L4D.1 — Kustodi dan Regulasi Aset Digital (Versi Belajar) — Invesmentpedia

Tawaran "keamanan tingkat militer"

Setelah modul ini, kamu bisa

menjelaskan kenapa kriptografi bukan titik lemah, dan ke mana perhatian harus diarahkan;
menghitung peluang kehilangan dan pencurian pada skema kunci m-dari-n, dan kenapa kedua ujungnya buruk;
merancang pengendalian sebelum transaksi, karena transfer aset digital tidak bisa dibatalkan;
membedakan aset yang dipisahkan dan yang dicampur, serta akibatnya saat penyimpan bangkrut;
menghitung apa yang sebenarnya dibeli saat menyebar aset ke banyak penyimpan;
menilai apa yang dibuktikan dan tidak dibuktikan oleh proof of reserves, dan menentukan porsi hot/cold.

Modul ini tidak memberi nasihat hukum. Aturan aset digital di Indonesia dan di banyak negara berubah cepat. Karena itu yang diajarkan adalah pertanyaan yang harus diajukan, bukan jawaban yang berlaku hari ini. Setiap pertanyaan soal status hukum, izin, pajak, atau hak milik atas aset digital wajib dirujuk ke penasihat hukum berizin, termasuk permintaan "pendapat sementara".

Pak Reza, titip aset kripto keluarga di platform kami! Enkripsi tingkat militer. Mustahil dibobol. Plus bunga 15% setahun!

Enkripsinya pasti kuat, Om. Tapi aset Pak Reza nanti tercatat atas nama siapa? Dan bunga 15% itu dari mana?

Ehm... itu teknis. Yang penting aman!

Jawaban yang menghindar itu juga informasi, Raka. Kerugian di dunia ini hampir tidak pernah datang dari gemboknya.

Lho, lalu dari mana, Kak?

HMM...

Om Cuan menjual jawaban untuk masalah yang tidak pernah ada, sambil diam soal masalah yang sungguh ada. Raka, sebagai analis junior yang menangani portofolio keluarga Pak Reza, perlu tahu persis di mana bocornya. Mari mulai dari gemboknya dulu.

Gemboknya hampir mustahil dibobol

Aset digital dikendalikan oleh kunci privat. Kunci itu biasanya dicadangkan dalam bentuk frasa pemulihan, misalnya 12 kata acak. Siapa pun yang memegang frasa itu bisa memindahkan asetnya.

Frasa 12 kata menyimpan 128 bit keacakan. Artinya ada 2¹²⁸ ≈ 3,403 × 10³⁸ kemungkinan. Angka itu sulit dibayangkan, jadi mari kita hitung.

Penyerang super. Andaikan ia sanggup menebak satu triliun (10¹²) kali per detik. Itu jauh melampaui kemampuan penyerang mana pun.
Waktu yang dibutuhkan. 3,403 × 10³⁸ ÷ 10¹² = 3,403 × 10²⁶ detik ≈ 1,08 × 10¹⁹ tahun.
Bandingkan dengan umur alam semesta (sekitar 1,4 × 10¹⁰ tahun): 1,08 × 10¹⁹ ÷ 1,4 × 10¹⁰ ≈ 7,7 × 10⁸ kali umur alam semesta.

Kesimpulannya bukan "aset digital aman". Kesimpulannya: karena kriptografinya tak tertembus, setiap kerugian nyata bersifat operasional atau hukum. Kunci hilang atau dicuri, transaksi salah yang tak bisa dibatalkan, penyimpan yang gagal, dan klaim cadangan yang tidak terbukti. Penyedia yang menjual "keamanan tingkat militer" menjawab persoalan yang tidak pernah jadi masalah.

Empat jalur yang menghabiskan aset	Dibahas di bagian
Kunci hilang atau dicuri	Skema m-dari-n
Transaksi salah yang tidak bisa dibatalkan	Tidak ada tombol "batal"
Pihak yang memegang aset gagal	Dipisah atau dicampur; menyebar penyimpan
Klaim cadangan yang tidak terverifikasi	Proof of reserves

Skema m-dari-n: kurva berbentuk U

Satu kunci tunggal menghadapi dua risiko yang saling berlawanan arah.

