Wallet hanya cold bila private keys atau seed dibuat, disimpan, dan digunakan di batas signing yang sengaja terisolasi. Device, backup, passphrase, descriptor, verifikasi, dan manusia membentuk sistem. Offline mengurangi serangan jarak jauh, bukan kehilangan, paksaan, firmware jahat, atau human error.
Cold menjelaskan paparan key, bukan lokasi coin: UTXO tetap publik. Laptop terputus mungkin sudah terinfeksi; mnemonic metal adalah backup. Malware, pencurian, kebakaran, paksaan, kerusakan, vendor dependency, dan kematian memerlukan kontrol berbeda. Glacier membagi setup, deposit, withdrawal, viewing, dan maintenance. [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure]
Online coordinator menyimpan data publik—idealnya descriptor dengan checksum dan key origins—bertanya ke node, mencari UTXO, menurunkan address, dan membuat unsigned transaction. Cold signer memegang spend authority. Kebocoran xpub/descriptor membuka address dan balance; coordinator terkompromi dapat mengganti alamat atau detail. [BIP 380 — Output Script Descriptors] [Bitcoin Core — Output Descriptors] [Bitcoin Optech — Output Script Descriptors]
Buat secrets di batas yang direncanakan, catat format/passphrase, export configuration dan verifikasi tiap signer. BIP129 menentukan dua putaran multisig, registrasi policy, dan proof of key ownership. Cek address di device, kirim sedikit, konfirmasi watch-only, lalu test spend dan recovery sebelum deposit besar. [BIP 129 — Bitcoin Secure Multisig Setup] [COLDCARD — Address Explorer]
BIP174 mendefinisikan PSBT sebagai map global/input/output bermagic 0x70 0x73 0x62 0x74 0xff. Creator mengusulkan, updater menambah UTXO/scripts/paths, signer menandatangani, finalizer mengekstrak transaction. BIP370 adalah v2, BIP371 menambah Taproot; uji kompatibilitas. Broadcast setelah signature digabung. [BIP 174 — Partially Signed Bitcoin Transaction Format] [BIP 370 — PSBT Version 2] [BIP 371 — Taproot Fields for PSBT] [Bitcoin Core — PSBT Howto] [Bitcoin Core — Offline Signing Tutorial]
Di trusted display cocokkan setiap destination, amount, fee/rate, inputs, sighash, dan change. Metadata palsu bisa menyamarkan output penyerang sebagai change; BIP174 mewajibkan cek kepemilikan wallet. Nilai besar diverifikasi orang kedua lewat kanal autentik independen. [BIP 174 — Partially Signed Bitcoin Transaction Format] [COLDCARD — Address Explorer] [COLDCARD — QR Scanner and PSBT Signing]
Device dan backup melindungi kegagalan berlawanan. BIP39 mnemonic+passphrase memulihkan semua; disimpan bersama menjadi satu target, passphrase terlupa membuka wallet valid lain. SLIP39 shares di bawah threshold tidak bocor, tetapi kehilangan terlalu banyak menggagalkan recovery. Lindungi api, air, korosi, foto; jangan pernah online. [Trezor — Wallet Backups] [Trezor — Shamir Backup]
m-of-n membagi otorisasi dan tahan kehilangan kurang dari threshold, namun seeds mungkin tidak memulihkan threshold, xpubs, urutan, paths, atau script. Backup descriptor/BSMS terpisah. Geografi berguna bila satu bencana tidak mencapai threshold dan signers sah masih berkoordinasi. Multisig harus mengurangi risiko nyata meski ada costs, fees, privacy, warisan. [BIP 380 — Output Script Descriptors] [BIP 129 — Bitcoin Secure Multisig Setup] [Bitcoin Core — Output Descriptors]
Air gap menghapus koneksi rutin, bukan hostile bytes via QR, NFC, atau microSD. PSBT cacat, parser bug, firmware, atau display menipu melewati batas. Pakai firmware terverifikasi, standar, checks ketat. microSD tidak membersihkan laptop; air-gapped adalah topology, bukan sertifikat. [BIP 174 — Partially Signed Bitcoin Transaction Format] [Bitcoin Core — Offline Signing Tutorial] [COLDCARD — QR Scanner and PSBT Signing]
Masukkan perampokan, penyalinan, paksaan, pengawasan, dan ahli waris. Jangan satukan threshold atau seed+passphrase+instructions. Segel tidak mencegah salinan; duress wallet bukan jaminan. Dokumentasikan peran tanpa secrets, batasi pengetahuan balance/location, bedakan personal custody dari institutional dual control. [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure] [Trezor — Wallet Backups]
Periksa watch-only, media, instructions, dan kompatibilitas tanpa membuka seed. Drill harus memulihkan descriptor, menemukan receive/change UTXO, dan sign. Sebelum ganti firmware/device/policy lakukan spend kecil. Jika curiga, buat policy baru dan sweep setelah tes; simpan lama sampai receive dan spend baru berhasil. [Bitcoin Core — Offline Signing Tutorial] [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure]
Untuk gambaran yang lebih utuh, baca entri ini bersama Hardware Wallet, Kustodi mandiri, Air-gapped Wallet, PSBT, Seed Phrase, BIP 39. Entri ini juga dirujuk dari Hardware Wallet, Watch-only Wallet, PSBT, Kustodi mandiri.