Dua Rival Dompet Kripto Justru Saling Menambal Celah Keamanan

Ledger, lewat tim risetnya Donjon, menemukan sebuah celah keamanan pada chip yang dipakai dompet perangkat keras Trezor Safe 7 — lalu, alih-alih memanfaatkannya untuk menyerang pesaing, ia melaporkannya secara terbuka. Kedua perusahaan, yang selama ini bersaing keras, kini justru bergandengan mendorong standar industri tentang bagaimana celah keamanan semestinya dilaporkan.

Inti ceritanya bukan bahwa sebuah celah ditemukan, melainkan bagaimana celah itu ditangani. Pada akhir Januari 2026, Donjon mengidentifikasi serangan berjenis *laser fault-injection* pada chip TROPIC01, komponen pengaman buatan Tropic Square yang terpasang di Safe 7. Cara kerjanya terdengar seperti fiksi ilmiah tetapi sudah lama dikenal di riset keamanan perangkat keras: pulsa laser ditembakkan secara sangat presisi ke chip untuk mengacaukan cara kerjanya. Celah ini diumumkan ke publik sekitar 3 Juni 2026, setelah Ledger berkoordinasi langsung dengan Tropic Square. Selama proses itu, si pembuat chip malah menemukan satu jalur serangan tambahan yang menyangkut fungsi PIN — bukti bahwa kerja sama menghasilkan lebih banyak temuan ketimbang jika masing-masing bekerja sendiri.

Sebelum ada yang panik memindahkan dananya, ada satu hal penting: serangan ini menuntut penyerang menguasai perangkatnya secara fisik dan memiliki peralatan laboratorium khusus. Tidak ada risiko dari jarak jauh, dan tidak ada risiko yang menyusup lewat rantai pasok.

Trezor menegaskan dana dan cadangan penggunanya tetap aman, dan alasannya terletak pada rancangan Safe 7 itu sendiri. Chip TROPIC01 hanyalah satu dari tiga lapis pengaman yang berdiri sendiri-sendiri. Andai satu chip berhasil ditembus, dua lapis lainnya masih menghadang penyerang sebelum mencapai aset pengguna. Di sinilah letak pelajarannya: pertanyaannya bukan apakah sebuah dompet punya celah — semua produk punya — melainkan apakah arsitekturnya dirancang untuk menahan celah itu ketika muncul.

## Kenapa AI membuat urusan ini lebih mendesak

Yang membuat kedua perusahaan merasa perlu bersuara adalah kecerdasan buatan. AI mempersempit jarak waktu antara celah ditemukan dan celah benar-benar dieksploitasi; serangan yang dulu cuma teori kini jadi praktis jauh lebih cepat. Salah satu titik lemah yang bisa dipercepat AI adalah entropi — yaitu keacakan yang menjadi fondasi keamanan kripto. Kunci dan sistem PIN mengandalkan angka yang benar-benar acak; jika keacakan itu tidak cukup kuat, AI bisa menebak kemungkinan-kemungkinannya jauh lebih cepat daripada komputasi biasa. Sebagai contoh nyata, Ledger menyinggung sebuah insiden senilai sekitar 116 juta dolar AS terkait dompet Coldcard pada Juli 2026 — pengingat bahwa kelemahan yang tampak teoretis pada akhirnya bisa berujung kerugian sungguhan.

## Bukan yang pertama kali

Saling membongkar celah bukan hal baru bagi keduanya. Riwayat pelaporan bertanggung jawab ini terentang sejak 2018–2019, ketika kelemahan dompet generasi awal ditemukan lewat riset lintas perusahaan, dan berlanjut dengan pengungkapan celah *voltage-glitch* pada 2025. CEO Trezor, Matej Žák, menyebut pertukaran terbaru ini sebagai contoh yang layak ditiru: "This is the model the industry should hold itself to."

Menariknya, keduanya berangkat dari filosofi berbeda. Trezor berakar pada prinsip sumber terbuka, dan chip TROPIC01 dari Tropic Square dirancang dengan semangat transparansi — menolak gagasan "aman karena disembunyikan" dan lebih memilih rancangan yang bisa diperiksa publik. Ledger sebaliknya memakai komponen pengaman yang tertutup pada perangkatnya sendiri. Perdebatan itu belum selesai, tetapi keduanya sepakat menyingkirkannya demi satu tujuan bersama: kerangka baku soal bagaimana celah dilaporkan. Bagi pengguna, kabar ini menenangkan karena celah tadi ditemukan, dilaporkan, dan diredam oleh lapisan keamanan sebelum sempat dimanfaatkan di dunia nyata.