Risiko KEHILANGAN

Kunci rusak, hilang, atau pemegangnya meninggal. Aset terkunci selamanya.

Dikurangi dengan memperbanyak salinan.

VS

Risiko PENCURIAN

Kunci dikuasai penyerang. Aset dipindahkan tanpa izin.

Dikurangi dengan mengurangi salinan.

Jalan keluarnya adalah skema m-dari-n (sering disebut multisig). Dibuat n kunci yang terpisah. Transaksi baru sah bila ditandatangani sedikitnya m kunci. Contohnya 2-dari-3: ada tiga kunci, dan dua di antaranya cukup.

Mari pakai angka contoh dari naskah. Peluang satu kunci hilang 5% per tahun. Peluang satu kunci dikuasai penyerang 2% per tahun. Setiap kunci dianggap saling bebas.

Alasan Pak Reza. "Supaya tidak ada satu orang pun yang bisa memindahkan aset sendirian. Makin banyak syarat, makin aman, kan?"
Peluang hilang. Pada 5-dari-5, aset terkunci bila satu saja dari lima kunci hilang. Peluang kelimanya selamat = 0,95⁵. Jadi peluang hilang = 1 − 0,95⁵ = 0,2262, atau 22,62% per tahun.
Peluang dicuri. Penyerang harus menguasai kelima kunci: 0,02⁵ ≈ 0. Hampir nol.
Dalam rupiah. Untuk aset Rp2 miliar: 0,2262 × Rp2 miliar ≈ Rp452,4 juta per tahun nilai yang terancam hangus.
Bandingkan dengan 3-dari-5. Peluang hilang 0,0011581, peluang dicuri 0,0000776. Total 0,0012357, sekitar 0,12% per tahun. Jadi 5-dari-5 sekitar 183 kali lebih buruk, padahal terdengar "paling aman".
Jawab kekhawatiran aslinya. 3-dari-5 sudah memastikan tidak ada satu orang (bahkan dua orang) yang bisa memindahkan aset. Syarat kelima tidak menambah perlindungan berarti. Ia hanya menambah cara untuk kehilangan segalanya.

Kedua ujung kurva sama-sama buruk, tetapi karena alasan yang berlawanan. Terlalu sedikit syarat membuka pintu bagi pencuri. Terlalu banyak syarat membuat satu kunci hilang menghanguskan semuanya.

Coba bandingkan 1-dari-1 (total 7,00%) dengan 2-dari-3 (0,84%). Lalu coba 5-dari-5 dan 1-dari-5. Lihat bagaimana risiko yang dominan berpindah sisi.

Kabar baik untuk pemula: 2-dari-3

	1-dari-1	2-dari-3	Perubahan
Peluang hilang	0,050000	0,007250	−85,5%
Peluang dicuri	0,020000	0,001184	−94,1%
Peluang kejadian dalam 10 tahun	51,60%	8,12%	—

Biasanya keamanan dan kemudahan saling ditukar. Di sini tidak: pindah dari 1-dari-1 ke 2-dari-3 menurunkan kedua risiko sekaligus. Perhatikan juga baris terakhir. Kunci tunggal yang dipegang sepuluh tahun punya peluang celaka 1 − 0,93¹⁰ = 51,60%. Itu seperti melempar koin.

\[ P(\text{kejadian dalam } T \text{ tahun}) = 1 - (1 - p)^T \]

\(p\): peluang kejadian dalam satu tahun
\(T\): jumlah tahun

hitung peluang "selamat setiap tahun", pangkatkan dengan jumlah tahun, lalu kurangkan dari 1. Kunci tunggal dengan peluang celaka 5% per tahun: 1 − 0,95¹⁰ = 40,13% dalam sepuluh tahun. Peluang kecil per tahun menjadi besar bila ditunggu lama.

