Yellow.com

Selama bertahun-tahun narasinya sederhana: beli iPhone, dan aset kripto Anda berada di balik tembok yang tak bisa ditembus siapa pun. Lalu Kaspersky menemukan trojan yang lolos ke dalam App Store milik Apple sendiri, diam-diam memindai galeri foto untuk mencari frasa pemulihan Bitcoin (BTC) dan Ether (ETH). Jadi, ponsel mana yang sebenarnya lebih aman untuk dompet kripto, dan apakah jawabannya lebih ditentukan oleh perangkat keras atau orang yang memegangnya?

Keduanya, iOS dan Android, pernah menjadi rumah bagi malware pencuri kripto, tetapi Android menanggung beban serangan terbesar, sementara iPhone lebih jarang diserang dengan pola serangan yang lebih mahal dan sangat tertarget.

Ekosistem tertutup Apple dan pembaruan yang cepat serta seragam memberi tingkat risiko bawaan yang lebih rendah bagi kebanyakan orang, meski desain passcode dan aturan sideloading baru membuka celah nyata.

Ancaman terbesar justru mengabaikan platform Anda: foto seed phrase, SIM swap, backup cloud, dan social engineering biasa hampir selalu mengalahkan kecanggihan keamanan hardware.

Dua Cetak Biru di Balik Layar

Baik iPhone maupun ponsel Android modern menyimpan key paling sensitif di hardware khusus, bukan di memori biasa. Keputusan desain ini adalah fondasi dari seluruh bangunan keamanan ponsel.

Apple menjelaskan Secure Enclave sebagai “subsistem aman khusus yang terintegrasi ke dalam system on a chip (SoC) Apple” dan “diisolasi dari prosesor utama untuk memberikan lapisan keamanan tambahan.” Janjinya: key Anda tetap aman bahkan ketika sistem operasi utama bermasalah.

Android membagi fungsi serupa ke dua lapis. Trusted Execution Environment (TEE) memotong zona terlindungi di dalam prosesor utama menggunakan ARM TrustZone, sementara StrongBox melangkah lebih jauh dengan menempatkan key di chip fisik terpisah, seperti Titan M2 milik Google yang tertanam di setiap Pixel sejak Pixel 6.

Di atas kertas, pendekatan ini tampak serupa. Di lapangan, perbedaan muncul pada siapa yang benar-benar mendapat hardware tersebut.

Studi tahun 2025 dari peneliti University of Cambridge berjudul KeyDroid mencatat bahwa per 2023, sekitar 96% iPhone dan 45% perangkat Android “menawarkan semacam secure element (SE).” Satu statistik ini sudah memuat sebagian besar argumen: ponsel Android murah bisa saja sama sekali tidak memiliki komponen yang menjadi bawaan standar pada iPhone.

Ada satu masalah lagi yang jarang terdengar di kalangan pengguna dompet kripto.

Proteksi hardware hanya bekerja jika aplikasi memang memintanya. Banyak aplikasi mobile menyimpan data sensitif di storage berbasis software biasa, sehingga chip keamanan menganggur sementara key yang harusnya dijaga justru hidup di tempat yang lebih rapuh. Apakah dompet kripto yang Anda pakai benar-benar memanfaatkan storage yang didukung hardware adalah pertanyaan yang layak Anda ajukan langsung ke pengembangnya.

Image: Shutterstock

Dari Mana Aplikasi Berasal, dan Mengapa Itu Penting

Perbedaan keamanan paling tajam di antara kedua platform bukan pada silikon. Melainkan pada jalur distribusi aplikasi.

Selama sebagian besar sejarahnya, iOS hanya mengizinkan instalasi software dari satu pintu: App Store. Google Play juga meninjau setiap aplikasi yang diajukan, namun Android sejak awal membolehkan sideloading, artinya Anda dapat memasang file APK dari mana saja di internet.

Google melaporkan menemukan lebih dari 50 kali lebih banyak malware dari sumber sideloading internet dibanding dari aplikasi yang diunduh melalui Google Play. Rasio ini menjelaskan kenapa pelaku serangan lebih doyan Android. Membujuk seseorang menekan “install anyway” jauh lebih murah ketimbang menyelundupkan malware melewati dua tim review.

