Dompet Keras Air-Gapped vs. USB vs. Bluetooth: Mana yang Sebenarnya Lebih Aman?

Cara dompet keras terhubung ke dunia luar memicu perdebatan sengit di kalangan pemegang kripto, namun tidak ada penyerang yang pernah mencuri dana dengan mencegat sinyal USB atau Bluetooth. Setiap eksploit yang terdokumentasi menargetkan firmware, chip fisik, atau infrastruktur pendukung. Pertanyaan sebenarnya bukan kabel mana yang harus “diputus”, tapi model ancaman mana yang perlu disiapkan.

TL;DR

Dompet air-gapped menghilangkan vektor serangan jarak jauh tertentu tetapi menambah vektor baru lewat parsing QR dan mikrokontroler microSD, dan tidak dapat mendukung protokol penandatanganan anti-klepto.

Dompet USB dengan secure element tersertifikasi tidak pernah dikompromikan melalui koneksi datanya; protokol anti-klepto yang hanya tersedia lewat kanal persisten merupakan peningkatan keamanan yang nyata.

Bluetooth belum pernah dieksploitasi pada dompet keras mana pun meski bertahun-tahun kekhawatiran komunitas; isolasi secure element membuat intersepsi BLE praktis tidak berguna bagi penyerang.

Tidak Semua Dompet Keras Diciptakan Sama

Dompet keras memiliki satu prinsip inti: private key tetap berada di perangkat sementara penandatanganan transaksi terjadi terisolasi dari komputer host. Di luar fondasi bersama itu, perangkat-perangkat ini sangat berbeda. Metode konektivitas, arsitektur chip, transparansi firmware, dan desain fisik bervariasi di antara produsen dan model.

Pasar terbagi dalam tiga kubu konektivitas. Perangkat hanya-USB seperti Trezor Safe 3 dan BitBox02 dicolok langsung ke komputer. Dompet berkemampuan Bluetooth seperti Ledger Nano X dan Ledger Stax terhubung nirkabel dengan ponsel. Penanda tangan air-gapped seperti Coldcard, Foundation Passport, Keystone 3 Pro, NGRAVE ZERO, dan Ellipal Titan tidak pernah terhubung ke jaringan apa pun.

Setiap pendekatan memiliki kompromi.

USB menyediakan komunikasi dua arah ber-latensi rendah tetapi menciptakan kanal data fisik.

Bluetooth menambah kenyamanan seluler namun membuka antarmuka nirkabel. Air-gapping menghilangkan kanal data elektronik sepenuhnya tetapi membatasi protokol keamanan yang dapat didukung perangkat.

Harga dan filosofi juga sangat bervariasi. Trezor Safe 3 atau Ledger Nano S Plus berharga sekitar $79. Coldcard Mk4 sekitar $148 dan Foundation Passport $199. NGRAVE ZERO berada di $398. Opsi gratis adalah AirGap Vault, yang mengubah ponsel cadangan apa pun menjadi penanda tangan offline.

Juga Baca: Ethereum Eyed For Euro Stablecoin Settlement Layer

Apa Arti Sebenarnya dari “Air-Gapped”

NIST mendefinisikan air gap sebagai pemisahan fisik antar sistem yang mencegah transfer data tidak sah. Pada dompet keras, ini berarti tidak ada data USB, tidak ada Wi-Fi, tidak ada Bluetooth, tidak ada NFC, tidak ada seluler. Satu-satunya jembatan antara perangkat dan dunia luar adalah cahaya atau media penyimpanan yang dapat dilepas.

Dompet air-gapped mengikuti alur kerja yang konsisten. Aplikasi pendamping di ponsel atau komputer membangun transaksi belum ditandatangani, biasanya dalam format PSBT (Partially Signed Bitcoin (BTC) Transaction sesuai BIP-174).

Aplikasi itu mengenkode transaksi sebagai kode QR atau menyimpannya ke kartu microSD. Perangkat air-gapped memindai QR atau membaca berkas, menampilkan detail transaksi di layar tepercaya, menandatangani dengan private key yang disimpan di secure element, dan mengeluarkan QR atau berkas yang sudah ditandatangani.

Penandatanganan berbasis QR mengandalkan urutan QR animasi untuk transaksi besar. Standar seperti Uniform Resource specification dari Blockchain Commons dengan fountain codes, atau protokol BBQr milik Coinkite, membagi data ke puluhan frame. Satu frame QR maksimal sekitar 3 sampai 5 KB sebelum sulit terbaca, sehingga transaksi multisig atau CoinJoin yang kompleks membutuhkan kesabaran.

