Security Crypto Anti-Hack: Setup yang Gw Pakai (Indonesia 2026)

Security crypto layer-by-layer: cold wallet, hot wallet, 2FA hardware, threat vector Indonesia, dan recovery step kalau kena scam.

Pas event offline crypto, gw sering ditanya: "Bro, gimana cara aman simpan crypto? Takut ke-hack." Pertanyaan ini valid — jutaan dolar hilang setiap tahun karena security mistake.

Indonesia sebagai top 5 negara crypto di dunia juga jadi target empuk scammer. Tahun 2024-2025, lebih dari Rp 500 miliar hilang dari user Indonesia karena phising, fake apps, dan social engineering. Artikel ini ngajarin lo cara amanin crypto seperti yang gw aplikasiin sendiri.

Prinsip Dasar Security Crypto

"Not Your Keys, Not Your Coins"

Kalau crypto lo ada di exchange (Tokocrypto, Indodax, Pintu, Bitget), itu bukan crypto lo. Itu IOU dari exchange. Kalau exchange collapse (FTX 2022, Mt. Gox 2014), crypto lo bisa hilang permanent.

Solusi: Withdraw ke wallet pribadi. Lo yang pegang private key, lo yang punya crypto.

"Trust No One, Verify Everything"

Phising bisa dari:

• DM Telegram pretend to be admin
• Email pretend to be exchange
• Fake website (dengan typo URL)
• Fake mobile app (di Play Store/App Store)

Solusi: Bookmark URL official. Selalu cek domain. Jangan klik link dari DM unsolicited.

"Test Small Before Big"

Setiap transfer/trade baru, test dulu dengan amount kecil (Rp 50-100rb). Pastikan flow bener, address bener, network bener. Baru tambah amount.

Tipe Wallet & Trade-off-nya

Hot Wallet (Online)

• MetaMask, Trust Wallet, Phantom: Browser extension/mobile app.
• Pros: Mudah pakai, instant transfer, support ribuan dApp.
• Cons: Connected to internet → vulnerable malware, phising.
• Use for: Daily transaction, small amount (max 5-10% of total holding).

Cold Wallet (Hardware)

• Ledger, Trezor, Keystone: Hardware fisik, private key offline.
• Pros: Air-gapped, immune ke malware online, paling aman.
• Cons: Harga Rp 1-3jt, slower untuk transaksi.
• Use for: Long-term holding, amount besar (90%+ of total).

Paper Wallet (DIY Cold Storage)

• Generate address + private key offline, print di kertas.
• Pros: Gratis, paling air-gapped.
• Cons: Risk kebakaran, hilang, basah, butuh disiplin custody fisik.
• Use for: Hodl jangka panjang yang lo gak mau touch.

Multi-Sig Wallet

• Gnosis Safe, Casa: Butuh 2-of-3 atau 3-of-5 signature untuk transfer.
• Use for: Treasury bisnis, family fund, DAO, holding >$50k.

Threat Vector di Indonesia (Real Cases)

1. Telegram Admin Impersonation

Modus: Scammer pretend admin grup. DM lo bilang ada masalah, minta seed phrase atau klik link "verifikasi wallet".

Fakta: Admin official TIDAK PERNAH DM duluan. Tidak pernah minta seed. Tidak pernah minta lo verify wallet via link.

Solusi: Set Privacy → "Who can add me to groups": Nobody. Block admin yang DM duluan.

2. Fake Exchange App di Play Store

Modus: Aplikasi bernama "Indodax Pro", "Tokocrypto Plus" — bukan official. Setelah login, kredensial diambil.

Solusi: Download exchange app HANYA dari link official di website. Cek developer name. Cek review.

3. Drainer Smart Contract

Modus: Site phising minta lo "approve token" untuk claim airdrop. Approval ngasih akses ke wallet lo, scammer drain semua aset.

Solusi: Cek revoke.cash bulanan. Cabut approval mencurigakan. Pakai wallet terpisah untuk interact dengan dApp baru.