Google Play Protect memindai aplikasi yang terpasang di sebagian besar perangkat tersertifikasi, dan itu membantu. Namun pada dasarnya ini tetap sekadar pemindai — yang selalu selangkah di belakang ancaman yang diburunya.

Lalu parit pertahanan Apple sendiri ikut mengering.

Demi mematuhi Digital Markets Act Uni Eropa, Apple merilis iOS 17.4 pada Maret 2024, yang untuk pertama kalinya mengizinkan sideloading dan toko aplikasi pihak ketiga di kawasan Uni Eropa. Padahal pada 2021, Tim Cook sudah memperingatkan bahwa perubahan semacam ini akan “menghancurkan keamanan iPhone.”

Kini Apple berargumen bahwa perubahan tersebut mengekspos pengguna di Eropa pada aplikasi palsu dan alur pembayaran scam yang tidak bisa lagi mereka awasi sepenuhnya. Para pengkritik menimpali bahwa mekanisme notarization tetap berlaku dan bahwa peringatan Apple sejak awal bercampur dengan kepentingan bisnis. Apa pun kubu Anda, iOS telah merelakan sebagian keunggulan struktural yang mereka bangun selama lima belas tahun.

Jurang di Soal Pembaruan

Keamanan dompet kripto Anda tidak akan melampaui keamanan sistem operasi yang menjalankannya. Di titik ini, perbedaan iOS dan Android menganga.

Apple merilis satu paket update untuk hampir semua iPhone yang masih didukung secara serentak, dan tingkat adopsinya cepat. Patch Android menempuh jalan lebih panjang: dari vendor chipset, ke produsen perangkat, terkadang juga operator, sebelum mencapai ponsel di tangan Anda.

Riset independen mengukur keterlambatan distribusi patch keamanan di ekosistem Android, dengan rata-rata jeda sekitar 38 hari, dan sebagian vendor tampil jauh lebih buruk. Perangkat lama dan ponsel murah kerap terlempar dari daftar dukungan lebih awal.

Keterlambatan ini bukan sekadar masalah administratif. Inilah jendela terbuka yang dimanfaatkan penyerang.

Google memang berupaya mempersempit celah tersebut. Project Mainline memungkinkan komponen inti sistem diperbarui via Google Play tanpa harus menunggu rilis firmware penuh, sehingga beberapa patch tidak perlu menunggu kemauan produsen. Pendekatan ini membantu, tetapi tidak bisa menambal semua celah, dan sama sekali tak berguna bagi ponsel yang masa dukungannya sudah habis.

Threat Intelligence Group milik Google mencatat 75 kerentanan zero-day yang dieksploitasi di alam liar sepanjang 2024, turun dari 98 pada 2023, dan menyoroti bahwa rangkaian exploit tersebut “hampir seluruhnya (~90%)” menyasar perangkat mobile. Dari zero-day mobile yang tercatat, tujuh menghantam Android dan dua mengenai iOS, dengan tiga celah Android berada di komponen pihak ketiga, bukan di kode Google sendiri.

Malware yang Memburu Seed Phrase Anda

Malware kripto paling efektif sering kali tidak menyentuh aplikasi dompet sama sekali. Target utamanya adalah galeri foto.

SparkCat milik Kaspersky, diungkap pada Februari 2025, menggunakan optical character recognition (OCR) untuk memindai foto-foto tersimpan mencari frasa pemulihan. Aplikasi terinfeksi di Google Play sudah diunduh lebih dari 242.000 kali, dan ini menjadi stealer trojan pertama yang terdeteksi peneliti di dalam App Store Apple. Penerusnya, SparkKitty, kemudian muncul di kedua toko aplikasi, tersembunyi di aplikasi iOS bernama 币coin dan aplikasi Android bernama SOEX.

Logikanya sederhana sekaligus mematikan: orang memotret seed phrase demi kenyamanan, dan cadangan kertas pun berubah menjadi file digital yang mudah dicari dan dicuri.