Penandatanganan berbasis microSD menghindari batas ukuran itu sepenuhnya. Coldcard menggunakannya sebagai metode utama. Namun kartu microSD berisi mikrokontroler tertanam dengan firmware yang bisa diretas, seperti yang didokumentasikan peneliti Bunnie Huang di sini. Apakah sebuah mini-komputer yang dicolok ke dompet Anda benar-benar mempertahankan “air gap” patut diperdebatkan.

Lanskap perangkat air-gapped mencakup beberapa pendekatan berbeda:

Coldcard Mk4 ($148) hanya mendukung Bitcoin dengan dua secure element dari vendor berbeda, firmware sepenuhnya open-source dan dapat direproduksi, serta fitur seperti PIN tipuan yang dapat mematikan perangkat di bawah paksaan
NGRAVE ZERO ($398) mengklaim sertifikasi EAL7 khusus untuk lingkungan eksekusi tepercaya ProvenCore, bukan seluruh perangkat, dan firmware-nya sebagian besar tetap tertutup
Foundation Passport ($199) menggabungkan arsitektur keamanan ala Coldcard dengan desain ramah pengguna dan perangkat keras serta perangkat lunak yang sepenuhnya open-source
Keystone 3 Pro ($149 hingga $169) berjalan di Android 8.1 yang dikustomisasi dengan tiga chip secure element dan menjadi dompet pertama yang membuka kode firmware secure element-nya
Ellipal Titan 2.0 ($169) menggunakan bodi sepenuhnya logam tertutup dengan mekanisme penghancur diri anti-tamper

Juga Baca: Bitcoin Hits $72.7K High On Iran Peace Optimism

Dompet USB dan Bluetooth Bergantung pada Secure Element, Bukan Isolasi

Dompet yang terhubung USB berkomunikasi melalui protokol USB HID dengan lapisan aplikasi proprieter di atasnya. Ledger menggunakan APDU, standar smart card. Trezor memakai protobuf di atas HID dengan Trezor Bridge sebagai daemon. BitBox02 menggunakan pesan protobuf terenkripsi melalui Noise Protocol Framework, membangun kanal terenkripsi ujung-ke-ujung yang diverifikasi oleh kode pairing out-of-band. Enkripsi ini unik di antara dompet USB. Bahkan komputer host yang sepenuhnya terkompromi tidak dapat membaca atau memanipulasi data dalam perjalanan.

Tulang punggung keamanan dompet-dompet ini adalah secure element, chip tahan-rusak yang tersertifikasi untuk melawan probing fisik, voltage glitching, dan analisis side-channel. Perangkat Ledger generasi baru menggunakan chip ST33K1M5 berperingkat EAL6+, di mana sistem operasi kustom BOLOS berjalan langsung di SE, mengendalikan layar dan tombol dari dalam batas aman.

Trezor menempuh jalur berbeda selama bertahun-tahun.

Model-model awalnya sama sekali tidak memiliki secure element. Safe 3 dan Safe 5 menambahkan chip Infineon OPTIGA Trust M berperingkat EAL6+ untuk penegakan PIN dan atestasi perangkat. Namun penandatanganan kriptografis masih terjadi di mikrokontroler general-purpose, bukan di SE. Trezor Safe 7 yang akan datang memperkenalkan TROPIC01, secure element open-source pertama yang sepenuhnya dapat diaudit, dikembangkan oleh Tropic Square, anak perusahaan SatoshiLabs.

Dompet berkemampuan Bluetooth menggunakan Bluetooth Low Energy hanya sebagai lapisan transport. Implementasi Ledger memperlakukan koneksi BLE sebagai terkompromi secara default. MCU STM32WB55 dengan radio BLE bertindak sebagai relay. Secure element mengendalikan layar dan tombol secara independen. Private key tidak pernah keluar dari batas SE.

Fitur keamanan utama dari implementasi BLE pada perangkat Ledger meliputi:

Pairing menggunakan Numeric Comparison, metode BLE standar terkuat, dengan otentikasi AES-CMAC untuk mencegah serangan man-in-the-middle
Hanya data publik (transaksi belum ditandatangani, transaksi yang sudah ditandatangani) yang melewati kanal nirkabel, tidak pernah seed atau private key
Pengguna dapat mematikan Bluetooth sepenuhnya dan beralih ke USB kapan saja
SE memverifikasi dan menampilkan detail transaksi secara independen dari tumpukan BLE

Keputusan Trezor menambahkan Bluetooth ke Safe 7 setelah bertahun-tahun menghindari konektivitas nirkabel menandakan konsensus industri. BLE dapat diterima ketika isolasi secure element diterapkan dengan benar.

