Cara Mengatur Multisig di Dompet Hardware: 2-dari-3, Safe dan MetaMask

Pada Oktober 2026 Ledger mengonfirmasi adanya implan perangkat keras dengan modul LTE di perangkat milik reseller CryptoBilis dari Asia Tenggara. Tiga bulan sebelumnya, ditemukan bug firmware di Coldcard: seed dibuat dengan keacakan yang tidak cukup, dan lebih dari seribu BTC dicuri dari dompet yang terdampak. Orang-orang dalam kedua kasus itu sudah melakukan semuanya sesuai buku panduan. Dompet hardware, seed di atas kertas. Uangnya tetap hilang, karena semuanya bergantung pada satu perangkat.

Multi-tanda tangan (multisig) menghilangkan titik kegagalan tunggal itu. Untuk membelanjakan koin, kamu butuh M tanda tangan dari N kunci, dan kunci-kunci itu ada di perangkat yang berbeda. Kalau satu perangkat diretas atau ditukar, satu kunci saja tidak cukup untuk menarik uang. Dalam ulasan kami soal Ledger yang dimanipulasi, kami menyarankan skema tanda tangan 2-dari-3 dengan perangkat dari merek yang berbeda. Di bawah ini langkah demi langkah cara melakukannya untuk bitcoin, untuk Ethereum dan jaringan EVM, serta apa yang perlu diperhatikan di tiap produsen.

Skema ini sudah teruji di kondisi nyata. Setelah insiden Coldcard, Nunchuk (11 Agustus 2026) dan Unchained (12 Agustus 2026) melaporkan bahwa kuorum dari kunci produsen yang berbeda tetap aman. Selama setidaknya satu kunci dalam kuorum tidak dibobol, penyerang bahkan tidak bisa menemukan alamat dompet: untuk itu ia butuh kunci publik setiap peserta, dan di blockchain kunci publik baru terlihat setelah ada pembelanjaan. Karena itu Unchained menyarankan: saat membelanjakan, kosongkan alamat sepenuhnya dan kirim kembaliannya ke alamat baru.

Skema mana yang dipilih

• 2-dari-3. Standar untuk perorangan: ini yang ditawarkan secara bawaan oleh Sparrow, Trezor, Unchained, dan Coldcard. Satu kunci hilang, uang tetap aman. Satu kunci dicuri, uang juga tetap aman.
• 3-dari-5. Cadangannya lebih besar, tapi repotnya juga lebih banyak. Menurut Trezor, lebih dari lima kunci sudah terlalu rumit untuk perorangan. Di bitcoin, beralih dari 2-dari-3 ke 3-dari-5 hanya bisa dengan dompet baru, jadi putuskan sejak awal.
• 2-dari-4 dan 2-dari-5. Menurut Unchained, skema ini lebih melindungi dari kehilangan kunci.
• 3-dari-4 dan 4-dari-5. Lebih melindungi dari pencurian: pencuri harus mengumpulkan lebih banyak kunci.
• 2-dari-2 (dan skema N-dari-N mana pun). Kehilangan satu kunci saja menutup akses selamanya. Casa dan Unchained tidak menyarankan skema ini.

Yang perlu dilakukan sebelum mulai

• Beli perangkat hanya dari produsen atau penjual resmi, dan periksa kemasannya. Setelah kasus CryptoBilis, ini aturan wajib. Saran Ledger: kalau kamu sudah mengatur perangkat yang dibeli dari jalur itu, pindahkan dana ke dompet baru dengan seed baru.
• Gunakan perangkat dari produsen yang berbeda. Bug firmware atau masalah rantai pasok yang sama menghantam semua perangkat satu merek sekaligus.
• Perbarui firmware sebelum membuat seed. Dan secara umum, sebelum pembaruan apa pun kamu harus punya backup seed.
• Buat seed baru di setiap perangkat. Seed yang sama di dua perangkat menghasilkan satu kunci, bukan dua.
• Kalau kamu memakai passphrase, setiap peserta punya passphrase sendiri dan dicatat terpisah. Passphrase tidak boleh diganti setelah dompet dibuat: kuncinya akan berubah.
• Perhitungkan biaya. Transaksi multisig jauh lebih besar daripada transaksi biasa, biayanya lebih tinggi, dan saat jaringan padat ini terasa.

