Simpan di Exchange atau Wallet Sendiri? Ini Trade-off Sebenarnya
Baca 7 menit
Memuat...
Baca 7 menit
Tanggal 10 September 2024, Indodax, exchange kripto terbesar di Indonesia, kena bobol lebih dari $22 juta dalam semalam. Banyak orang lalu pindah kripto mereka ke wallet pribadi supaya "lebih aman."
Tapi aman dari exchange bukan berarti bebas risiko. Dalam survei tahun 2025 terhadap 1.000 pemilik kripto, 35% pernah kehilangan akses ke wallet atau akun mereka sendiri, dan dari yang kehilangan itu, 31% tidak pernah berhasil mengambilnya kembali. Pindah dari exchange ke wallet sendiri tidak menghilangkan risiko. Kamu cuma tukar satu jenis risiko dengan jenis lain, dan kamu perlu tahu persis risiko mana yang sedang kamu ambil.
Setiap kripto yang kamu punya dikendalikan oleh private key, deretan karakter panjang yang membuktikan kepemilikan dan memungkinkan kamu memindahkan dananya. Kalau kamu beli kripto di exchange seperti Indodax, Binance, atau Pintu lalu membiarkannya di sana, exchange itulah yang memegang private key-nya. Kamu cuma punya catatan di database mereka yang bilang kripto itu milikmu, tapi kamu sendiri tidak pernah pegang kuncinya.
Self-custody artinya kamu sendiri yang memegang private key, biasanya dalam bentuk 12 atau 24 kata "seed phrase," disimpan di hardware wallet atau aplikasi yang kamu kendalikan penuh. Tidak ada perusahaan di antara kamu dan kripto milikmu.
Dua-duanya bisa gagal. Bedanya, cara gagalnya beda jauh.
Menyimpan kripto di exchange berarti kamu percaya tiga hal ke perusahaan itu: tidak akan diretas, tidak berbohong soal berapa banyak kripto yang benar-benar mereka pegang, dan tidak akan bangkrut sampai dana kamu dibekukan. Ketiganya sudah pernah terjadi, berkali-kali, dalam skala besar.
Indodax sendiri sudah membuktikannya. Pada 10 September 2024, hot wallet Indodax dibobol lebih dari $22 juta lewat serangan bertahap di beberapa blockchain sekaligus. Peneliti keamanan kemudian mengaitkan serangan ini dengan kelompok Lazarus asal Korea Utara (The Defiant, Bitget News, keduanya diakses 2026-08-06).
Bybit membuktikan "cold storage" pun tidak otomatis aman. Pada 21 Februari 2025, peretas mencuri sekitar $1,4 miliar dalam ETH dari cold wallet Bybit yang seharusnya butuh persetujuan dari beberapa penandatangan sekaligus. Mereka tidak berhasil membobol sistem multisig-nya. Mereka menipu manusia yang menyetujui transaksi, membuat tampilan di layar terlihat sah padahal tidak, lewat antarmuka yang dimanipulasi, bukan kunci yang dibobol (analisis teknis NCC Group, diakses 2026-08-06). Kelompok penyerangnya sama dengan yang membobol Indodax.
FTX membuktikan "dana kembali" tidak sama dengan "kerugian pulih." Saat FTX kolaps pada November 2022, ada kekurangan dana nasabah sekitar $8 miliar. Pembayaran kepada kreditor sejak itu naik menjadi hampir $10 miliar, dan banyak kreditor kini menerima 100% sampai 118% dari klaim mereka. Kedengarannya seperti akhir yang bahagia, sampai kamu sadar jebakannya: kreditor dibayar berdasarkan nilai dolar kripto mereka pada hari FTX dibekukan, November 2022, saat bitcoin masih di harga sekitar $16.000. Sekarang bitcoin diperdagangkan di sekitar $64.500. Siapa pun yang menyimpan bitcoin di FTX menerima kembali nilai dolar November 2022 itu, sekitar tiga tahun kemudian, dan melewatkan seluruh kenaikan harga di antaranya (Bitget Academy, CryptoTimes, keduanya diakses 2026-08-06).
Mt. Gox membuktikan seberapa lama "akhirnya" itu bisa berlangsung. Mt. Gox kehilangan sekitar 850.000 bitcoin saat kolaps pada Februari 2014. Pembayaran ke kreditor baru dimulai tahun 2024, dan tenggat pembayaran terakhir kini mundur lagi ke 31 Oktober 2026, dua belas setengah tahun setelah exchange itu tutup (Decrypt, diakses 2026-08-06).