Juga Baca: Why Central Banks May Struggle To Control Inflation This Time

Semua Serangan Nyata Menargetkan Firmware dan Fisika, Bukan Kabel

Fakta paling signifikan dalam keamanan dompet keras adalah ini: di semua eksploit yang terdokumentasi sejak industri ini dimulai, tidak ada satu pun serangan berhasil yang mengandalkan intersepsi atau manipulasi kanal transport data. Bukan USB. Bukan Bluetooth. Bukan kode QR.

Douglas Bakkum, salah satu pendiri Shift Crypto (BitBox), secara sistematis mengkatalogkan setiap kerentanan yang diketahui dan menyimpulkan bahwa komunikasi air-gapped hanya menawarkan sedikit peningkatan keamanan sambil memperburuk pengalaman pengguna.

Kraken Security Labs menunjukkan pada Januari 2020 bahwa seed dapat diekstrak dari Trezor One dan Trezor Model T hanya dalam sekitar 15 menit dengan peralatan senilai kira-kira $75. Serangan ini menggunakan voltage glitching untuk menurunkan perlindungan baca mikrokontroler STM32 dari RDP2 ke RDP1, lalu mengekstrak seed terenkripsi melalui debugging ARM SWD dan melakukan brute force PIN.

Kerentanan ini melekat pada keluarga chip STM32 dan tidak dapat ditambal lewat pembaruan firmware. Mitigasi yang disarankan Trezor adalah menggunakan passphrase BIP39, yang tidak disimpan di perangkat.

Pelanggaran basis data Ledger pada Juni 2020 menyebabkan lebih banyak kerugian nyata dibandingkan semua kerentanan perangkat keras digabungkan. Kunci API yang salah konfigurasi mengekspos 1,1 juta alamat email dan sekitar 272.000 catatan pelanggan lengkap termasuk nama, alamat rumah alamat, dan nomor telepon.

Dampaknya sangat menghancurkan. Dompet Ledger palsu dengan firmware yang sudah dimodifikasi dikirimkan kepada para korban. Email pemerasan menuntut pembayaran Bitcoin senilai $700 hingga $1.000. Pola serangan fisik terhadap pemilik kripto pun mengikuti dan berlanjut hingga hari ini. Pada Januari 2025, salah satu pendiri Ledger, David Balland, diculik di Prancis dan salah satu jarinya dipotong.

Kontroversi Ledger Recover pada Mei 2023 menghancurkan satu asumsi inti yang dipegang banyak pengguna. Layanan opsional Ledger seharga $9,99 per bulan ini mengenkripsi seed phrase pengguna, membaginya menjadi tiga fragmen, dan mendistribusikannya ke Ledger, Coincover, dan kustodian ketiga, dengan mewajibkan verifikasi identitas KYC.

Kemarahan komunitas berpusat pada satu pengungkapan fundamental: firmware Ledger sejak awal memiliki kemampuan teknis untuk mengekstrak seed phrase dari secure element. CTO Charles Guillemet menjelaskan bahwa hal ini melekat pada arsitektur dompet perangkat keras apa pun. Co-founder Éric Larchevêque mengonfirmasi di Reddit bahwa dengan menggunakan Recover, aset bisa dibekukan oleh pemerintah.

Also Read: Cardano Whale Wallets Reach 4-Month Peak Amid 42% Drop

Masalah Anti-Klepto Memberi USB Keunggulan Keamanan Nyata

Dark Skippy, yang diungkap pada Agustus 2024 oleh para co-founder Frostsnap, Lloyd Fournier dan Nick Farrow, bersama pengembang BitVM Robin Linus, menunjukkan bahwa firmware berbahaya dapat mengekfiltrasi seluruh seed phrase pengguna hanya melalui dua tanda tangan transaksi.

Serangan ini menyisipkan data seed ke dalam nonce tanda tangan. Penyerang yang memantau blockchain publik dapat merekonstruksi seed menggunakan algoritma Pollard's Kangaroo. Ini memengaruhi setiap dompet perangkat keras tanpa memandang metode konektivitas.

Pertahanan terhadap Dark Skippy adalah protokol anti-klepto. Dalam penandatanganan ECDSA standar, dompet perangkat keras menghasilkan nonce acak secara internal.

Jika firmwarenya berbahaya, ia dapat memilih nonce yang menyandikan materi kunci privat. Pengguna tidak punya cara untuk mendeteksi hal ini.

