Membongkar Ledger Asli, TBC Membahas Batasan Sebenarnya dari Self-Custody

Sebuah dompet keras yang dibeli dari saluran resmi, dengan kemasan utuh dan stiker anti-palsu yang tidak pernah dibuka, menyala dan melakukan pemeriksaan awal dengan baik. Namun, di dalamnya telah ditanamkan komponen tersembunyi untuk menangkap frasa pemulihan.

Pada 15 Oktober 2026, Ledger memberikan tanggapan resmi mengenai insiden ini: penyerang membeli perangkat asli, membongkarnya untuk menanam perangkat keras, dan kemudian mendistribusikannya kembali ke pasar melalui saluran distribusi di Asia Tenggara. Ledger menekankan bahwa chip, sistem operasi, dan server tidak pernah diretas, dan mengklasifikasikan ini sebagai serangan pada saluran distribusi lokal, bukan invasi rantai pasokan yang sistematis.

Pada 14 Oktober, Tom's Hardware mengutip laporan Bloomberg yang memperkirakan kerugian sekitar 93 juta USD. Penting untuk dicatat: angka ini berasal dari media pihak ketiga, bukan jumlah yang dikonfirmasi oleh pernyataan resmi Ledger.

Siapa yang memiliki angka tersebut tidaklah penting. Yang penting adalah hal yang terungkap.

I. Self-Custody Tidak Menghilangkan Risiko, Hanya Memindahkan Risiko

Selama sepuluh tahun terakhir, industri ini telah menceritakan sebuah kisah yang sangat bersih: menaruh koin di bursa, Anda menyerahkan nasib Anda kepada sebuah perusahaan; memegang kunci pribadi di tangan Anda sendiri, Anda menjadi bebas.

Kisah ini setengah benar.

Risiko yang terkait dengan custodial exchange adalah terpusat dan terlihat: penyalahgunaan, penarikan mendadak, kebangkrutan, pembekuan oleh regulator. Setelah FTX, "Not your keys, not your coins" diterima oleh lebih banyak pengguna, dan industri mulai lebih serius mendiskusikan alat self-custody dan penyimpanan frasa pemulihan.

Namun, self-custody bukanlah akhir dari risiko, melainkan pemindahan risiko.

Ia mengubah pertanyaan "Apakah platform bisa berbuat jahat?" menjadi serangkaian pertanyaan lain: Dari mana perangkat Anda berasal? Apakah firmware telah dimodifikasi? Dalam kondisi apa frasa pemulihan dihasilkan? Apakah konten yang ditampilkan di layar saat menandatangani sesuai dengan transaksi yang sebenarnya? Siapa yang berhak memulai transfer ini?

Dalam serangkaian pertanyaan ini, jika satu langkah gagal, hasilnya tidak berbeda dengan bursa yang bangkrut. Estimasi pihak ketiga sebesar 93 juta USD pada dasarnya membeli pelajaran ini.

Lebih rumit lagi, bentuk serangan ini telah berubah. Ia tidak meretas kriptografi, tidak meretas chip, tidak meretas algoritma konsensus. Ia meretas pada sambungan antara dunia fisik dan rantai kepercayaan: saluran distribusi, tahap pembongkaran, pengemasan ulang, dan peralihan logistik.

Kriptografi dapat membuktikan bahwa tanda tangan valid, tetapi tidak dapat membuktikan apakah tangan yang menandatangani tersebut terpaksa, dan juga tidak dapat membuktikan apakah perangkat tersebut telah diam-diam mengirimkan frasa pemulihan di tempat yang tidak terlihat.

Bagian paling rentan dalam model keamanan bukanlah algoritma, melainkan manusia, perangkat, dan proses.

II. Memecah Kunci Pribadi Tunggal Menjadi Beberapa Syarat yang Dapat Diverifikasi

Pencerahan sejati dari insiden Ledger bukanlah "jangan gunakan dompet keras", melainkan: hanya bergantung pada asumsi "kunci pribadi ada di tangan saya" adalah titik kegagalan tunggal.

Arah yang benar adalah membuat transfer dana memerlukan pemenuhan beberapa syarat sekaligus, dan syarat-syarat ini tersebar di berbagai domain kepercayaan.

Posisi TBC dalam hal ini perlu diungkapkan dengan lebih hati-hati. Ia tidak mengklaim dapat menghilangkan serangan terminal, tidak ada satu rantai pun yang dapat melakukan hal ini. Nilai TBC terletak pada: kontrak asli UTXO dan alat multi-tanda tangan, yang memungkinkan proyek untuk memecah risiko kunci pribadi tunggal menjadi beberapa syarat yang dapat diverifikasi.

Secara spesifik, TBC menggunakan SHA256 PoW dan model UTXO, kode node TBCNODE dapat diakses secara publik. Karakteristik alami dari model UTXO adalah: setiap output yang belum dibelanjakan dapat dibatasi oleh syarat skrip yang independen, bukan tergantung pada saldo akun global. Ini berarti aturan pengeluaran dapat ditulis di dalam rantai, bukan ditulis di suatu layanan belakang.

SDK tbc-contract menyediakan pencarian di dalam rantai, pengambilan UTXO, konstruksi transaksi, tanda tangan, dan penyiaran, serta mencakup MultiSig, NFT, FT, dan alur kerja Pool. Contoh resmi MultiSig mendukung pengaturan ambang tanda tangan dari 1 hingga 6 di antara 3 hingga 10 kunci publik, dokumen memberikan contoh 2-of-3.

Di sini harus diungkapkan dengan lengkap: multi-tanda tangan adalah alat kontrol risiko yang dapat dikonfigurasi, bukan keamanan otomatis, dan bukan keamanan absolut.

