Ada dua jenis pemegang bitcoin minggu ini: yang memeriksa harga setiap pagi, dan yang memeriksa setiap pagi apakah koin mereka masih ada. Alasannya disebut Coldcard — dan ini adalah bukti paling tidak nyaman hingga kini bahwa dompet perangkat keras paling dihormati tidak otomatis yang paling aman.
Sejak 31 Juli 2026, perhitungan konsisten menunjukkan kerugian lebih dari $116 juta dalam bitcoin yang diambil dari lebih dari 5.200 alamat; beberapa perhitungan kini mencapai sekitar $130 juta. Korban bukan orang-orang yang mengklik tautan phishing. Mereka adalah orang-orang yang melakukan semua hal dengan benar: offline, penyimpanan dingin, seed yang dicetak di baja, tidak pernah difoto.
Artikel ini membahas tiga hal: produsen mana yang masih bisa Anda beli dengan hati nurani yang bersih, mengapa rekam jejak lebih unggul daripada spesifikasi apa pun, dan mengapa saat ini tepatnya bukan momen yang tepat untuk menghentikan rencana tabungan Anda.
Apa yang sebenarnya terjadi di Coldcard — dalam satu paragraf
Coldcard, yang diproduksi oleh perusahaan Kanada Coinkite, telah menjadi dompet hanya untuk bitcoin bagi pengguna lanjutan selama bertahun-tahun. Pada versi firmware 4.0.0, yang dikirimkan sejak Maret 2021, perangkat melewati chip keacakan perangkat keras khususnya sendiri saat menghasilkan seed phrase dan menggunakan substitusi perangkat lunak yang dapat diprediksi sebaliknya. Selama lima tahun. Siapa pun yang menghasilkan seed pada perangkat dalam periode tersebut menerima urutan yang dapat dihitung ulang — sebuah kunci yang kuncinya dapat diringkas oleh siapa pun yang menyadari kelemahan ini.
Sisanya adalah komputasi. Pada 31 Juli, sekitar 594 BTC meninggalkan sekitar 500 dompet dalam jendela 25 menit. Pada 2 Agustus, kerugian telah mencapai sekitar 1.367 BTC. Penarikan keempat pada 3 Agustus mengambil tambahan 449 BTC. Bergantung pada firmware yang terpasang saat pembuatan seed, model Mk2, Mk3, Mk4, Mk5, dan Q semuanya mungkin terpengaruh.
Urutan peristiwa yang penting: perangkat tidak diretas. Kerandoman yang menciptakan kunci Anda yang diretas. Pembaruan firmware selanjutnya tidak memperbaiki seed yang sudah ada. Siapa pun yang terdampak harus membuat seed baru dan memindahkan semua aset.
Kami telah membahas timeline dan analisis teknis secara rinci di sini: 594 BTC hilang dalam 25 menit — penjelasan kelemahan Coldcard dan sweep keempat.
Pelajaran sebenarnya: rekam jejak mengalahkan spesifikasi
Setiap dompet perangkat keras di pasar mengiklankan kata-kata yang sama — elemen aman, sumber terbuka, jarak udara, PIN, frasa sandi. Fitur-fitur tersebut sebanding dan hampir semua pemasok mencantumkannya. Yang tidak dapat dicetak pada spesifikasi adalah bagaimana seorang produsen telah bertindak, selama bertahun-tahun, ketika terjadi masalah.
Itu adalah kriteria yang penting setelah minggu ini. Berdasarkan itu, pasar terlihat seperti ini:
Coinkite (Coldcard)
Reputasi teknis yang sangat baik, hanya bitcoin, komunitas yang sangat kuat. Dan sebuah kelemahan dalam pembuatan kunci yang tidak terdeteksi selama lima tahun — kategori kegagalan terburuk, karena tidak dapat diperbaiki secara retrospektif. Perusahaan merespons dengan firmware yang diperbaiki dan instruksi untuk memindahkan dana ke dompet yang baru dibuat. Bagi pembeli baru, posisi yang masuk akal saat ini adalah menunggu hingga laporan pasca-kejadian independen selesai.
Ledger
Pemimpin pasar Prancis memiliki daftar insiden terpanjang — dengan satu kualifikasi penting yang hampir selalu hilang dalam perdebatan: tidak ada dari insiden-insiden ini yang pernah merusak integritas perangkat keras itu sendiri. Rekor:
- Juli 2020: kebocoran data e-commerce yang mengekspos lebih dari satu juta rekam jejak pelanggan — masih menjadi bahan baku untuk surat phishing dan "perangkat pengganti" palsu hingga kini.