Eksposur Android jauh lebih dalam karena satu jenis izin: accessibility services. Fitur yang awalnya dirancang untuk membantu pengguna difabel ini memberi aplikasi akses untuk membaca konten layar, mencatat input, dan menggambar jendela di atas aplikasi lain. Di tangan pembuat malware, izin ini berubah menjadi “master key”.

Teknik yang dipakai biasanya bertumpuk dan berulang pola:

Serangan overlay menampilkan layar login palsu di atas aplikasi dompet asli.
Clipper di clipboard mengganti alamat dompet yang Anda salin dengan alamat milik penyerang.
Pemindai OCR menyisir galeri foto mencari pola yang mirip frasa pemulihan.
Penyalahgunaan accessibility membaca ketikan dan teks di layar secara real time.
Virtualisasi memungkinkan malware menjalankan aplikasi asli di dalam container yang dikendalikan penyerang.

Trend Micro mendokumentasikan CherryBlos pada 2023, yang menggabungkan OCR, overlay dompet palsu, dan manipulasi clipboard untuk membelokkan penarikan dana. ThreatFabric kemudian mengungkap Crocodilus, trojan yang menampilkan pesan mendesak korban untuk “mencadangkan key dompet di pengaturan dalam 12 jam,” lalu mencuri frasa tersebut lewat penyalahgunaan accessibility.

Trojan perbankan berevolusi semakin ganas sepanjang 2025.

Zimperium menganalisis varian Godfather yang menjalankan aplikasi perbankan dan kripto asli di dalam container virtual tersembunyi, lalu menyadap input secara langsung alih-alih memalsukan laman login. ThreatLabz milik Zscaler menemukan varian terbaru Anatsa menyasar lebih dari 831 institusi keuangan di seluruh dunia, naik dari 650, dengan bank Jerman, lembaga keuangan Korea Selatan, dan platform kripto masuk dalam daftar target.

Clipper tetap menjadi trik termurah dalam katalog malware. Lukas Stefanko dari ESET menangkap salah satu clipper pertama di Google Play pada Februari 2019 yang menyamar sebagai MetaMask, diberi label Android/Clipper.C, dan mengganti alamat Bitcoin serta Ether yang disalin dengan alamat milik pelaku.

Malware asli iOS relatif tetap jarang. Proses review App Store dan, secara historis, larangan sideloading menutup banyak jalur serangan yang sengaja dibiarkan longgar oleh Android.

Titik Buta di iPhone

Semua itu tidak membuat iPhone kebal. Ia hanya gagal dengan cara yang berbeda.

Kontrol terketat Apple berada pada distribusi aplikasi, sehingga penipu memilih jalan memutar, bukan menabrak tembok depan. Sophos melacak kampanye CryptoRom, yang menyalahgunakan sistem TestFlight Apple untuk menyebarkan aplikasi kripto palsu berkedok versi beta kepada korban, terutama lewat skema romance scam dan penipuan investasi kripto. program beta dan profil provisioning enterprise untuk mendorong aplikasi kripto palsu yang sama sekali lolos dari proses review App Store.

Trik provisioning ini sejatinya rekayasa sosial yang dibungkus jargon teknis. Korban dibujuk untuk memercayai sertifikat developer, yang pada praktiknya memberi pelaku akses sangat dalam ke perangkat.

Lalu ada serangan berteknologi rendah yang justru paling membuat peneliti keamanan gelisah.

Jurnalis Wall Street Journal, Joanna Stern, mengungkap modus pencuri yang cukup mengamati orang mengetik passcode iPhone di bar atau ruang publik, lalu mencopet ponselnya. Hanya dengan kode enam digit itu, pelaku bisa mereset Apple ID, mengusir pemilik asli selamanya, dan menguras aplikasi keuangan. Seorang terpidana, Aaron Johnson, mengaku mencuri ratusan iPhone, dengan surat perintah penangkapan yang mencatat kerugian 300.000 dolar AS.

