Ledger dan Trezor Mendesak Pengungkapan Kerentanan yang Bertanggung Jawab

Tingkat risikonya sulit dilebih-lebihkan. Satu kelemahan yang tidak diperbaiki pada perangkat yang menyimpan kunci pribadi dapat mengosongkan dompet. Itulah sebabnya kedua vendor mengandalkan pengungkapan kerentanan terkoordinasi, praktik melaporkan bug secara diam-diam, membiarkan vendor memperbaikinya, dan baru kemudian memberi tahu publik. Untuk liputan terkait, lihat AINext Awards & Conference Dubai 2026: Di Mana Pemimpin, Inovator, dan Pembuat Keputusan AI Membentuk Masa Depan Kecerdasan Buatan.

Ledger meminta para peneliti untuk memberinya kesempatan untuk mendiagnosis dan memperbaiki kerentanan sebelum mengungkapkan detailnya kepada pihak ketiga atau publik, menurut kebijakan bug-bounty Donjon-nya. Perusahaan menyebut pengungkapan terkoordinasi sebagai standar yang bertanggung jawab, bukan sekadar kebaikan opsional. Untuk liputan terkait, lihat AgriNext Awards & Conference Dubai 2026: Where Agriculture Leaders, Innovators and Investors Shape the Future of Food Systems.

Ledger telah mengatakan hal tersebut dengan jelas.

“Di Ledger, kami percaya bahwa Pengungkapan Kerentanan Terkoordinasi adalah pendekatan yang tepat untuk lebih melindungi pengguna.”

Trezor mengambil jalur paralel. Portal keamanannya meminta peneliti bug-bounty bertindak dengan itikad baik, memberi perusahaan waktu untuk memperbaiki masalah sebelum pengungkapan publik, dan menghindari penipuan atau kerusakan, sesuai syarat keamanan yang dipublikasikan. Untuk liputan terkait, lihat Nearly 4,000 BTC Leave Liquid Through Valid Peg-Out.

Dua pesaing, satu filosofi. Keduanya tidak ingin ada kelemahan yang dibongkar di internet terbuka sebelum ada patch yang siap dirilis. Ini adalah sikap kebijakan tetap, bukan pengumuman bersama yang dikonfirmasi atau respons terhadap pelanggaran tertentu. Untuk liputan terkait, lihat Liquid Network Merilis 3.996 BTC Setelah L-BTC Dibakar.

Perdebatan pengungkapan bukanlah akademis bagi Ledger. Perusahaan ini sebelumnya telah menghadapi pengawasan, termasuk kasus di mana aplikasi Ethereum diperbaiki sebelum eksploitasi dapat menyerang pengguna, tepat jenis hasil yang dirancang oleh pengungkapan terkoordinasi.

Modelnya sederhana secara teori. Seorang peneliti menemukan kelemahan, melaporkannya secara pribadi, pemasok menilai dan memperbaikinya, dan pengungkapan dilakukan setelah pengguna dilindungi. Gesekannya terletak pada waktu pelaksanaannya.

Ledger memberikan angka yang jelas. Kebijakan pengungkapan 90 hari berarti perusahaan berusaha semaksimal mungkin untuk memperbaiki masalah dalam waktu 90 hari sejak menerima laporan kerentanan, meskipun menekankan bahwa ini adalah target, bukan batas waktu yang dijamin.

Ledger juga menetapkan batas tegas mengenai kualitas. Ledger tidak menerima laporan yang dihasilkan sepenuhnya atau terutama oleh alat otomatis atau AI tanpa analisis manusia yang bermakna, dan menuntut bahwa pengiriman menunjukkan pemahaman terhadap penyebab mendasar dan dampaknya, serta mencakup bukti konsep yang valid atau langkah reproduksi yang jelas.

Trezor menetapkan patokan serupa. Laporan mereka harus mencakup kode bukti-konsep dan deskripsi mendalam tentang bug serta dampak potensialnya, sebuah persyaratan yang dimaksudkan untuk menyaring kebisingan dan membuktikan bahwa celah tersebut nyata.

Ada uang di balik permintaan tersebut. Trezor mencantumkan hadiah kerentanan kritis mulai dari $1.000 hingga $100.000, dengan catatan eksplisit bahwa kasus yang sangat bencana tidak memiliki batas atas, meskipun tingkat keparahan dan kelayakan tetap menjadi pertimbangan mereka.

Pendekatan sektor swasta ini mencerminkan pemikiran pemerintah. Badan Keamanan Siber dan Infrastruktur AS menerbitkan BOD 20-01 pada 2 September 2020, yang mewajibkan lembaga federal yang tercakup untuk mengembangkan dan mempublikasikan kebijakan pengungkapan kerentanan serta mempertahankan prosedur penanganan.

Pentingnya, arahan tersebut menyatakan bahwa kebijakan lembaga tidak boleh membatasi pengungkapan peneliti kecuali melalui permintaan periode respons yang terbatas secara wajar. Juga memisahkan kebijakan pengungkapan dari bounty yang dibayar dan tidak mewajibkan program bounty. Lingkupnya adalah lembaga federal, bukan pembuat dompet swasta, sehingga ini adalah konteks, bukan aturan yang diberlakukan pada Ledger atau Trezor.

Berikut yang tidak dimaksudkan oleh banding pengungkapan: itu tidak mengonfirmasi bahwa pengguna mana pun telah dikompromikan, bahwa dana berisiko, atau bahwa produk tertentu rentan. Kebijakan tidak menyebutkan produk, versi, atau kerugian yang terdampak.

Laporan bahwa AI mendorong gelombang baru ancaman dompet tetap belum terkonfirmasi. Ide bahwa Ledger dan Trezor mengeluarkan banding baru yang secara khusus terkait ancaman keamanan AI berasal dari satu akun yang tidak dapat diverifikasi secara independen, dan tidak ada jumlah insiden atau angka kerugian yang mendukungnya.

Yang solid adalah prosesnya. Jika Anda menggunakan salah satu perangkat, pelajaran praktisnya adalah bahwa kedua perusahaan ingin kesalahan ditangani secara diam-diam dan diperbaiki sebelum diungkapkan, yang mengurangi kemungkinan bug menjadi publik sebelum ada patch.

Jadi pertanyaan sebenarnya yang menggantung di atas dompet perangkat keras bukanlah apakah ada bug. Bug akan selalu ada. Pertanyaannya adalah apakah peneliti yang menemukannya berikutnya memilih handshake 90 hari, atau headline.

Penafian: Artikel ini hanya untuk tujuan informasi dan tidak merupakan nasihat keuangan atau investasi. Pasar mata uang kripto dan aset digital membawa risiko yang signifikan. Selalu lakukan riset sendiri sebelum membuat keputusan.