Ledger vs. Trezor: Pencarian dompet kripto ideal

Ledger dan Trezor telah menjadi dompet mata uang kripto paling populer selama bertahun-tahun. Namun tidak ada merek yang sempurna, dan kerentanan telah ditemukan pada keduanya lebih dari satu kali. Semakin banyak insiden seperti itu muncul, semakin sering muncul pertanyaan: dompet mana yang benar-benar dapat dianggap andal?

Trezor: Serangan melalui chip, situs web, dan media sosial

Alasan lain untuk membahas keamanan Trezor muncul setelah laporan oleh Donjon, tim riset Ledger. Spesialisnya menemukan kerentanan pada chip TROPIC1 yang digunakan dalam dompet Trezor Safe 7. Serangan tersebut memerlukan akses fisik ke chip, peralatan laboratorium, dan paparan laser yang presisi. Trezor mengatakan dana pengguna aman karena TROPIC1 hanyalah salah satu dari tiga lapisan perlindungan perangkat.

Loading...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Ini bukan episode serupa yang pertama. Pada Maret 2025, Ledger Donjon melaporkan kerentanan pada Trezor Safe 3. Ini melibatkan serangan dalam kasus pencurian fisik dompet: masalahnya terkait dengan mikrokontroler yang bekerja bersama dengan chip yang dilindungi. Trezor mengatakan pada saat itu bahwa Safe 5 tidak terpengaruh oleh masalah tersebut, dan bahwa para peneliti tidak dapat mengekstrak kunci privat atau kode PIN dari perangkat yang diuji.

Ada juga serangan yang bukan pada perangkat itu sendiri, melainkan pada pengguna Trezor. Pada tahun 2024, perusahaan memperingatkan tentang kampanye phishing: penyerang menggunakan formulir kontak di situs web resmi dan mengirim email yang terlihat seperti balasan dukungan. Trezor menekankan bahwa tidak ada kebocoran alamat email, tetapi mengingatkan pengguna akan aturan utama: perusahaan tidak pernah meminta cadangan dompet atau seed phrase.

Pada Januari 2024, ada laporan akses tidak sah ke portal dukungan pihak ketiga. Pada Maret 2024, seorang penyerang menyusupi akun X perusahaan dan memposting presale palsu di jaringan Solana. Kasus-kasus ini tidak berarti bahwa dompet perangkat keras itu sendiri telah diretas secara langsung, tetapi menunjukkan bahwa penyerang dapat menargetkan tidak hanya perangkat, tetapi juga saluran komunikasi antara merek dan pengguna.

Ledger: Dompet yang terlindungi, ekosistem yang rentan

Ledger juga jauh dari sempurna. Merek ini mengandalkan chip terlindungi yang dirancang untuk mengisolasi kunci privat di dalam perangkat. Namun, beberapa tahun terakhir menunjukkan bahwa penyerang dapat menargetkan lebih dari sekadar dompet itu sendiri. Aplikasi, mitra, pustaka untuk layanan terdesentralisasi, dan pengguna yang menerima email palsu dari penipu semuanya dapat menjadi rentan.

Pada Januari 2026, Ledger menghadapi kebocoran data pribadi pelanggan melalui mitra pembayarannya, Global-e. Menurut penyelidik blockchain ZachXBT, kerentanan pada penyedia pihak ketiga tersebut mengekspos informasi kontak pengguna Ledger. Dalam sebuah surat kepada pelanggan yang terdampak, Global-e mengatakan telah mendeteksi aktivitas mencurigakan di bagian jaringannya. Perusahaan mengonfirmasi akses tidak sah ke beberapa data, termasuk nama dan informasi kontak pelanggan.

Loading...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Pada tahun 2024, pemilik Ledger terkena serangan phishing massal. Penipu mengirim email atas nama perusahaan dan mengklaim telah terjadi pelanggaran data. Pengguna diminta untuk "memverifikasi" seed phrase mereka di situs web palsu. Halaman tersebut terlihat seperti layanan resmi Ledger, tetapi dibuat untuk mencuri data. Jika seseorang memasukkan frasa yang salah, situs tersebut menunjukkan kesalahan dan meminta mereka untuk mencoba lagi sampai penipu menerima kombinasi yang benar.

Pada November 2024, aplikasi Ledger Live palsu ditemukan di Microsoft Store. Pengguna mengunduhnya karena mengira mereka sedang menginstal antarmuka resmi untuk bekerja dengan dompet mereka. Menurut laporan media, aplikasi palsu tersebut memungkinkan penyerang mencuri $768.000.

Episode serius lainnya terjadi pada Desember 2023. Saat itu, pustaka Ledger Connect Kit yang digunakan oleh aplikasi terdesentralisasi disusupi. Ledger mengatakan penyebabnya adalah serangan phishing terhadap mantan karyawan: penyerang memperoleh kemampuan untuk mengunggah file berbahaya ke manajer paket JavaScript. Menurut CEO Ledger Pascal Gauthier, perusahaan, bersama dengan WalletConnect, memperbaiki eksploit tersebut sekitar 40 menit setelah ditemukan dan mengganti pustaka yang disusupi.

Tidak ada dompet yang sempurna

Kisah Trezor dan Ledger menunjukkan bahwa kerentanan bisa sangat berbeda. Dalam satu kasus, peneliti menguji chip dengan laser. Di kasus lain, penipu mengirim email, membuat situs web palsu, atau mengunggah aplikasi palsu ke toko aplikasi. Terkadang masalahnya ada di dalam perangkat, terkadang di layanan di sekitarnya, dan terkadang pada kepercayaan pengguna terhadap merek yang sudah dikenal.

Ada dompet perangkat keras lain di pasar juga, seperti perangkat dari Coinkite, BitBox, Keystone, atau Tangem. Beberapa hanya fokus pada Bitcoin, sementara yang lain mengandalkan kartu, kode QR, kode terbuka, atau tanpa koneksi ke komputer. Namun tidak satu pun dari pendekatan ini yang menghilangkan semua risiko sekaligus. Semakin kompleks perangkat dan semakin luas ekosistemnya, semakin banyak tempat di mana mata rantai yang lemah dapat muncul.

Dalam situasi ini, dompet kripto yang ideal harus melindungi tidak hanya kunci privat di dalam perangkat. Dompet tersebut harus menunjukkan kepada pengguna dengan tepat apa yang mereka tanda tangani, menghindari pengumpulan data pribadi yang tidak perlu, memiliki sistem pembaruan yang jelas, menjalani audit independen, dan tahan terhadap serangan fisik. Namun itu pun tidak cukup jika pemiliknya memasukkan seed phrase mereka di situs web palsu atau mengunduh aplikasi palsu.

Itulah sebabnya keandalan dompet tidak dapat direduksi menjadi satu merek atau satu chip. Ledger lebih kuat dikaitkan dengan perlindungan perangkat keras dan chip terlindungi yang tertutup. Trezor dikaitkan dengan keterbukaan dan kemampuan verifikasi. Produsen lain menawarkan kompromi mereka sendiri. Kenyataannya, dompet teraman bukanlah dompet yang kerentanannya tidak pernah ditemukan, melainkan dompet yang risikonya dipahami sebelumnya, diperbaiki dengan cepat, dan tidak mengubah satu kesalahan pengguna menjadi hilangnya seluruh dana.