- Mei 2023: kontroversi Ledger Recover. Kemampuan untuk membagi seed menjadi fragmen terenkripsi bertentangan dengan janji yang diyakini dibeli oleh banyak pembeli.
- Desember 2023: eksploitasi Connect Kit. Kode jahat disisipkan ke dapp melalui akun npm yang diretas dari mantan karyawan; sekitar $484.000 disedot — dari pengguna dapp, bukan dari pemegang dompet.
- Januari 2026: data pelanggan lagi, kali ini melalui mitra e-commerce Global-e.
Pengguna Ledger tidak berisiko kehilangan dana akibat cacat firmware. Mereka berisiko menjadi korban kampanye phishing yang sangat terencana, karena alamat pengiriman mereka telah beredar sejak 2020.
Tangem
Desain counter, dan dari sudut pandang hari ini yang paling menarik. Tangem menggunakan kartu alih-alih perangkat dengan layar dan kabel. Kunci dihasilkan di dalam elemen aman yang bersertifikat Common Criteria EAL6+ dan tidak pernah keluar dari kartu. Tidak ada baterai, tidak ada pembaruan firmware di perangkat, tidak ada port USB—dan karenanya permukaan serangan yang jauh lebih kecil. Cadangan bukan berupa selembar kertas, tetapi satu set dua atau tiga kartu yang dipasangkan.
Rekam jejak: audit independen oleh Kudelski Security (2018), Riscure (2023), dan Cure53 (2026), yang semuanya tidak menemukan kerentanan. Dari lebih dari satu juta kartu yang dikirim, tidak ada kompromi sistematis yang diketahui. Itu bukan jaminan—tetapi itu adalah jenis riwayat yang membosankan dan dapat diverifikasi, yang bernilai lebih daripada fitur apa pun setelah minggu seperti ini.
Pengungkapan: CryptoTicker menjalankan program mitra dengan beberapa penyedia yang disebutkan di sini. Penilaian di atas mengikuti catatan insiden yang didokumentasikan secara publik, bukan hubungan komersial. Di mana pandangan kami berbeda dari hubungan tersebut—seperti dengan Coldcard dan Ledger—kami menyebutkannya.
Perbandingan lengkap, dengan harga, koin yang didukung, dan peringkat, ada di perbandingan dompet perangkat keras kami.
Tiga aturan yang mengikuti minggu ini
Aturan 1: Beli berdasarkan sejarah, bukan berdasarkan spesifikasi
Sebelum memesan dompet, cari nama produsen ditambah "insiden", "pelanggaran", atau "kerentanan". Anda tidak mencari hasil nol — setiap vendor serius memiliki beberapa. Yang Anda cari adalah responsnya: Seberapa cepat pengungkapan dilakukan? Apakah itu lengkap? Apakah audit independen dipublikasikan? Sebuah produsen yang membongkar kegagalannya sendiri secara publik lebih aman daripada yang catatannya hanya tampak kosong.
Aturan 2: Jangan pernah mengandalkan satu sumber keacakan saja
Kesenjangan Coldcard adalah kesenjangan randomisasi. Jika Anda tidak ingin menyerahkan entropi sepenuhnya ke perangkat, ada dua cara yang kuat: menghasilkan seed dari lemparan dadu (didukung oleh beberapa perangkat), atau menjalankan pengaturan multisig menggunakan perangkat dari dua produsen berbeda. Dalam multisig 2-of-3 yang mencakup dua merek, cacat firmware skala vendor tidak lagi menjadi kerugian total, tetapi menjadi ketidaknyamanan.
Aturan 3: Periksa aset Anda secara aktif, bukan hanya berharap
Penyimpanan dingin mengundang Anda untuk tidak memperhatikan selama bertahun-tahun. Atur janji temu setiap tiga bulan: periksa saldo melalui penjelajah blok (alamat publik sudah cukup — jangan pernah memasukkan seed Anda di mana pun), baca changelog firmware vendor, verifikasi lokasi cadangan Anda. Lima belas menit, empat kali setahun.
Dan sekarang bagian yang hampir semua orang salahkan di minggu-minggu seperti ini
Bitcoin diperdagangkan sekitar $64.100 pada 5 Agustus 2026. Arus berita buruk: bencana dompet perangkat keras, dua DEX Perp disedot pada Juli, ETF spot AS pertama menutup pintunya. Reaksi khas adalah menghentikan rencana tabungan — "sampai semuanya tenang".