Apakah dua kunci pernah disimpan di tempat yang sama, atau diketahui orang yang sama? Misalnya skema 2-dari-3, tetapi dua kunci disimpan di satu brankas rumah. Satu kebakaran atau satu pencurian di brankas itu sudah memenuhi ambang dua kunci. Itu bukan tiga kunci yang terpisah, dan semua hitungan di atas gugur.

Menambah syarat tidak selalu menambah keamanan. Pada n-dari-n, syarat terakhir menciptakan risiko kehilangan yang jauh lebih besar daripada risiko pencurian yang dihilangkannya. Dan skema apa pun hanya sekuat keterpisahan lokasi kunci-kuncinya.

Rumus lengkap m-dari-n

Dengan \(p\) peluang satu kunci hilang dan \(q\) peluang satu kunci dicuri (saling bebas), aset hilang bila kunci yang tersisa kurang dari \(m\), dan dicuri bila penyerang menguasai sedikitnya \(m\) kunci:

\[ P(\text{hilang}) = \sum_{k=0}^{m-1} \binom{n}{k}(1-p)^k p^{\,n-k} \qquad P(\text{dicuri}) = \sum_{k=m}^{n} \binom{n}{k} q^k (1-q)^{n-k} \]

Skema	P(hilang)	P(dicuri)	Total
1-dari-1	0,050000	0,020000	0,070000
1-dari-2	0,002500	0,039600	0,042100
2-dari-2	0,097500	0,000400	0,097900
2-dari-3	0,007250	0,001184	0,008434
3-dari-3	0,142625	0,000008	0,142633
3-dari-5	0,001158	0,000078	0,001236
4-dari-7	0,000194	0,000005	0,000199
5-dari-5	0,226219	0,000000	0,226219

Contoh latihan: skema 4-dari-4 dengan peluang hilang tiap kunci 4% memberi \(1 - 0{,}96^4 \approx 15{,}07\%\) peluang aset tak bisa diakses.

Tidak ada tombol "batal"

Transaksi aset digital tidak dapat dibatalkan. Tidak ada bank yang bisa diminta menarik dana. Tidak ada pihak yang berwenang membalikkannya, dan tidak ada prosedur banding. Salah ketik satu alamat, uangnya pergi selamanya.

Kesalahan kecil yang jarang tetap menumpuk bila transaksinya banyak. Rumusnya sama dengan sebelumnya: 1 − (1 − p)^{jumlah transaksi}.

Laju salah per transaksi	50 transaksi	200 transaksi	1.000 transaksi
0,0001	0,50%	1,98%	9,52%
0,001	4,88%	18,14%	63,23%
0,005	22,17%	63,30%	99,33%
0,01	39,50%	86,60%	~100%

Di pasar saham biasa, kesalahan input yang sama biasanya ketahuan dan diperbaiki lewat rekonsiliasi harian. Di sini tidak ada yang bisa diperbaiki. Bedanya bukan pada laju kesalahan. Bedanya, rekonsiliasi hanya memberi tahu bahwa uang sudah hilang.

Pada sistem yang tidak bisa dibatalkan, seluruh pengendalian harus berada SEBELUM transaksi dikirim. Pengendalian sesudahnya tidak ada gunanya.

Lima pengendalian sebelum kirim

#	Pengendalian	Yang dicegah
1	Daftar alamat yang disetujui (allowlist), dengan jeda waktu untuk menambah alamat baru	Alamat penyerang, salah ketik
2	Transaksi uji bernilai kecil sebelum kirim penuh	Alamat salah
3	Cek alamat di layar perangkat penanda tangan, bukan di layar komputer yang bisa disusupi	Alamat diganti diam-diam oleh program jahat
4	Persetujuan orang kedua untuk nilai di atas ambang	Kesalahan atau penyalahgunaan satu orang
5	Jeda wajib antara menyusun dan mengirim	Keputusan tergesa dan tekanan sosial

Butir 1 dan 5 menangkis serangan yang paling sering berhasil. Serangan itu bukan peretasan canggih, melainkan tekanan waktu: "Kirim sekarang, atau kesempatannya hilang!" Jeda wajib mematikan seluruh jenis serangan itu dengan satu aturan sederhana.

