Ada satu pembacaan keliru yang umum tentang self-custody: "untuk benar-benar melakukannya dengan benar, kamu perlu hardware wallet air-gapped di brankas, idealnya dengan passphrase yang hanya kamu ketik di laptop berperisai sangkar Faraday yang dibeli pakai uang tunai". Itu satu model. Bukan model itu, dan untuk sebagian besar pengguna itu model yang salah — terlalu banyak friksi untuk tingkat ancaman sebenarnya, sehingga mereka tidak pernah benar-benar menyelesaikan setup-nya, dan dananya tetap di exchange.
Ini artikel kelima dalam seri Self-Custody Fundamentals. Sebelumnya menjabarkan apa yang sebenarnya dituntut self-custody darimu dalam lima kategori pekerjaan. Yang ini tentang spektrum self-custody itu sendiri — dan mengapa jawaban yang tepat untuk kebanyakan orang ada di tengah, bukan di ujung cold storage.
TL;DR
- Self-custody bukan satu setup tunggal. Ia adalah spektrum: dari hot wallet mobile yang kamu pakai menandatangani seharian, hingga vault multisig air-gapped sepenuhnya yang butuh 30 menit untuk dibuka.
- Titik yang tepat tergantung pada model ancaman, seberapa sering bertransaksi, dan berapa banyak yang kamu pegang.
- "Cold storage" biasanya berarti hardware wallet air-gapped yang tidak pernah menyentuh perangkat tersambung internet. Cold storage yang sesungguhnya berat secara operasional dan dicadangkan untuk holding sebesar treasury.
- Untuk sebagian besar pengguna, titik yang tepat adalah warm storage — dompet non-custodial di perangkat yang kamu gunakan setiap hari, dengan kunci dibagi pada dua perangkat sehingga tidak ada satu pun yang menandatangani sendirian. 2-of-2 SSP dibangun untuk titik ini pada kurva.
- Hot wallet "daily-driver" (perangkat tunggal, kunci tunggal, mobile) baik-baik saja untuk uang belanja. Mereka bukan tempat saldo signifikan harus tinggal.
Spektrum yang sesungguhnya
Self-custody tidak biner. Ia ada pada kontinum yang kira-kira seperti ini:
1. Custodial. Bukan self-custody. Exchange memegang kunci. Lihat postingan tujuh mode kegagalan.
2. Hot wallet kunci tunggal. Self-custody, tetapi seluruh keyset ada di satu perangkat yang sebagian besar waktu online. MetaMask di desktop, Phantom di ponsel, Trust Wallet dasar. Nyaman, friksi rendah, tapi seluruh wallet hanya sejauh satu bug atau satu ekstensi jahat dari ditiriskan.
3. Cold wallet kunci tunggal. Hardware wallet (Ledger, Trezor, Coldcard) yang menandatangani offline dan tersambung sebentar untuk mengirim transaksi. Kuncinya tidak pernah menyentuh mesin panas. Lebih kuat dari hot, tapi masih single-point-of-failure pada seed phrase, dan friksinya cukup untuk membuat pengguna berhenti memakainya untuk belanja sehari-hari.
4. Hot wallet multisig. Dua kunci atau lebih, tetapi semua pada perangkat yang kurang lebih online. 2-of-2 SSP duduk di sini — satu kunci di ekstensi browser, satu di ponsel. Kedua tanda tangan dibutuhkan; tidak ada perangkat tunggal yang dapat memindahkan dana. Kedua perangkat adalah permukaan serangan berbeda, sehingga kompromi salah satu tidak menguras wallet.
5. Multisig dengan satu kunci dingin. Sama seperti 4 tapi setidaknya satu signer adalah perangkat hardware offline. Lebih tahan terhadap serangan jarak jauh, lebih banyak friksi untuk pengiriman rutin.
6. Vault multisig sepenuhnya dingin. Semua signer offline, sering tersebar secara fisik. Setup yang dijual BitGo, Casa, atau Unchained Capital untuk penyimpanan institusional. Recovery dan penandatanganan sama-sama melibatkan upacara tatap muka. Latensi operasional berhari-hari hingga berminggu-minggu per transaksi.
Klise "pakai cold storage" secara implisit berarti opsi 6. Itu benar untuk treasury. Berlebihan untuk individu dengan lima digit crypto yang sesekali ingin ikut DeFi.
Apa arti "cold storage" sebenarnya (dan mengapa kebanyakan orang tidak membutuhkannya)
Cold storage adalah komitmen ketat: kunci penandatangan tidak pernah menyentuh perangkat tersambung internet. Bukan laptop dengan WiFi dimatikan — laptop yang tidak pernah mengaktifkan WiFi. Implikasinya:
- Penandatanganan air-gapped. Kamu membangun transaksi pada mesin panas, mentransfernya (lewat kode QR atau microSD) ke perangkat dingin, menandatangani di sana, mentransfer transaksi yang ditandatangani kembali. Setiap pengiriman adalah alur kerja.
- Perangkat terpisah. Perangkat dingin seharusnya bukan ponsel atau laptopmu. Hardware wallet khusus atau laptop tua yang sudah dihapus dan tinggal di laci.
- Keamanan fisik. Cold storage yang tinggal di laci dalam apartemen tak terkunci tidak benar-benar dingin. Intinya membuat serangan jarak jauh mustahil, yang berarti akses fisik sekarang menjadi ancaman — jadi ia tinggal di brankas, kotak deposit, atau lokasi yang terpisah secara geografis.
Ini model yang tepat untuk beberapa situasi spesifik:
- Holder jangka panjang yang sungguh-sungguh tidak berencana menyentuh dana selama bertahun-tahun.
