tersebut semakin sulit diabaikan oleh pemegang biasa.
Menolak Solusi Kustodian
Lopp sangat menentang gagasan bahwa memindahkan Bitcoin ke dalam dana yang diperdagangkan di bursa atau pengaturan kustodian yang dikelola lainnya dapat menjadi solusi sederhana untuk masalah keamanan yang ada. Ia mengakui bahwa investor mungkin merasa lebih nyaman bergantung pada lembaga keuangan setelah mendengar tentang kompromi dompet, tetapi ia berargumen bahwa mentransfer kontrol kunci pribadi hanya akan memindahkan tanggung jawab kepada pihak lain. Menurut pandangannya, Bitcoin ETF memberikan eksposur kepada investor terhadap harga cryptocurrency tanpa memberikan mereka kontrol langsung atas koin yang mendasarinya.
Lopp memperingatkan bahwa pemegang Bitcoin mungkin memiliki sedikit pengaruh atas keputusan yang mempengaruhi aset mereka, termasuk situasi yang melibatkan pembekuan atau penyitaan oleh pihak berwenang. Ia tetap berpendapat bahwa karakteristik mendasar Bitcoin terletak pada pasokan tetapnya, aturan yang dapat diverifikasi secara publik, dan kemampuan pengguna untuk mengakses kepemilikan mereka tanpa memerlukan izin dari perantara.
Insiden Kompromi Dompet dan Dampaknya
Peringatan ini muncul setelah laporan bahwa beberapa pemegang Bitcoin telah memindahkan aset mereka ke platform terpusat setelah insiden kompromi dompet terbaru. Pada bulan Agustus, crypto.news melaporkan aliran masuk OKX yang memecahkan rekor setelah eksploitasi dompet perangkat keras Coldcard, di mana bursa menyatakan bahwa pelanggan semakin beralih ke kustodian yang dikelola. Kekhawatiran yang diungkapkan dalam surat Lopp mengikuti beberapa insiden yang melibatkan kelemahan dalam perangkat lunak dompet, distribusi perangkat keras, dan generasi kunci pribadi.
Salah satu kasus paling signifikan melibatkan dompet perangkat keras Coldcard, di mana kesalahan konfigurasi firmware yang terjadi sejak Maret 2021 menyebabkan perangkat yang terpengaruh menghasilkan seed pemulihan menggunakan sumber acak yang lebih lemah.
Laporan pada 3 Agustus mengenai eksploitasi keamanan Coldcard merinci dugaan pencurian Bitcoin senilai hampir $90 juta pada saat itu, serta seruan dari Kepala Petugas Keamanan Kraken, Nick Percoco, untuk pengujian independen terhadap generasi seed dompet. Kelemahan ini memungkinkan penyerang untuk merekonstruksi kunci pribadi yang rentan tanpa harus mengakses perangkat secara fisik atau memperoleh frasa pemulihan mereka. Coldcard kemudian merilis firmware yang telah diperbaiki, meskipun seed yang rentan yang dihasilkan sebelumnya mengharuskan pengguna untuk membuat dompet baru dan mentransfer kepemilikan mereka.
Pentingnya Perlindungan dan Perencanaan Warisan
Baru-baru ini, penyelidikan pada 13 Oktober mengenai dompet perangkat keras Ledger yang terkompromi merinci kasus-kasus yang melibatkan perangkat yang didistribusikan melalui reseller CryptoBilis di Asia Tenggara. Ledger mengonfirmasi bahwa implan perangkat keras yang tidak sah telah diidentifikasi di salah satu perangkat yang terpengaruh, sementara penyelidikan belum menetapkan bahwa sistemnya sendiri atau saluran penjualan langsungnya telah terkompromi.
Masalah keamanan yang melibatkan seed pemulihan yang lemah juga telah mempengaruhi jaringan cryptocurrency lainnya. Pada 18 Oktober, Qubic mengungkapkan pelanggaran keamanan dompet yang melibatkan sekitar 2,94 triliun token QU senilai $1,4 juta yang dicuri dari 1.404 dompet. Para pengembang melacak insiden tersebut ke ketidakcukupan acak dalam seed pemulihan dompet tertentu dan kemudian memperbaiki perangkat lunak yang terpengaruh.
Dalam konteks ini, Lopp berargumen bahwa respons terhadap kontrol keamanan yang gagal harus melibatkan peningkatan perlindungan dompet, bukan meninggalkan pengelolaan sendiri sepenuhnya. Mengacu pada lebih dari 15 tahun insiden keamanan di seluruh industri cryptocurrency, ia menyatakan bahwa pengaturan kustodian yang efektif perlu mempertimbangkan kesalahan manusia dan kemungkinan bahwa langkah-langkah perlindungan individu dapat gagal.
Pendekatan yang ia sarankan melibatkan penggunaan dompet multisignature, yang mendistribusikan otorisasi transaksi di antara beberapa kunci pribadi dan dapat mencegah satu kunci yang terkompromi memberikan akses penuh ke dana. Lopp memperingatkan bahwa multisig bukanlah solusi lengkap dengan sendirinya, meskipun ia berargumen bahwa pengaturan yang dirancang dengan baik dapat memberikan perlindungan yang lebih kuat dibandingkan sistem kustodian konvensional.
Ia mendorong pemegang Bitcoin untuk meninjau pengaturan yang ada dan mendistribusikan kunci di berbagai lokasi geografis serta rantai pasokan perangkat keras untuk mengurangi ketergantungan mereka pada perangkat atau lokasi tunggal.
Kesimpulan dan Peringatan Terakhir
Surat tersebut juga membahas perencanaan warisan sebagai pertimbangan penting lainnya, terutama mengenai apa yang akan terjadi pada Bitcoin seseorang jika mereka tidak dapat mengakses atau mengelola kepemilikan mereka. Casa, yang menyediakan layanan pengelolaan sendiri yang dibantu, memposisikan perannya untuk membantu pelanggan mengelola pengaturan ini tanpa mengambil alih kepemilikan kunci pribadi mereka.
Lopp menutup suratnya dengan memperingatkan bahwa baik aktor jahat maupun perantara yang berniat baik pada akhirnya dapat menguasai Bitcoin orang lain, meninggalkan pemegang bertanggung jawab untuk memutuskan seberapa banyak kontrol yang mereka siapkan untuk diserahkan.