Dipisah atau dicampur? Penentu saat penyimpan bangkrut

Banyak orang tidak memegang kuncinya sendiri. Mereka menitipkan aset ke kustodian, yaitu pihak yang menyimpan aset atas nama nasabah. Ketika kustodian itu gagal, berapa yang kembali kepadamu tidak ditentukan oleh teknologinya, melainkan oleh struktur hukum penyimpanannya.

Dua istilah kunci. Aset tersegregasi artinya dipisahkan dan dicatat sebagai milikmu. Aset dikominglingkan (dari commingling) artinya dicampur dalam satu tumpukan bersama aset orang lain.

Dua layanan bisa tampak identik dari luar: aplikasinya mirip, biayanya mirip, klaim keamanannya mirip. Perbedaan 85% baru terlihat saat penyedianya gagal.

Struktur penyimpanan	Pemulihan	Dari Rp100 juta	Hilang
Tersegregasi dan jelas milikmu	100%	Rp100.000.000	Rp0
Tersegregasi, tetapi catatannya cacat	85%	Rp85.000.000	Rp15.000.000
Dicampur: kamu jadi kreditur umum	40%	Rp40.000.000	Rp60.000.000
Dicampur dan sudah dipinjamkan	15%	Rp15.000.000	Rp85.000.000

Tingkat pemulihan ini contoh untuk berlatih. Hasil sebenarnya bergantung pada hukum kepailitan yang berlaku dan fakta setiap kasus.

Kreditur umum adalah orang yang punya tagihan tanpa jaminan khusus. Saat penyedia bangkrut, ia ikut antre dari sisa harta pailit.

Tiga pertanyaan penentu

#	Pertanyaan	Kenapa menentukan
1	Asetku tercatat atas nama siapa, aku atau penyedia?	Menentukan kamu pemilik atau sekadar kreditur
2	Bolehkah penyedia meminjamkan atau menjaminkan asetku?	Menentukan apakah asetnya masih ada saat penyedia gagal
3	Bila penyedia pailit, apakah asetku masuk harta pailit?	Menentukan posisimu dalam antrean

Ketiganya dijawab oleh dokumen hukum (syarat layanan dan perjanjian), bukan oleh halaman keamanan atau materi pemasaran. Bunga 15% dari Om Cuan, misalnya, patut memancing pertanyaan nomor 2: dari mana bunga itu dibayar, kalau bukan dari meminjamkan asetmu?

Yang bisa dan wajib kamu lakukan: ajukan ketiga pertanyaan secara tertulis, simpan jawabannya, dan bawa ke penasihat hukum berizin untuk ditafsirkan. Penyedia yang menolak menjawab secara tertulis sudah memberimu informasi berguna. Penolakan menjawab adalah jawaban.

Menyebar penyimpan: apa yang sebenarnya dibeli?

Nasihat "jangan simpan semua di satu tempat" itu benar. Tetapi alasan yang biasa diberikan untuknya keliru. Mari kita uji klaim keluarga Pak Reza: "Kalau dipecah ke sepuluh penyedia, risikonya jadi sepersepuluh."

Saya pecah ke sepuluh penyedia saja, Raka. Risikonya pasti tinggal sepersepuluh!

Kerugian rata-ratanya ternyata sama persis, Pak: 1,80% modal. Dan peluang mengalami kegagalan malah naik ke 26%.

Lho?! Jadi percuma?

HAH?

Tidak percuma. Yang Bapak beli adalah kemampuan bertahan. Rugi 6% masih bisa bangkit. Rugi 60% sering tidak.