Itu tepatnya langkah yang menurunkan harga entri rata-rata Anda seiring waktu. Rencana tabungan bukanlah instrumen pasar; ia adalah instrumen melawan suasana hati Anda sendiri. Seluruh nilainya diciptakan tepat di bulan-bulan ketika Anda ingin mematikannya. Siapa pun yang berhenti pada 2022 melewatkan bagian paling murah dari siklus dan memulai kembali pada musim panas 2024 dengan harga yang jauh lebih tinggi.
Pilihan kami untuk rencana tabungan: Coinbase — tetapi bukan melalui tombol rencana tabungan
Coinbase adalah pilihan jelas bagi investor Eropa saat ini. Sejak Juni 2026, bisnis Eropanya beroperasi di bawah lisensi MiCA yang berbasis di Luksemburg, mengkonsolidasikan otorisasi nasional sebelumnya — termasuk yang Jerman — di bawah satu atap. Sejak periode transisi MiCA terakhir berakhir pada 1 Juli 2026, itulah perbedaan antara bursa yang tetap dan yang meninggalkan pasar Eropa. Tambahkan jalur SEPA yang bersih, dukungan bahasa lokal, dan ekspor pajak yang dapat dibaca oleh alat-alat umum.
Dan sekarang bagian yang lebih disukai penyedia sendiri untuk tidak ditekankan: tombol pembelian berulang yang nyaman adalah cara paling mahal untuk membeli di Coinbase.
| Rute | Biaya efektif per pembelian | Upaya |
|---|---|---|
| Pembelian Berulang di aplikasi Coinbase | sekitar 2,5 persen (biaya plus spread) | atur sekali, berjalan sendiri |
| Pembayaran kartu | 3,49 persen tambahan | rendah — dan tidak perlu mahal |
| Order limit melalui Coinbase Advanced | dari 0,6 persen (maker) | dua menit per bulan |
Dengan €200 per bulan, itu sekitar €60 per tahun — untuk hasil yang identik di portofolio Anda. Alur kerja yang menggabungkan keduanya: transfer SEPA berulang ke akun Coinbase Anda, dua menit sekali sebulan untuk order limit di Coinbase Advanced, lalu tarik ke dompet Anda sendiri. Kenyamanan rencana tabungan terletak pada perintah berulang, bukan pada tombol beli.
Untuk membandingkan penyedia secara berdampingan — biaya, cicilan minimum, frekuensi eksekusi, biaya penarikan — lihat pedoman pembelian bitcoin. Dan untuk mengetahui bursa mana yang masih beroperasi di bawah regulasi di Eropa setelah MiCA: perbandingan bursa kripto yang terregulasi.
Implementasi 30 menit
- Tetapkan eksposur. Menggunakan Coldcard dengan seed yang dihasilkan pada perangkat setelah Maret 2021? Maka buat dompet baru pada firmware yang telah diperbaiki atau pada perangkat produsen lain, dan pindahkan semuanya tanpa penundaan. Jangan menunggu transaksi uji coba — kelemahan ini sudah publik, begitu pula alamat-alamatnya.
- Pilih produsen berdasarkan riwayat insiden dan perilaku respons, bukan berdasarkan daftar fitur.
- Pikirkan cadangan sebagai satu set. Dua lokasi, bangunan berbeda. Untuk dompet kartu: kartu kedua tidak boleh disimpan di laci yang sama.
- Atur rencana tabungan — order SEPA berulang ditambah order limit bulanan, dengan jumlah yang tidak akan merugikan selama enam bulan buruk.
- Tetapkan pengingat triwulanannya di kalender untuk memeriksa saldo dan daftar perubahan firmware.
Kesimpulan
Insiden Coldcard tidak membuktikan bahwa self-custody salah. Itu membuktikan bahwa self-custody berarti memilih produsen—dan pilihan itu harus didasarkan pada riwayat terdokumentasi, bukan reputasi komunitas. Lakukan dua hal minggu ini, dan Anda akan berakhir dalam posisi yang lebih baik daripada saat memulai: ubah atau konfirmasi vendor custodian Anda berdasarkan rekam jejaknya, dan pertahankan rencana tabungan berjalan meskipun ada headline. Dalam urutan itu.
(Sampai 5 Agustus 2026. Artikel ini bukan merupakan saran investasi. Harga dan model biaya berubah — periksa jangka waktu terkini dengan penyedia sebelum setiap pembelian.)