Kerugian Keamanan Cryptocurrency di Paruh Pertama 2026
Kerugian keamanan cryptocurrency mencapai $1,1 miliar dari 212 insiden yang terverifikasi selama paruh pertama tahun 2026, menurut laporan H1 yang diterbitkan oleh Blockaid pada 28 Juli. Blockaid mencatat bahwa jumlah insiden selama enam bulan ini merupakan rekor dan menyatakan bahwa mereka telah memverifikasi lebih banyak eksploitasi selama H1 dibandingkan dengan seluruh tahun 2025.
Analisis Insiden dan Kerugian
Serangan keamanan operasional menyumbang 74% dari total nilai yang dicuri, dengan satu kelompok yang terkait dengan Republik Rakyat Demokratik Korea berkontribusi sebesar 55%. Blockaid juga mengungkapkan bahwa jumlah insiden ini adalah 3,4 kali lipat dari total tahun 2025, meskipun perusahaan keamanan ini menggunakan definisi dan metode cakupan yang berbeda dalam menyusun estimasi kerugian industri.
Kerugian sebesar $1,1 miliar berasal dari 212 eksploitasi on-chain di H1 2026, lebih banyak dibandingkan dengan total kerugian sepanjang tahun 2025. Data Blockaid mengungkapkan bahwa kerugian tersebut berasal dari pergeseran serangan yang tidak hanya bergantung pada kode smart contract yang cacat. Perangkat yang terkompromi, kredensial istimewa, kunci pribadi, sistem penandatanganan, dan infrastruktur off-chain menjadi penyebab utama kerugian yang terukur.
Pola Serangan dan Kerentanan
Serangan ini dapat menghasilkan transaksi blockchain yang tampak valid karena kredensial yang berwenang menyetujuinya. Pola ini menunjukkan bahwa perlindungan yang ditawarkan oleh audit kode saja tidak cukup. Audit dapat mengidentifikasi cacat kontrak, tetapi tidak dapat mencegah administrator yang terkompromi dari menandatangani transaksi jahat atau mencegah verifier jembatan dari bergantung pada infrastruktur yang terinfeksi.
Kerugian Berdasarkan Jaringan
Blockaid menyatakan bahwa vektor serangan baru muncul selama H1 dan memperingatkan bahwa beberapa di antaranya dapat berkembang selama paruh kedua tahun ini. Proyek terkait Ethereum mengalami kerugian sekitar $332 juta, dengan kerentanan kode menjadi penyebab utama. Kasus terbesar yang terkait dengan Ethereum adalah KelpDAO, di mana penyerang berhasil mencuri 116.500 rsETH senilai sekitar $292 juta dari kontrak jembatan setelah memalsukan pesan rantai sumber.
Sementara itu, proyek terkait Solana mengalami kerugian sekitar $326 juta, di mana lebih dari 98% berasal dari kunci yang terkompromi dan infrastruktur penandatanganan, bukan dari bug smart contract. Drift Protocol dan Step Finance menyumbang sebagian besar kerugian tersebut, sementara insiden terkait kode yang lebih kecil mempengaruhi proyek seperti Raydium dan Volo.
Perbandingan Keamanan Antar Jaringan
Perbandingan antar jaringan tidak menunjukkan bahwa satu blockchain lebih aman secara inheren. Sebaliknya, hal ini mencerminkan aplikasi mana yang diserang dan bagaimana tim mereka mengelola akses istimewa. Sebuah insiden besar tunggal juga dapat mendominasi total kerugian jaringan selama enam bulan. Chainalysis mengaitkan serangan KelpDAO pada 18 April dengan Grup Lazarus dari Korea Utara.
Penyelidikannya menemukan bahwa penyerang mengkompromikan node RPC internal dan mengganggu node eksternal, menyebabkan sistem verifier tunggal menerima peristiwa pembakaran palsu. Jembatan sisi Ethereum kemudian melepaskan rsETH meskipun tidak ada token yang sesuai telah dihancurkan di rantai sumber.
Upaya Pemulihan dan Rencana Masa Depan
Seperti yang dilaporkan oleh crypto.news, KelpDAO menyelesaikan fase operasional rencana pemulihannya pada 25 Mei setelah mentransfer tranche terakhir 20.373,72 rsETH ke dalam adaptor jembatannya. Pencetakan, penukaran, dan hadiah dilanjutkan, meskipun litigasi dan klaim yang diperdebatkan terkait dana yang dibekukan tetap belum terselesaikan.
Drift mengalami serangan akses istimewa terpisah pada 1 April. Chainalysis melaporkan bahwa penyerang menggunakan rekayasa sosial dan transaksi nonce tahan lama yang telah ditandatangani sebelumnya untuk mendapatkan kontrol administratif. Pembaruan pemulihan Drift pada 16 April menilai aset yang dicuri sebesar $295,7 juta, lebih tinggi dari perkiraan awal sekitar $285 juta yang digunakan oleh Blockaid dan beberapa penyelidik.
Dalam liputan terkait, crypto.news melaporkan bahwa Step Finance ditutup setelah penyerang mengkompromikan perangkat eksekutif dan menguras hingga $40 juta dari aset yang dikelola oleh perbendaharaan. Perusahaan tersebut berhasil memulihkan sekitar $4,7 juta tetapi menyatakan bahwa pembicaraan pendanaan dan akuisisi tidak menghasilkan jalur yang berkelanjutan ke depan.
Drift mengusulkan kolam pemulihan yang didukung oleh pendapatan pertukaran, Tether, dan mitra lainnya. Rencananya mencakup hingga $127,5 juta dukungan yang diusulkan dari Tether, $20 juta dari mitra lain, dan token pemulihan yang dapat dipindahkan terpisah. Protokol tersebut menyatakan bahwa pemulihannya akan memerlukan audit oleh OtterSec dan Asymmetric, perangkat penandatanganan yang didedikasikan, penguncian waktu, dan multisig yang dirancang ulang.
Pencurian tetap menjadi kasus on-chain yang aktif. Seperti yang dilaporkan sebelumnya, dompet yang terkait dengan penyerang Drift memindahkan 23.095,1 Ether, senilai sekitar $44,4 juta, ke Tornado Cash antara 23 Juli dan 24 Juli setelah sekitar tiga bulan tidak aktif.
Blockaid mengharapkan tim untuk lebih fokus pada pemeriksaan niat transaksi, perangkat penandatanganan terisolasi, segregasi kunci, dan pemantauan di seluruh jembatan dan infrastruktur. Langkah-langkah tersebut adalah rekomendasi perusahaan, bukan jaminan. Pembaruan terverifikasi berikutnya akan datang dari syarat token pemulihan Drift dan jadwal peluncurannya kembali, proses klaim yang tersisa dari Step Finance, proses pengadilan yang terkait dengan dana KelpDAO yang dibekukan, dan setiap penyitaan aset yang diumumkan oleh lembaga penegak hukum.