Kita butuh satu alat: kerugian yang diharapkan, ditulis E[kerugian]. Ia adalah peluang kejadian dikali besar kerugiannya.

\[ E[\text{kerugian}] = q \times (1 - \text{pemulihan}) \]

\(q\): peluang satu kustodian gagal per tahun
pemulihan: porsi aset yang kembali bila kustodian gagal

peluang gagal dikali bagian yang hilang. Dengan peluang gagal 3% dan pemulihan 40%, yang hilang 60%: 0,03 × 0,60 = 1,80% modal per tahun.

Jumlah kustodian	Peluang ≥1 gagal setahun	Kerugian bila 1 gagal	E[kerugian]
1	3,00%	60,0% modal	1,80%
2	5,91%	30,0% modal	1,80%
3	8,73%	20,0% modal	1,80%
5	14,13%	12,0% modal	1,80%
10	26,26%	6,0% modal	1,80%

Baca kolom terakhir: sama persis, 1,80%, berapa pun jumlah kustodiannya. Lalu kolom kedua bergerak ke arah yang "salah": peluang mengalami sedikitnya satu kegagalan naik dari 3,00% menjadi 26,26%, hampir sembilan kali lipat.

Jadi kenapa tetap menyebar?

Karena yang dibeli adalah kesintasan, kemampuan bertahan. Pada modal Rp1 miliar, satu kustodian yang gagal menghapus Rp600 juta. Sepuluh kustodian, kalau satu gagal, hanya Rp60 juta. Rugi 60% butuh kenaikan 150% untuk pulih. Rugi 6% hanya butuh sekitar 6,4%. Ketimpangan pemulihan inilah alasan sebenarnya untuk menyebar.

Menyebar kustodian tidak menurunkan kerugian yang diharapkan. Ia mengubah kerugian yang jarang dan besar menjadi sering dan kecil. Yang dibeli adalah kesintasan, dan itu memang hal yang benar untuk dibeli.

Pertama, kegagalan memang jadi lebih sering. Dengan sepuluh kustodian, kamu akan lebih sering mengurus krisis. Siapkan prosedurnya.

Kedua, dan lebih penting: hitungan ini menganggap kegagalan saling bebas. Kalau sepuluh penyedia ternyata menitipkan aset di sub-kustodian yang sama, memakai bank yang sama, tunduk pada negara yang sama, atau dimiliki induk yang sama, mereka bukan sepuluh taruhan. Mereka satu taruhan dengan sepuluh lapis risiko operasional. Uji yang benar bukan "berapa banyak kustodianku", melainkan "apa yang mereka miliki bersama".

Proof of reserves: potret, bukan film

Proof of reserves (PoR) adalah upaya penyedia membuktikan bahwa ia memegang cukup aset untuk menutup simpanan nasabah. Ia berguna. Tetapi ia membuktikan jauh lebih sedikit daripada yang biasanya dipahami orang.

Ada tiga klaim yang harus dipisahkan. Liabilitas artinya kewajiban, di sini jumlah yang menjadi hak seluruh nasabah.

Klaim	Bisa dibuktikan secara kriptografis?
Aset: penyedia menguasai alamat tertentu	Ya, dengan tanda tangan digital
Liabilitas: jumlah yang menjadi hak seluruh nasabah	Sebagian. Tiap nasabah hanya bisa memeriksa saldonya sendiri
Tidak ada liabilitas tersembunyi	Tidak

Jadi bila hanya aset yang dibuktikan, klaim "cadangan kami 104% dari kewajiban" tidak bermakna. Penyebutnya, yaitu kewajiban, tidak diverifikasi. Membuktikan aset tanpa liabilitas tidak membuktikan solvabilitas.

Masalah yang lebih mendasar: satu titik waktu

PoR adalah potret pada satu saat, disebut attestasi. Bila kekurangan cadangan hanya terjadi sebagian waktu, potret bisa saja diambil saat semuanya tampak beres.

\[ P(\text{terdeteksi}) = 1 - (1 - f)^K \]

\(f\): porsi waktu saat cadangan kurang
\(K\): berapa kali attestasi per tahun, pada waktu yang tidak bisa ditebak

setiap potret punya peluang (1 − f) untuk "kebetulan" diambil saat cadangan cukup. Peluang semua potret lolos adalah (1 − f) dipangkatkan K. Contoh: kekurangan 10% waktu, attestasi triwulanan (4 kali): lolos 0,90⁴ = 65,6%, terdeteksi hanya 34,4%.