Opsi 1. Bitcoin 2-dari-3 di tiga dompet hardware dengan Sparrow

Untuk bitcoin kamu butuh aplikasi koordinator. Aplikasi ini menyusun dompet dari kunci publik, membuat transaksi, dan tidak menyimpan kunci sendiri. Kami memakai Sparrow: gratis, open source, versi 2.5.5 rilis 17 September 2026. Lewat USB, Sparrow bekerja dengan Trezor, Ledger, Coldcard, BitBox02, Jade, KeepKey, dan OneKey, lewat kode QR dengan Passport, Jade, SeedSigner, Keystone, dan Krux, lewat microSD dengan Coldcard, Keystone, dan Passport. Dokumentasi Sparrow menyarankan hal yang sama dengan kami: minimal 2-dari-3, perangkat dari produsen berbeda, disimpan di tempat berbeda.

Koordinator gratis lainnya: Nunchuk (mode mandiri, ada aplikasi ponselnya), Electrum, dan Specter Desktop. Kalau kamu ingin dibantu, lihat Casa (paket Standard seharga $250 per tahun, tiga kunci, salah satunya dipegang Casa) atau Unchained (perusahaan memegang satu dari tiga kunci). Nunchuk juga punya dompet berbayar di mana layanannya memegang satu kunci. Setelah insiden Coldcard, Nunchuk menonaktifkan hot key di ponsel pada dompet terkelolanya.

Kekhasan tiap merek

Kesamaan semuanya: perangkat menandatangani, koordinator menyusun dompet dan transaksi, dan kamu mencocokkan alamat di layar. Perbedaannya ada pada siapa yang menyimpan pendaftaran dompet, bagaimana perangkat berkomunikasi dengan komputer, dan apa saja yang bisa dilakukan perangkat itu.

Ledger

Nano S Plus, Nano X, Stax, dan Flex bisa menjadi peserta multisig di Sparrow atau Nunchuk. Kamu butuh aplikasi Bitcoin versi 2.1.0 atau yang lebih baru. Saat pertama kali terhubung, perangkat akan meminta pendaftaran dompet ("Register account"). Tanpa pendaftaran, Ledger hanya menandatangani dompet biasa dengan satu kunci. Pendaftaran disimpan oleh koordinator (Sparrow mengingatnya sejak versi 2.1.0), dan kalau susunan kunci berubah, pendaftaran harus diulang. Aplikasi Ledger Wallet (dulu Ledger Live) tidak punya multisig. Beli hanya dari Ledger atau penjual resmi.

Trezor

Model T, Safe 3, Safe 5, dan Safe 7. Trezor Suite tidak mendukung multisig, kamu butuh Sparrow, Electrum, atau Casa. Dompet tidak didaftarkan di perangkat, jadi cocokkan alamat di layar beberapa perangkat. Pada Januari 2026 Trezor menemukan dan memperbaiki bug tampilan pada multisig, jadi selalu perbarui firmware.

Coldcard: multisig tanpa komputer

Mk4, Mk5, dan Q paling praktis untuk menyusun multisig tanpa komputer, hanya dengan microSD. Pertama, firmware terbaru (5.6.3 atau 1.5.3Q) dan seed baru dengan lemparan dadu. Selanjutnya:

1. Di setiap perangkat: Settings > Multisig Wallets > Export XPUB. Hasilnya file di microSD dengan jalur m/48'/0'/0'/2'.
2. Di satu perangkat pilih Create Airgapped, tipe P2WSH, ambang 2. Coldcard akan menyusun file konfigurasi.
3. Di Coldcard lainnya: Import from File. Semua peserta Coldcard harus mendaftarkan dompet sebelum menandatangani.
4. Impor dompet ke Sparrow: File > Import Wallet > Coldcard Multisig.
5. Aktifkan Full Address View: secara bawaan Coldcard hanya menampilkan sebagian alamat.