Apple merespons lewat Stolen Device Protection di iOS 17.3. Saat fitur ini aktif, aksi sensitif wajib melewati Face ID atau Touch ID jika dilakukan di lokasi yang tak dikenal, tanpa opsi fallback ke passcode dan disertai jeda keamanan untuk perubahan paling berisiko. Fitur ini efektif, tetapi dikirim dalam keadaan nonaktif, dan mayoritas pengguna tak pernah menemukan tombol pengaturnya.

Phishing adalah titik lemah lain, dan datanya bertentangan dengan reputasi iPhone. Data Lookout untuk kuartal III 2024 menunjukkan perangkat iOS menjadi sasaran 18,4% serangan phishing, dibanding 11,4% untuk Android, dengan 19% perangkat iOS korporasi terekspos setidaknya satu upaya phishing mobile per kuartal.

Saat Uang Membeli Jalan Masuk

Ada kelas serangan yang sama sekali mengabaikan app store dan siklus patch. Targetnya orang tertentu, dan biayanya nyata.

Apple memperingatkan target secara langsung melalui threat notification, yang sejak 2021 sudah mereka kirim ke pengguna di lebih dari 150 negara setelah mendeteksi aktivitas spyware bayaran. Apple menyebut Pegasus besutan NSO Group sebagai contoh utama, dan mengarahkan penerimanya untuk mengaktifkan Lockdown Mode.

Lockdown Mode memangkas fitur yang biasa dieksploitasi rantai serangan, termasuk jenis lampiran pesan tertentu, sebagian teknologi web, dan koneksi kabel ke perangkat yang terkunci. Apple secara terbuka menyatakan belum mengetahui satu pun serangan spyware bayaran yang berhasil menembus perangkat dalam mode ini.

Klaim itu relevan karena pemilik kripto berkantong tebal berada tepat di ceruk target spyware semacam ini.

Android kini punya padanan. Google menanamkan Advanced Protection ke Android 16 sebagai satu saklar yang menonaktifkan sideloading, memblokir koneksi 2G dan Wi-Fi tak aman, memaksa restart perangkat setelah tiga hari terkunci, dan mengaktifkan proteksi keamanan memori. Electronic Frontier Foundation membandingkannya langsung dengan Lockdown Mode milik Apple.

Kedua fitur itu mengakui satu kenyataan tak nyaman yang sama: penyerang yang punya dana dan tekad pada akhirnya bisa mencapai ponsel biasa, sehingga satu-satunya pertahanan nyata adalah mengecilkan permukaan serangan yang bisa mereka sentuh.

Serangan Yang Tak Peduli Ponsel Apa Yang Anda Punya

Beberapa kerugian kripto paling brutal sama sekali tidak terkait iOS atau Android. Serangannya memanfaatkan lapisan di antara layar dan kursi.

SIM swapping adalah contoh paling gamblang. Internet Crime Complaint Center milik FBI mencatat 1.611 pengaduan SIM swap dengan total kerugian lebih dari 68 juta dolar AS sepanjang 2021, melonjak tajam dari 12 juta dolar AS yang dilaporkan selama 2018–2020 digabung. Modusnya: pelaku membujuk operator untuk memindahkan nomor Anda, mencegat SMS OTP, lalu mengosongkan rekening di belakangnya.

Serangan ini bekerja persis sama di kedua platform. Merek ponsel Anda tak berarti apa-apa ketika titik lemah sesungguhnya ada di call center.

Backup cloud menciptakan eksposur senyap lainnya. Menyimpan seed phrase di iCloud atau Google Drive mengubah kunci pemulihan Anda menjadi file yang mengikuti akun ke mana pun, dan bisa diakses siapa pun yang berhasil membajak akun tersebut.

Ekstensi browser, QR code berbahaya, agen support palsu, dan transaksi approval-phishing semuanya berperilaku sama terlepas dari sistem operasi. Begitu pula trik tertua yang masih ampuh: membujuk seseorang menyebutkan seed phrase mereka dengan lantang kepada orang asing.