Penandatanganan anti-klepto, yang pertama kali diimplementasikan oleh BitBox02 pada awal 2021, mengharuskan perangkat lunak host untuk menyumbangkan nonce acak tambahan. Dompet perangkat keras harus memasukkan nonce eksternal itu ke dalam proses penandatanganan. Jika dompet tidak memasukkannya dengan benar, verifikasi tanda tangan akan gagal. Ini membuat eksfiltrasi kunci secara terselubung bisa dideteksi.

Protokol ini memerlukan kanal yang persisten, berlatensi rendah, dan dua arah. Itulah yang disediakan oleh USB dan Bluetooth. Pemindaian kode QR membuatnya tidak praktis karena setiap putaran tambahan verifikasi anti-klepto memerlukan satu siklus tambahan pemindaian rangkaian QR animasi. Saat ini hanya BitBox02 dan Blockstream Jade yang mengimplementasikan penandatanganan anti-klepto. Dompet air-gapped secara praktis tidak dapat mendukung protokol ini.

Ini tidak berarti air-gapping hanyalah sandiwara. Ia menghilangkan beberapa vektor serangan nyata:

Serangan BadUSB ketika sebuah perangkat yang dimodifikasi menyamar sebagai keyboard ke host
Fingerprinting enumerasi perangkat USB yang membocorkan informasi tentang sistem yang terhubung
Serangan kanal samping konsumsi daya OLED yang ditemukan oleh Christian Reitter pada 2019, di mana pengukuran daya USB dapat sebagian mengungkap PIN atau informasi seed yang ditampilkan
Serangan debugging JTAG pada MCU yang tidak aman, seperti yang ditemukan Kraken Security Labs pada Ledger Nano X, di mana modifikasi firmware sebelum instalasi aplikasi dimungkinkan

Ini adalah vektor- vektor nyata yang dihilangkan oleh air-gapping. Namun ini juga vektor yang sebagian besar dapat diredam oleh arsitektur secure element yang tepat, protokol USB terenkripsi, dan verified boot.

Also Read: Billions Vanished In Crypto Fraud Last Year, Here's What The FBI Found

Bluetooth Belum Pernah Dieksploitasi pada Dompet Perangkat Keras

Terlepas dari kekhawatiran luas komunitas soal Bluetooth, catatan empirisnya jelas. Belum pernah ada dompet perangkat keras kripto yang dikompromikan lewat koneksi Bluetooth-nya. Ini termasuk pengujian terhadap setiap kelas kerentanan BLE besar.

BlueBorne, kumpulan delapan CVE yang diungkap pada 2017, memungkinkan eksekusi kode jarak jauh tanpa pairing pada lebih dari 5 miliar perangkat Bluetooth.

Namun ini mengeksploitasi kelemahan implementasi pada tumpukan Bluetooth sistem operasi, bukan perangkat keras BLE.

KNOB (CVE-2019-9506) memaksa entropi kunci enkripsi turun menjadi 1 byte selama proses pairing Bluetooth Classic, tetapi tidak memengaruhi BLE, yang digunakan oleh dompet perangkat keras.

BIAS (CVE-2020-10135) memungkinkan peniruan perangkat yang sudah dipasangkan, tetapi kembali hanya menargetkan Bluetooth Classic. BrakTooth, kumpulan 16 kerentanan yang mempengaruhi lebih dari 1.400 produk pada 2021, menyerang tumpukan Bluetooth Classic, bukan BLE. SweynTooth pada 2020 memang menargetkan BLE secara khusus, menyebabkan crash dan bypass keamanan, tetapi belum pernah didemonstrasikan terhadap dompet perangkat keras.

Alasan arsitekturalnya lugas. Bahkan jika penyerang sepenuhnya mengompromikan koneksi BLE, mereka hanya akan mendapatkan akses ke data transaksi yang belum ditandatangani dan yang sudah ditandatangani, yaitu data yang pada akhirnya disiarkan secara publik ke blockchain juga.

Mereka tidak dapat mengekstrak kunci privat, yang terisolasi di secure element. Mereka tidak dapat memalsukan persetujuan transaksi, yang mengharuskan penekanan tombol fisik. Mereka tidak dapat memodifikasi transaksi tanpa terdeteksi karena tampilan tepercaya menampilkan detail dari SE, bukan dari kanal BLE.

Satu kekhawatiran yang beririsan dengan Bluetooth patut dicatat. Pada 2025, peneliti menemukan kerentanan pada chip ESP32 buatan Espressif, yang digunakan pada dompet seperti Blockstream Jade. Cacat ini secara teoretis dapat memungkinkan injeksi firmware berbahaya melalui antarmuka nirkabel chip tersebut. Ini adalah masalah implementasi spesifik chip, bukan kerentanan protokol Bluetooth.