Coldcard tidak menerima kunci yang sama dua kali, jadi kamu tidak akan tanpa sengaja menyusun "multisig" dari satu seed.

Keystone 3 Pro

Untuk multisig bitcoin, gunakan firmware khusus bitcoin (BTC-Only) versi 1.1.0 atau yang lebih baru. Keystone berkomunikasi dengan Sparrow lewat kode QR atau microSD. Di Sparrow: Settings > Export > Keystone Multisig > QR, di Keystone: Add MultiSig Wallet.

BitBox02

Pendaftaran terjadi saat pertama kali kamu menampilkan alamat dari Sparrow (Receive > Display Address). Perangkat menampilkan xpub semua peserta, cocokkan semuanya. Tutup BitBoxApp sebelum menghubungkan ke Sparrow. BitBox02 tidak mendukung Taproot dalam multisig.

Blockstream Jade dan Jade Plus

Mendaftarkan dan menyimpan konfigurasi multisig, memeriksa alamat penerimaan dan alamat kembalian. Bekerja lewat USB dan kode QR.

Passport

Passport Core mengimpor konfigurasi lewat kode QR atau dari microSD. Passport Prime bisa menjadi peserta, tapi tidak bisa membuat multisig sendiri, ia butuh koordinator eksternal seperti Sparrow.

SeedSigner

Perangkat rakitan sendiri tanpa memori. Perangkat ini tidak menyimpan konfigurasi dan bekerja lewat kode QR bersama Sparrow atau Specter.

Tangem: kenapa tidak cocok

Menurut Tangem sendiri, Tangem tidak punya multisig bawaan dan tidak bisa bekerja langsung dengan Sparrow maupun Electrum. Tangem juga tidak ada di daftar perangkat yang didukung Sparrow dan Nunchuk. Untuk multisig bitcoin dari perangkat berbagai merek, Tangem tidak cocok.

Opsi 2. Kamu hanya punya dua dompet hardware

Hal pertama yang ingin dilakukan biasanya skema 2-dari-2. Jangan: kalau salah satu dari dua perangkat hilang atau rusak bersama seed-nya, akses pun hilang. Casa dan Unchained tidak menyarankan skema ini. Yang benar adalah 2-dari-3, dengan kunci ketiga dari salah satu opsi di bawah.

• Perangkat ketiga dari merek lain. Opsi paling andal: ketiga kunci milikmu dan ketiganya dompet hardware.
• MetaMask, tapi hanya di Safe untuk Ethereum dan jaringan EVM. Ini opsi 3 di bawah.
• Kunci yang dipegang layanan: Casa, Unchained, atau Nunchuk. Ketiganya berbayar. Layanan memegang satu kunci, dan dengan dua kuncimu sendiri kamu bisa membelanjakan tanpa layanan itu.

Ingat soal konfigurasi: pada 2-dari-3, dua seed milikmu ditambah xpub peserta ketiga bisa memulihkan dompet. Karena itu xpub kunci layanan atau perangkat ketiga juga harus ada di backup-mu.

Opsi 3. Ethereum dan jaringan EVM: Safe, dua dompet hardware, dan MetaMask

Safe (dulu Gnosis Safe) adalah dompet smart contract dengan ambang tanda tangan. Di pusat bantuan Safe, skema yang umum untuk perorangan adalah: tiga penanda tangan (satu MetaMask dan dua dompet hardware), ambang 2. MetaMask dan satu dompet hardware untuk pemakaian sehari-hari, dompet hardware kedua disimpan terpisah sebagai cadangan.