- Treasury (pribadi atau korporat) yang memegang jumlah di mana setiap latensi operasional dapat diterima demi mengurangi permukaan serangan hampir ke nol.
- Warisan atau kepemilikan lintas generasi di mana optimasinya pada skala dekade, bukan harian.
Untuk yang lain, friksi cold storage menggagalkan keamanannya. Pola yang membunuh banyak pengguna: mereka membeli hardware wallet, mengaturnya, lalu (a) membiarkannya di laci dan tidak pernah menggunakannya karena alur kerjanya menyebalkan, sementara dana tetap di exchange menunggu "akhirnya dipindahkan", atau (b) kehilangan perangkat dan seed-nya tidak dibackup dengan baik karena disiplin cold storage tidak pernah diinternalisasi.
Multisig hot yang benar-benar kamu gunakan mengalahkan cold wallet yang tidak kamu gunakan.
Warm storage: tempat sebagian besar pengguna seharusnya tinggal
"Warm storage" bukan istilah standar, tetapi menangkap ide yang tepat: kunci di perangkat yang benar-benar kamu pakai, dengan model keamanan yang cukup kuat untuk bertahan dari serangan realistis.
Sifat yang mendefinisikannya:
- Beberapa kunci, beberapa perangkat. Kompromi satu perangkat — ekstensi browser jahat, ponsel dengan unlock dicuri — tidak boleh menguras wallet. Model 2-of-2 menangani ini langsung.
- Permukaan serangan berbeda per kunci. Ekstensi browser dan aplikasi mobile adalah kode berbeda, OS berbeda, profil ancaman berbeda. Penyerang yang mengompromi keduanya bersamaan melakukan sesuatu yang sangat spesifik terhadapmu.
- Friksi transaksi rendah. Mengirim transaksi rutin tidak boleh memakan 20 menit dan kartu microSD. Seharusnya cukup satu ketukan pada masing-masing perangkat — lima detik usaha marjinal, bukan lima menit.
- Cerita recovery yang jujur. Kehilangan satu perangkat, kamu masih bisa pulih lewat perangkat lain ditambah alur wallet-recovery. Kehilangan seed sepenuhnya, kamu dalam masalah — tetapi praktik terbaik seed phrase menangani lapisan itu.
Untuk pengguna individu yang memegang $1k–$100k yang berinteraksi dengan DeFi atau menandatangani transaksi mingguan, warm storage adalah jawaban yang tepat. Kamu mendapat peningkatan keamanan yang penting — tidak ada kompromi perangkat tunggal yang menguras dirimu — tanpa membayar pajak air-gap untuk setiap transaksi.
Kapan harus menambahkan cold storage di atasnya
Tidak ada aturan yang berkata "warm storage menggantikan cold storage". Untuk jumlah yang membenarkan biaya operasional, jawaban yang tepat adalah keduanya: warm untuk aktivitas rutin dan setup cold untuk lapisan tabungan.
Alokasi wajar untuk pengguna dengan holding serius:
- Hot wallet (setup kecil hanya mobile): uang belanja, interaksi DeFi harian. Perlakukan saldo di sini seperti uang tunai di dompet — cukup untuk dua minggu ke depan, bukan tabungan hidupmu.
- Warm wallet (SSP 2-of-2 atau multisig setara di perangkat harianmu): akun operasi. Ratusan hingga lima digit rendah. Tempat sebagian besar transaksi berasal.
- Cold wallet (multisig hardware air-gapped, atau satu signer dingin): lapisan tabungan. Lima digit dan ke atas yang tidak kamu rencana sentuh selama berbulan-bulan atau bertahun-tahun. Prosedur recovery terdokumentasi, dalam rencana warisan, dengan satu kunci di kotak deposit atau di keluarga.
Pembagiannya tidak sembarangan — itu logika yang sama yang bank terapkan pada giro vs. tabungan vs. deposito. Dana yang sedang aktif digunakan tetap hangat. Dana untuk penyimpanan jangka panjang menjadi dingin. Tiap tingkat menerima friksi yang sesuai dengan horizonnya.
Untuk sebagian besar pengguna, tingkat cold belum ada, karena tingkat warm sudah cukup. Seiring saldo bertambah, tingkat cold ditambahkan.
Apa artinya untukmu
Tiga kesimpulan:
- Jangan biarkan "cold storage" jadi alasanmu tetap di exchange. Multisig warm yang benar-benar kamu pakai hari ini jauh lebih aman daripada setup cold yang akan kamu kerjakan bulan depan. Pindahkan dananya dulu, sempurnakan modelnya kemudian.
- Sesuaikan setup dengan model ancaman, bukan dengan marketing. Jika ancaman realistismu adalah ekstensi browser jahat dan clipboard-replacer — dan bagi hampir semua pengguna retail memang demikian — 2-of-2 antara browser dan mobile mengalahkan keduanya. Sangkar Faraday di basement tidak membeli keamanan tambahan terhadap ancaman yang sebenarnya kamu hadapi.
- Rencanakan untuk menumbuhkan lapisan tabungan seiring waktu. Saat holding-mu tumbuh, jawaban yang tepat mungkin bergeser dari "semua warm" menjadi "warm + cold". Jangan coba keduanya pada hari pertama; lakukan warm dengan benar dulu, lalu tambahkan lapisan cold ketika jumlahnya membenarkan biaya operasional.
Artikel berikutnya dan terakhir dalam seri ini, self-custody checklist for your first $1,000, menelusuri langkah-langkah konkret yang harus diambil pengguna self-custody baru, dalam urutan — dirancang untuk jumlah crypto pertama yang signifikan yang kamu pegang, bukan yang kesepuluh.