Jika seseorang berpikir bahwa dengan mengatur 2-of-3 semua masalah selesai, itu adalah kesalahan yang sama dengan percaya "membeli dompet keras berarti aman". Multi-tanda tangan mengubah struktur biaya serangan, bukan kemungkinan serangan.

Dokumen TBC AMM menjelaskan hal lain: SDK membangun, mengutip, dan menandatangani secara lokal, penyiaran dilakukan oleh aplikasi secara eksplisit; status pool dan kontrol aset bergantung pada UTXO dan aturan skrip. Ini membentuk dasar untuk transaksi non-kustodial dan pemisahan izin.

Juga harus dijelaskan batasan: ini tidak berarti AMM tidak memiliki risiko kontrak, risiko harga, atau risiko antarmuka. Tanda tangan lokal menyelesaikan "kunci pribadi tidak meninggalkan perangkat", tetapi tidak menyelesaikan "apakah transaksi yang Anda tandatangani adalah transaksi yang benar-benar ingin Anda tandatangani".

III. Mengapa Multi-Signature Seringkali Hanya Sebuah Diversifikasi Secara Formal

Ini adalah bagian yang paling mudah dilewatkan, dan juga yang paling mematikan.

Jika beberapa kunci tanda tangan berasal dari satu frasa pemulihan, disimpan di satu perangkat, atau dikendalikan oleh orang yang sama, multi-tanda tangan hanyalah diversifikasi secara formal.

Penyerang yang mendapatkan satu frasa pemulihan sama dengan mendapatkan seluruh hak tanda tangan. Jika perangkat ditanamkan sekali, itu sama dengan semua ambang batas gagal secara bersamaan. Konfigurasi ini mungkin terlihat seperti 3-of-5 di dalam rantai, tetapi dalam kenyataannya adalah 1-of-1.

Jadi yang benar-benar perlu ditanyakan bukanlah "saya memiliki berapa banyak tanda tangan", tetapi beberapa pertanyaan yang lebih mendasar:

• Apakah lingkungan pembuatan kunci ini saling independen?
• Apakah mereka disimpan di perangkat yang terpisah secara fisik?
• Apakah orang yang memulai transaksi dan orang yang menyetujui transaksi adalah orang yang sama?
• Apakah transfer berisiko tinggi memiliki penundaan dan pemeriksaan manual?
• Apakah proses rotasi dan pemulihan kunci telah dilatih?

Model UTXO TBC tidak akan secara otomatis memperbaiki kunci pribadi yang dicuri. Hal ini harus diakui. Aturan di dalam rantai dapat melakukan: ketika suatu syarat dilanggar, mencegah transfer dana yang tidak sah; tetapi tidak dapat melakukan: memulihkan aset secara tiba-tiba ketika kunci pribadi telah bocor.

Praktik rekayasa yang menyertainya tetap tidak dapat diabaikan: perangkat tanda tangan independen, rotasi kunci, batas harian dan per transaksi, penguncian waktu, pemeriksaan multi-pihak untuk transaksi berisiko tinggi, dan rencana pemulihan yang dapat dilaksanakan.

Ada satu lapisan yang harus diungkapkan: TBC sendiri masih perlu terus memperbaiki. Kemudahan interaksi multi-tanda tangan, kedalaman kompatibilitas dengan dompet keras utama, template izin yang siap pakai, pengujian benchmark oleh pihak ketiga yang independen, serta audit berkelanjutan untuk SDK, dompet, dan komponen AMM, semuanya adalah pekerjaan yang sedang berlangsung.

TBCNODE telah memiliki catatan audit keamanan versi dari CertiK dan SlowMist. Namun, audit hanya dapat membuktikan bahwa versi tertentu, dalam lingkup tertentu telah diperiksa, tidak mencakup terminal perangkat keras, tidak mencakup kebiasaan manajemen kunci pengguna, tidak mencakup kode yang akan diajukan di masa depan, dan tidak mencakup seluruh logika lapisan aplikasi. Menganggap laporan audit sebagai sertifikat keamanan adalah bentuk kemalasan lainnya.

IV. Self-Custody yang Sebenarnya adalah Aturan di Dalam Rantai

Kembali ke perangkat yang dibongkar itu.

Ia mengingatkan kita, "kunci pribadi di tangan sendiri" adalah syarat yang diperlukan, bukan syarat yang cukup. Sumber perangkat, distribusi hak tanda tangan, dan aturan pengeluaran di dalam rantai, ketiga hal ini harus terpenuhi secara bersamaan agar struktur keamanan dapat berdiri.

Perubahan yang kemungkinan besar akan terjadi di industri ke depan adalah: produsen dompet keras akan memperkuat kontrol saluran dan desain anti-pembongkaran, layanan asuransi dan kustodian akan menilai kembali risiko rantai pasokan fisik, dan pihak proyek akan mulai menganggap "desain izin" sebagai isu rekayasa yang sama pentingnya dengan "audit kode".

Posisi TBC dalam gambaran ini bukanlah "solusi untuk serangan perangkat keras", melainkan menyediakan alat untuk menulis aturan izin ke dalam rantai: kontrak asli UTXO membatasi syarat pengeluaran, multi-tanda tangan memecah hak tanda tangan ke dalam domain kepercayaan yang berbeda, dan komponen transaksi non-kustodial memastikan kunci pribadi tidak meninggalkan lokal.

Self-custody yang sebenarnya bukan hanya memiliki satu kunci pribadi, tetapi adalah ketika setelah satu titik kegagalan, aturan di dalam rantai masih dapat mencegah transfer dana yang tidak sah.

Sumber Informasi Tautan sumber: Ledger · Tom's Hardware · TBCNODE · Contract SDK · MultiSig · AMM · CertiK · SlowMist