Cara memeriksa transaksi sebelum menandatangani

Pada 21 Februari 2025, lebih dari 401.000 ETH dicuri dari Bybit, dan tidak ada yang meretas kuncinya. Pelaku mengganti kode antarmuka Safe: para penanda tangan melihat transfer biasa, padahal yang mereka tandatangani adalah penggantian kontrak. Kesimpulannya sederhana: transaksi diperiksa di layar perangkat, bukan di browser. Lebih baik menandatangani dari perangkat lain, bukan dari perangkat tempat antarmuka Safe dibuka. Menurut pusat bantuan Safe, periksa:

• alamat tujuan (to);
• jumlah (value);
• data (data), setelah diurai di decoder;
• operation: 0 berarti panggilan biasa (call), 1 berarti delegatecall, dan itu berbahaya;
• nonce, nomor urut transaksi;
• safeTxHash dan hash lain di layar dompet hardware. Tenderly, OpenZeppelin Safe Utils, dan safe-tx-hashes-util membantu menghitungnya secara mandiri.

Sejak September 2026 Trezor punya clear signing untuk Ethereum: perangkat menguraikan tindakan transaksi di layarnya. Fitur ini berlaku untuk kontrak yang didukung, untuk kontrak lainnya Trezor memberi peringatan soal blind signing.

Kalau satu kunci hilang

Ganti pemiliknya: Settings > Owners > Replace owner. Ambang diatur di Settings > Setup. Penggantian dikonfirmasi oleh pemilik yang tersisa sesuai ambang. Karena itulah ambang dibuat lebih rendah dari jumlah pemilik: pada 2-dari-3, dua kunci yang tersisa bisa dengan mudah mengganti kunci yang hilang. Kalau tanda tangan yang tersisa tidak cukup untuk ambang, tidak ada cara normal untuk mendapatkan akses kembali.

Solana: Squads

Di Solana, multisig dibuat di Squads. Ledger terhubung lewat Phantom atau Solflare, tapi untuk Squads kamu harus mengaktifkan Blind Signing di Ledger. Artinya kamu tidak akan melihat detail transaksi di layar perangkat, dan perlindungan utama dari opsi Safe di sini lebih lemah. Saat membuatnya kamu bisa menambahkan hingga 10 peserta. Jangan pakai skema 1/1, itu hanya dompet biasa dengan langkah tambahan. Pembuatannya butuh biaya sekali bayar 0,1 SOL ditambah sewa kecil.

Kesalahan umum

• Tidak ada backup konfigurasi (descriptor atau file Sparrow). Seed ada, tapi tidak bisa membelanjakan.
• Semua perangkat dari satu merek. Satu bug firmware atau masalah rantai pasok menjatuhkan seluruh skema.
• Satu seed di dua perangkat. Itu satu kunci, bukan dua.
• Skema 2-dari-2. Kehilangan satu kunci saja menutup akses selamanya.
• Seed disimpan di samping perangkatnya sendiri, atau dua seed disimpan di tempat yang sama.
• Passphrase diganti setelah dompet dibuat. Kuncinya jadi berbeda.
• Firmware diperbarui tanpa backup seed.
• Alamat hanya dicocokkan di layar komputer, bukan di perangkat.
• Memakai ulang satu alamat. Alamat multisig sudah terlihat berbeda dari alamat biasa, dan pemakaian ulang makin merusak privasi.
• Melewatkan uji pemulihan. Kesalahan di backup baru akan ketahuan pada hari kamu membutuhkannya.
• Menandatangani transaksi di Safe setelah memeriksanya hanya di browser.
• Perangkat tidak dibeli dari produsen atau penjual resmi.

Pertanyaan yang Sering Diajukan

Sebelum menerima koin di dompet barumu dari pengirim yang tidak dikenal, periksa alamatnya dengan layanan cek AML kami. Alat lain untuk dompet dikumpulkan di bagian alat untuk dompet.