Dan angka itu masih terlalu optimistis. Rumus tadi menganggap waktu attestasi tidak bisa ditebak. Bila penyedia tahu jadwalnya, ia bisa meminjam cadangan khusus untuk potret itu lalu mengembalikannya. Peluang terdeteksi saat itu mendekati nol.

Empat pertanyaan agar PoR bermakna	Kenapa
1. Apakah liabilitas ikut dibuktikan, bukan hanya aset?	Aset tanpa liabilitas tidak membuktikan solvabilitas
2. Seberapa sering, dan apakah waktunya tak terduga?	Potret terjadwal mudah dipenuhi sesaat
3. Apakah auditornya independen, dan laporannya lengkap?	Attestasi terbatas bukan audit
4. Apakah aset yang ditunjukkan dipinjam?	Alamat bisa dikuasai sementara

PoR yang tidak menjawab pertanyaan 1 dan 2 bukan bukti solvabilitas. Ia hanya bukti bahwa penyedia menguasai sejumlah alamat pada satu saat. PoR yang lemah tetap lebih baik daripada tidak ada, tetapi ia tidak menggantikan tiga pertanyaan hukum soal segregasi.

Hot dan cold: dompet di saku, brankas di rumah

Aset yang bisa diakses cepat lewat perangkat yang tersambung internet disebut hot. Yang disimpan luring disebut cold. Hot itu praktis tetapi jauh lebih rawan.

Dengan angka contoh: peluang hot dibobol 8% per tahun, cold 0,3% per tahun.

Kebutuhan nyata. Transaksi operasional hanya Rp50 juta per bulan. Dengan cadangan satu bulan, porsi hot yang dibenarkan = Rp50 juta ÷ Rp1 miliar = 5%.
Kerugian harapan pada 20% hot. 0,20 × 8% + 0,80 × 0,3% = 1,84% per tahun = Rp18,4 juta.
Pada 5% hot. 0,05 × 8% + 0,95 × 0,3% = 0,685% per tahun = Rp6,85 juta.
Selisihnya. Rp11,55 juta per tahun, turun 62,8%. Uang itu dibayar untuk kemudahan yang tidak pernah dipakai.

Porsi hot ditentukan oleh kebutuhan transaksi yang dihitung, bukan oleh perasaan aman. Setiap rupiah di hot yang melebihi kebutuhan itu berbiaya sekitar 8% per tahun dalam contoh ini.

Kapan prosedur pemulihan cold terakhir diuji? Penyimpanan cold yang rapi tidak ada nilainya bila prosedur untuk membukanya belum pernah dijalankan. Uji itu harus dilakukan tanpa memakai kunci utama, karena keadaan itulah yang sedang dilatih: kunci utama tidak ada.

Kerangka Kustodi dan uji tuntas penyedia

Semua hitungan tadi dikumpulkan dalam satu dokumen kerja: Kerangka Kustodi. Bagian pertamanya, seperti di modul pajak dan waris, adalah batas kompetensi. Lalu ada uji tuntas untuk setiap penyedia.

Bagian	Isi pokok
1. Batas kompetensi	Nama penasihat hukum yang dirujuk; janji tidak memberi pendapat hukum, termasuk "pendapat sementara"
2. Skema kunci	m-dari-n, peluang hilang dan dicuri, peluang 10 tahun; di mana tiap kunci, dan siapa yang tahu?
3. Pengendalian sebelum kirim	Lima pengendalian, ambangnya, dan kerugian harapan dari salah alamat
4. Hot/cold	Porsi yang dibenarkan kebutuhan, porsi aktual, dan biaya selisihnya
5. Uji tuntas penyedia	Delapan pertanyaan tertulis (di bawah); mana yang tidak dijawab
6. Diversifikasi	Jumlah kustodian, E[kerugian], dan apa yang mereka miliki bersama
7. Kegagalan dan pemulihan	Langkah bila kunci hilang, pemegang kunci wafat, atau penarikan dihentikan; kapan terakhir diuji