Pindahkan kripto ke wallet sendiri, dan risiko di sisi exchange memang hilang. Tapi risiko baru muncul menggantikannya, dan survei yang sama terhadap 1.000 pemilik kripto tahun 2025 memberi angkanya: 35% pernah kehilangan akses ke wallet atau akun, 31% dari mereka tidak pernah berhasil memulihkannya, dan 12% kehilangan lebih dari $5.000 dalam satu kejadian saja (survei Oobit, diakses 2026-08-06).
Penyebab terbanyaknya justru hal sepele, bukan serangan canggih. Lupa password menyebabkan 33% kasus terkunci, dan kehilangan akses two-factor authentication (2FA) menyebabkan 20% lainnya. Hanya 25% responden yang menyimpan seed phrase mereka di kertas, dan cuma 15% yang pernah benar-benar mencoba memulihkan wallet dari backup itu sebelum benar-benar membutuhkannya (survei Oobit, sumber sama).
Self-custody juga punya cara gagal yang tidak bisa dihindari sekalipun kamu sangat hati-hati: perangkatnya sendiri. Akhir Juli 2026, bug firmware berumur lima tahun di sebagian hardware wallet Coldcard ditemukan menghasilkan seed phrase dengan tingkat keacakan jauh di bawah yang seharusnya, sehingga bisa ditebak penyerang. Sampai awal Agustus, lebih dari $116 juta sudah terkuras dari lebih dari 5.200 alamat, dari pemilik yang sudah melakukan semuanya "dengan benar": pakai hardware wallet, mencatat seed phrase, dan menyimpannya offline. Baca selengkapnya di langkah yang perlu diambil kalau wallet-mu dibuat di Coldcard.
Chainalysis dan firma analitik blockchain lain memperkirakan sekitar 2,3 juta sampai 3,7 juta bitcoin, sekitar 11% sampai 19% dari seluruh suplai yang ada, sudah tidak bisa diakses selamanya, kebanyakan karena private key yang hilang, bukan karena dicuri.
| Simpan di exchange | Pegang sendiri | |
|---|---|---|
| Siapa pegang kunci | Exchange | Kamu |
| Yang bisa gagal | Perusahaan diretas, salah lapor cadangan dana, atau bangkrut | Kamu kehilangan akses, atau perangkat/software yang kamu percaya ternyata cacat |
| Contoh nyata | Bybit, Feb 2025: ~$1,4 miliar dicuri dari cold wallet meski butuh persetujuan banyak pihak | Coldcard, 2026: bug firmware bikin seed phrase "acak" jadi bisa ditebak, $116 juta+ dicuri |
| Seberapa sering | Chainalysis: ~$3,4 miliar dicuri dari platform kripto sepanjang 2025 | Survei Oobit: 35% pengguna self-custody pernah kehilangan akses wallet |
| Bisa kembali? | Kadang, bertahun-tahun kemudian, sebesar nilai dolar saat dibekukan (FTX, Mt. Gox) | Jarang. 31% yang kehilangan akses di survei Oobit tidak pernah berhasil memulihkannya |
Tidak ada satu pun dari dua pilihan ini yang otomatis aman, dan tidak ada juga yang otomatis salah. Cara paling jujur untuk melihatnya: kamu sedang memilih jenis kegagalan mana yang lebih sanggup kamu cegah dan kamu tanggung.
Menyimpan di exchange memusatkan risiko ke tangan platform. Risiko ini sudah mengecil di tempat yang punya aturan jelas: OJK sekarang mewajibkan platform kripto berizin untuk memisahkan aset nasabah dari dana milik exchange itu sendiri, dan menerapkan standar modal serta kustodian ala perbankan lewat kerangka UU P2SK yang direvisi (Aiying License & Compliance, diakses 2026-08-06). Ini mengurangi, tapi tidak menghilangkan, risiko kamu tidak bisa menarik dana kalau terjadi peretasan atau kebangkrutan. Aturan ini juga tidak mengubah fakta bahwa nasabah Mt. Gox dan FTX sama-sama harus menunggu bertahun-tahun.
Self-custody menghilangkan perusahaan dari persamaan sepenuhnya, tapi memindahkan seluruh beban untuk tidak pernah kehilangan password, seed phrase, atau perangkat, sepenuhnya ke tanganmu sendiri. Data survei di atas menunjukkan seberapa sering beban itu tidak berhasil dipikul.
Beberapa pertanyaan praktis yang lebih berguna daripada memilih berdasarkan prinsip semata:
Apa pun cara kamu menyimpannya, mulai dengan benar-benar tahu apa yang kamu punya dan bagaimana perilakunya. Gunakan Explore untuk cek volatilitas dan skenario kerugian terburuk suatu aset seperti Bitcoin sebelum memutuskan berapa banyak yang sebaiknya tetap di exchange dan berapa banyak yang kamu pindahkan ke self-custody.