4. SIM Swap Attack

Modus: Scammer dapat data lo (KYC leak), telepon Telkomsel/Indosat, request SIM swap. Setelah SIM swap, mereka dapat OTP exchange lo.

Solusi: Hindari SMS 2FA. Pakai Google Authenticator atau Authy. Beberapa exchange support YubiKey untuk 2FA hardware.

5. Fake Customer Service Twitter

Modus: Lo tweet "Gua punya masalah deposit di Tokocrypto." Scammer pretend Tokocrypto, DM lo dengan link fake support.

Solusi: Tokocrypto/Pintu/Indodax CS official HANYA via website mereka. Tidak pernah via DM Twitter unsolicited.

Setup Security yang Gw Pakai (Reproducible)

Layer 1: Cold Wallet untuk Long-Term Holding

• Ledger Nano X (Rp 2.3jt) untuk 90% holding.
• Seed phrase backup metal plate (Cryptotag, Billfodl) — anti kebakaran/banjir.
• Simpan di safe deposit box bank (Rp 200-500rb/tahun).

Layer 2: Hot Wallet untuk Daily Transaction

• MetaMask (browser) + Trust Wallet (mobile) untuk swap, NFT, gaming.
• Maksimal 5-10% of total holding.
• Backup seed di password manager (1Password) — encrypted.

Layer 3: Burner Wallet untuk Risky DApp

• Wallet baru untuk setiap dApp yang lo gak terlalu trust.
• Funded dengan small amount only (cukup untuk gas + initial interaction).
• Setelah interact, jangan reuse untuk dApp lain yang trusted.

Layer 4: 2FA Hardware

• YubiKey 5C NFC (Rp 1jt) untuk 2FA exchange & email.
• Backup YubiKey di lokasi terpisah (rumah ortu, pacar).
• Hindari SMS 2FA untuk akun crypto-related.

Layer 5: Email Khusus Crypto

• Gmail terpisah HANYA untuk akun exchange + Coinbase + DEX yang KYC.
• Email ini gak digunakan untuk apa-apa lain (no signup random, no newsletter).
• Recovery key Gmail diset offline backup.

Software Wajib Install

• MetaMask Snaps: Extension MetaMask resmi untuk simulasi transaksi sebelum sign.
• Pocket Universe / Wallet Guard: Browser extension yang detect malicious dApp.
• Revoke.cash: Cabut approval token rutin.
• Etherscan / BscScan / Solscan: Cek transaksi suspicious dari history.

Checklist Security Bulanan

• [ ] Cek revoke.cash, cabut approval yang gak perlu.
• [ ] Update firmware Ledger / Trezor.
• [ ] Cek balance di blockchain explorer (gak via wallet UI yang bisa fake).
• [ ] Test transfer kecil dari cold wallet ke hot wallet (latihan + verify still works).
• [ ] Audit email forwarding rule (scammer kadang setup forwarding diam-diam).
• [ ] Backup seed phrase + 2FA recovery code (simpan terpisah dari device).

Kalau Sudah Kena Scam: Recovery Steps

1. Disconnect wallet dari semua dApp (di MetaMask: Connected sites → revoke).
2. Transfer remaining funds ke wallet baru ASAP (sebelum drainer execute lebih banyak).
3. Screenshot transaksi untuk laporan ke exchange/police.
4. Lapor ke Bappebti / OJK kalau dari Indonesia exchange.
5. Posting di Twitter/Telegram komunitas untuk warn user lain.
6. Jangan transfer fee/tax untuk "recovery" — itu second-stage scam.

Security crypto bukan paranoia, itu hygiene. Sama kayak lo gak share PIN ATM dengan random orang, lo gak share seed phrase. Sama kayak lo gak masuk gang gelap di tengah malam sendirian, lo gak click link dari DM unsolicited.

Belajar security cost time. Ke-hack cost everything.