Data pasar menunjukkan ke mana kerusakan kini mengalir. Chainalysis mencatat lebih dari 2,17 miliar dolar AS dicuri dari layanan sepanjang paruh pertama 2025, sudah melampaui total 2024, dengan kompromi wallet pribadi menyumbang 23,35% aktivitas pencurian dana tahun ini setelah bursa kripto memperkuat sistem dan individu justru menjadi target yang lebih lunak.

Menguatkan Keamanan Di Ponsel Mana Pun

Kabar baiknya, segelintir kebiasaan disiplin jauh lebih menentukan daripada pilihan platform. Mulailah dari langkah-langkah yang diharapkan penyerang Anda abaikan.

Jangan pernah memotret atau screenshot seed phrase. Satu aturan ini saja menggugurkan seluruh keluarga malware OCR, dari SparkCat hingga CherryBlos.

Bagi pemilik iPhone, daftarnya singkat:

Aktifkan Stolen Device Protection di pengaturan Face ID.
Gunakan passcode alfanumerik panjang, bukan enam digit.
Aktifkan Advanced Data Protection agar iCloud terenkripsi end-to-end.
Perlakukan setiap permintaan instal profil konfigurasi sebagai ancaman.

Untuk pengguna Android, aturannya lebih ketat:

Hanya instal aplikasi dari Google Play dan tolak file APK sideload.
Anggap permintaan aksesibilitas dari aplikasi sebagai sinyal bahaya.
Aktifkan Advanced Protection jika memakai Android 16.
Pilih Pixel atau flagship dengan secure element asli, bukan ponsel murah tanpa fitur itu.

Kedua kubu sebaiknya memindahkan otentikasi dari SMS. Aplikasi authenticator atau hardware security key mengeluarkan operator dari rantai keamanan, menutup rute SIM swap sepenuhnya.

Pengguna yang paling fokus pada keamanan melangkah lebih jauh. GrapheneOS, varian Android yang diperkeras dan hanya berjalan di perangkat Pixel, menambahkan allocator memori yang diperkuat, sandboxing lebih ketat, dan patch cepat; Edward Snowden menyatakan dirinya menggunakannya. Sebagian pemilik kripto menyiapkan satu Pixel GrapheneOS yang benar-benar bersih hanya sebagai perangkat penandatangan offline.

Apa pun ponselnya, jangan menaruh saldo besar di sana. Hardware wallet yang dipasangkan via USB atau Bluetooth menjaga private key tetap berada di luar perangkat yang terhubung internet, dan pemisahan ini jauh lebih krusial daripada perdebatan platform mana yang lebih aman.

Kesimpulan

Jadi siapa pemenangnya? Untuk pemilik kripto rata-rata, iPhone generasi kini atau Pixel kelas flagship menawarkan titik awal yang lebih kuat, dan alasannya lebih bersifat struktural ketimbang fanatisme merek.

Keduanya hadir dengan secure element sebagai standar, menerima update cepat, dan menjalankan toko aplikasi terkurasi. iOS masih sedikit unggul pada paparan malware mentah, karena Android menyerap mayoritas ancaman mobile dan sideloading tetap menjadi jalur infeksi dominan.

Namun platform yang lebih aman dan konfigurasi yang aman adalah dua hal berbeda.

Pemilik iPhone yang memakai passcode lemah berulang, menscreenshot seed phrase, dan mengandalkan SMS OTP berada dalam risiko lebih besar dibanding pengguna GrapheneOS yang disiplin. Ponsel Android murah tanpa secure element dan tanpa dukungan update tersisa adalah pilihan terburuk. Siapa pun yang menyimpan nilai signifikan sebaiknya berasumsi kedua platform bisa ditembus, lalu mengandalkan Lockdown Mode atau Advanced Protection bersama hardware wallet.

Platform menentukan batas bawah keamanan Anda. Kebiasaan Andalah yang menentukan batas atasnya.

Baca Berikutnya: Pendanaan DeepSeek $12 Miliar Dikabarkan Hampir Rampung, Dengan Tencent Dan CATL Di Daftar Investor

iPhone vs. Android: Ponsel Mana yang Sebenarnya Lebih Aman untuk Menyimpan Aset Kripto Anda