Also Read: Main Quantum Risk For Bitcoin Is Consensus, Not Code, Grayscale Warns

Siapa Sebenarnya yang Membutuhkan Tingkat Isolasi Apa

Pasar dompet perangkat keras diperkirakan mencapai $350 juta hingga $680 juta pada 2025, dengan perbedaan besar mencerminkan metodologi riset yang berbeda, dan tumbuh 20 hingga 30 persen per tahun. Ledger mendominasi dengan lebih dari 6 juta unit kumulatif terjual. SatoshiLabs mengirimkan 2,4 juta unit Trezor hanya pada 2024. Konektivitas USB masih menguasai sekitar 47 persen pasar namun menurun seiring pertumbuhan Bluetooth.

Bagi investor ritel yang memegang kurang dari $50.000 dalam Ethereum (ETH), Solana (SOL), atau Bitcoin, dompet USB dengan secure element tersertifikasi sudah menyediakan keamanan yang lebih dari cukup.

Ancaman utama pada level ini adalah phishing, rekayasa sosial, dan penyimpanan seed yang buruk. Tidak ada metode konektivitas yang bisa mengatasi hal-hal tersebut. Kebergunaan (usability) itu sendiri adalah fitur keamanan karena alur kerja air-gapped yang kompleks meningkatkan risiko kesalahan pengguna.

Bagi pemegang aset besar dan penyimpanan dingin jangka panjang, dompet air-gapped memberikan manfaat yang berarti. Bukan terutama karena menghapus permukaan serangan USB, tetapi karena model keamanan operasional yang dipaksakannya. Dompet air-gapped yang disimpan di lokasi aman secara fisik terpisah dari perangkat penggunaan harian. Ini mengurangi paparan terhadap serangan rantai pasok, malware, dan pencurian fisik.

Bagi pengguna DeFi aktif dan trader yang mengutamakan mobile, Bluetooth adalah kebutuhan praktis, bukan kompromi keamanan. Ledger Nano X dengan Ledger Live, atau Trezor Safe 7 yang akan datang, memungkinkan penandatanganan transaksi lewat ponsel dengan perlindungan secure element yang sama seperti USB.

Integrasi kode QR Keystone 3 Pro dengan MetaMask menawarkan alternatif air-gapped untuk ekosistem EVM, meskipun dengan friksi yang jauh lebih tinggi per transaksi.

Bagi kustodian institusional, perhitungannya sama sekali berbeda. Segmen enterprise menyumbang sekitar 69 persen pendapatan dompet perangkat keras meski unitnya lebih sedikit. Setup multi-signature di berbagai perangkat air-gapped, yang mungkin berasal dari pabrikan berbeda, memberikan pertahanan berlapis yang tidak bisa ditandingi oleh metode konektivitas satu perangkat saja.

Also Read: Can AI Really Run DeFi? New Findings Expose Major Risks

Kesimpulan

Perdebatan air-gapped vs. USB vs. Bluetooth menghasilkan lebih banyak panas daripada terang. Kanal transport data adalah komponen yang paling jarang dieksploitasi di seluruh permukaan serangan dompet perangkat keras. Setiap pencurian yang terkonfirmasi dan melibatkan dompet perangkat keras selalu ditelusuri kembali ke ekstraksi fisik, sabotase rantai pasok, rekayasa sosial, atau infrastruktur sekitar yang dikompromikan. Tidak satu pun yang ditelusuri ke komunikasi USB atau Bluetooth yang disadap.

Air-gapping memberikan nilai nyata sebagai disiplin keamanan operasional, bukan sebagai pertahanan kriptografis.

Perangkat yang disimpan di brankas dan hanya berkomunikasi melalui kode QR lebih sulit diserang karena lebih sulit dijangkau, bukan karena kode QR lebih aman daripada USB.

Sementara itu, kanal dua arah USB memungkinkan protokol anti-klepto yang merupakan terobosan paling signifikan dalam keamanan penandatanganan dompet perangkat keras dalam beberapa tahun terakhir, sebuah pertahanan yang secara struktural tidak dapat diadopsi oleh dompet air-gapped. Tiga fakta yang seharusnya memandu keputusan apa pun: kualitas secure element lebih penting daripada metode konektivitas, firmware open-source memungkinkan audit komunitas terlepas dari lapisan transport, dan multisig di berbagai perangkat dari pabrikan berbeda memberikan perlindungan yang lebih kuat daripada air gap dari satu dompet saja.