Delapan pertanyaan uji tuntas (diajukan tertulis)

1) Aset tercatat atas nama siapa? 2) Bolehkah aset dipinjamkan atau dijaminkan? 3) Saat pailit, masuk harta pailit? 4) PoR: liabilitas ikut dibuktikan? 5) PoR: seberapa sering, dan apakah waktunya tak terduga? 6) Auditornya independen, laporannya lengkap? 7) Apa status izinnya, dan siapa otoritas pengawasnya? 8) Asuransi: apa yang ditanggung, apa yang tidak?

Jumlah kustodian yang dicatat bukanlah jumlah di daftar, melainkan jumlah yang benar-benar independen. Dan jawaban penyedia atas pertanyaan 1 sampai 3 baru sah dipakai setelah diverifikasi penasihat hukum berizin.

Mitos atau fakta?

Ketuk setiap kartu untuk membaliknya.

"Enkripsi tingkat militer berarti asetku aman."

Kriptografinya memang tak tertembus. Justru karena itu, semua kerugian nyata datang dari kunci, prosedur, dan struktur hukum.

"Makin banyak tanda tangan yang dibutuhkan, makin aman."

5-dari-5 sekitar 183 kali lebih buruk dari 3-dari-5: satu kunci hilang menghanguskan semuanya (22,6% per tahun).

"Salah kirim? Nanti ketahuan saat rekonsiliasi, lalu dibetulkan."

Transaksi tak bisa dibatalkan. Rekonsiliasi hanya memberi tahu bahwa uang sudah hilang. Semua pengendalian harus sebelum kirim.

"Sebar ke sepuluh penyedia, risiko jadi sepersepuluh."

Kerugian harapannya tetap 1,80%. Yang berubah: kerugian jarang-besar jadi sering-kecil. Yang dibeli adalah kesintasan.

"Ada proof of reserves, berarti penyedianya pasti sanggup membayar."

PoR membuktikan aset pada satu saat. Liabilitas hanya sebagian terbukti, dan liabilitas tersembunyi tidak bisa dibuktikan.

Cek pemahamanmu

Latihan singkat ini tidak dinilai. Kuis resmi modul ada di bagian akhir halaman.

1. Sebuah keluarga memakai 3-dari-5, tetapi tiga kunci disimpan di satu lemari besi kantor. Penilaian yang tepat?

Aman, karena 3-dari-5 adalah skema dengan risiko terendah
Aman, asalkan lemari besinya dijaga satpam
Satu kejadian di lemari itu sudah memenuhi ambang tiga kunci
Lebih aman, karena kunci di satu tempat mudah diawasi

Hitungan m-dari-n menganggap kunci-kuncinya terpisah. Tiga kunci di satu lokasi berarti satu titik gagal yang sudah cukup untuk memindahkan aset.

2. Peluang satu kustodian gagal 4% per tahun, pemulihan 50%. Berapa kerugian yang diharapkan bila aset disebar ke 8 kustodian independen?

2,00% modal per tahun, sama seperti satu kustodian
0,25% modal per tahun, yaitu 2% dibagi 8
16,00% modal per tahun, yaitu 2% dikali 8
4,00% modal per tahun, sama dengan peluang gagalnya

E[kerugian] = 0,04 × 0,50 = 2,00%, tidak bergantung pada jumlah kustodian. Yang berubah hanya bentuk kerugiannya.

3. Penyedia melakukan attestasi cadangan tiap tanggal 1 Januari, jadwalnya diumumkan setahun sebelumnya. Kekurangan cadangan terjadi 30% waktu. Peluang terdeteksi paling mendekati…

30%, sama dengan porsi waktu kekurangan
70%, karena 1 dikurangi 30%
100%, karena attestasi bersifat kriptografis
Hampir nol, karena cadangan bisa dipinjam untuk hari itu

Rumus 1 − (1 − f)^K hanya berlaku bila waktunya tak terduga. Jadwal yang diketahui membuat cadangan bisa "dipinjam sesaat".

4. Aset digital terkirim ke alamat yang salah karena salah tempel. Pengendalian yang paling tepat untuk mencegah kejadian berikutnya adalah…

Rekonsiliasi saldo setiap jam
Daftar alamat yang disetujui dan transaksi uji kecil sebelum kirim
Meminta jaringan membatalkan transaksi dalam 24 jam
Mengganti ke penyedia dengan enkripsi lebih kuat

Transaksi tidak bisa dibatalkan, jadi pengendalian harus sebelum kirim. Enkripsi tidak ada hubungannya dengan salah alamat.

5. Dua penyedia tampak identik. Penyedia B menulis di syarat layanannya bahwa aset nasabah boleh dipinjamkan. Apa akibat paling mungkin bila B pailit?

Pemulihan penuh, karena transaksi tercatat di blockchain
Pemulihan penuh, asalkan nasabah punya bukti setor
Pemulihan rendah, karena aset mungkin sudah tidak ada dan nasabah ikut antre
Aset dikembalikan otomatis oleh jaringan

Struktur hukum, bukan teknologi, menentukan pemulihan. Dicampur dan dipinjamkan bisa berarti hanya sekitar 15% yang kembali dalam contoh modul.

Ringkasan dan kamus mini

Kriptografi: tak tertembus, jadi kerugian nyata bersifat operasional atau hukum.
m-dari-n: kurva berbentuk U. 1-dari-n rawan dicuri, n-dari-n rawan hilang. 2-dari-3 menurunkan kedua risiko dibanding 1-dari-1.
Tak bisa dibatalkan: semua pengendalian harus sebelum kirim; jeda wajib menangkis tekanan waktu.
Segregasi: tiga pertanyaan tertulis menentukan pemulihan 100% atau 15%. Verifikasi oleh penasihat hukum.
Menyebar kustodian: E[kerugian] tetap; yang dibeli kesintasan. Periksa apa yang mereka miliki bersama.
PoR: potret satu saat; liabilitas dan waktu tak terduga adalah kuncinya.
Hot/cold: porsi hot dari kebutuhan yang dihitung, sisanya cold.

Kunci privat: Kode rahasia yang memberi hak memindahkan aset digital.
Frasa pemulihan: 12 atau 24 kata cadangan untuk membuat ulang kunci privat.
Skema m-dari-n: n kunci dibuat; m tanda tangan dibutuhkan untuk bertransaksi.
Allowlist: Daftar alamat tujuan yang sudah disetujui.
Kustodian: Pihak yang menyimpan aset atas nama nasabah.
Sub-kustodian: Pihak ketiga tempat kustodian menitipkan lagi aset nasabah.
Segregasi: Aset nasabah dipisahkan dan dicatat atas namanya.
Kominglingan: Aset nasabah dicampur dengan aset lain.
Harta pailit: Kekayaan perusahaan bangkrut yang dibagi ke para kreditur.
Kerugian yang diharapkan: Peluang kejadian dikali besar kerugiannya.
Kesintasan: Kemampuan bertahan dan melanjutkan setelah kejadian buruk.
Proof of reserves: Bukti bahwa penyedia menguasai aset tertentu pada satu saat.
Solvabilitas: Kemampuan membayar seluruh kewajiban.
Hot / cold: Penyimpanan yang tersambung internet / yang luring.

Materi ini untuk pendidikan, bukan nasihat hukum, pajak, atau investasi, dan bukan rekomendasi penyedia atau aset apa pun. Semua peluang, tingkat pemulihan, dan angka adalah contoh latihan. Untuk pertanyaan hukum tentang aset digital, hubungi penasihat hukum berizin.

Kustodi Aset Digital: Gemboknya Kuat, Pintunya yang Bocor