April 2026—Bulan yang mencetak rekor! Kerugian ekonomi akibat insiden keamanan utama Web3 mencapai 629 juta dolar, meningkat sekitar 231% dibandingkan bulan lalu (Maret 186 juta dolar). Angka ini juga mencetak rekor tertinggi bulanan setelah insiden Bybit pada Februari 2025 (sekitar 1,5 miliar dolar). Ini menunjukkan bahwa serangan celah kontrak pintar yang didorong oleh AI dan serangan gabungan antar rantai/rekayasa sosial sedang mempercepat besarnya kerugian (sumber data: laporan bulanan resmi GoPlus dan RektDatabase).

Tipe kejadian keamanan terutama disebabkan oleh celah kontrak pintar, serangan jembatan antar rantai, kerentanan sistem, kebocoran kunci pribadi/akses admin, serta serangan rekayasa sosial. Sementara itu, dengan penerapan mendalam dari model AI besar dan agen, kemampuan hacker untuk "menambang" celah sejarah menggunakan AI telah meningkat secara signifikan, dan serangan di blockchain telah memasuki era "hitungan mundur". Di bidang keamanan AI, kejadian berisiko tinggi juga muncul, terfokus pada serangan rantai pasokan, pencurian kredensial, dan kontrol lingkungan produksi Agen yang tidak terkendali.

I. Keamanan Web3

Serangan kontrak, celah sistem, dll.

Kerugian akibat Eksploitasi April (termasuk celah smart contract, serangan jembatan lintas rantai, celah sistem, kebocoran kunci privat/izin admin, penipuan rekayasa sosial, dan lain-lain) sangat parah; beberapa peristiwa besar yang saling tumpang tindih menyebabkan kerugian besar sekitar 617 juta dolar AS. Peristiwa tipikal mencakup:

  • 18 April, @KelpDAO diekstrak secara jahat dalam jumlah besar rsETH melalui jembatan lintas rantai LayerZero. Setelah itu, dilakukan operasi leverage (pengungkit) di protokol pinjaman seperti Aave dan Compound sehingga muncul kredit macet (bad debt), dengan kerugian 292 juta dolar AS. Aliran dana penyerang terkait dengan TornadoCash, menunjukkan tindakan pelaku yang profesional.

  • 2 April, salah satu DEX terbesar di Solana, @DriftProtocol, diserang melalui rekayasa sosial dan kelemahan pada konfigurasi multi-tanda tangan (multisig). Dalam hitungan menit, penyerang berhasil mencuri hak admin, lalu menarik sekitar 280 juta dolar AS dana dalam waktu 10 detik berikutnya.

  • 16 April, bursa Grinex yang diduga terkait Russia mengalami pencurian hot wallet; operasional dihentikan, dengan kerugian sekitar 13,7 juta dolar AS.

  • 17 April, kontrak milik @rhea_finance di NEAR diserang; kerugian lebih dari 7,6 juta dolar AS.

  • 22 April, kontrak vault @volo_sui diserang; kerugian sekitar 3,5 juta dolar AS aset (WBTC, XAUm, USDC).

  • 25 April, @purrlend diserang di MegaETH dan HyperEVM; total kerugian sekitar 1,5 juta dolar AS.

  • 29 April, terjadi 4 peristiwa serangan smart contract beruntun dalam 48 jam di jaringan Ethereum; AI menggali kerentanan warisan “dalam hitungan detik”, dengan total kerugian sekitar 1,5 juta dolar AS.

  • 15 April, @CoWSwap mengalami pembajakan DNS; kerugian sekitar 1,2 juta dolar AS.

  • 29 April, kontrak derivatif perpetual di Sui milik @AftermathFi diserang, dengan kerugian sekitar 1,1 juta dolar AS.

Selain itu, ada juga beberapa peristiwa serangan kontrak lintas rantai berkelanjutan seperti ZetaChain (~330K), integer overflow pada ThetanutsFi (~50K), kekurangan kontrol akses pada SubQuery (~130K), AethirCloud (~400K), dan lain-lain—berbagai kasus celah kontrak berukuran menengah dan kecil.

Saran keamanan:

Pihak proyek harus melakukan audit berkelanjutan terhadap smart contract, konfigurasi sistem, hak akses tim, dan proses pengembangan. Lakukan audit rutin terhadap hak akses personel kunci, terapkan isolasi fungsi perangkat + prinsip zero trust + pembaruan berkala. Sangat disarankan menggunakan platform GoPlus DeepScan untuk pemindaian kerentanan berkelanjutan yang digerakkan AI, agar mencegah peretas mengeksploitasi otomatis kerentanan warisan (legacy) yang ditemukan oleh otomasi AI dan menjalankan serangan dalam skala “hitungan detik”.

Phishing dan penipuan

Serangan phishing dan penipuan pada bulan April masih menyebabkan kerugian yang signifikan; peristiwa tipikal meliputi:

  • Insiden aplikasi palsu (imposter) Ledger (selama 7–13 April): lebih dari 50 korban kehilangan total sekitar 9,5 juta dolar AS (mencakup aset lintas-chain seperti Bitcoin, EVM, Tron, Solana, Ripple, dan lain-lain).

  • Seorang pengguna mengalami kerugian sekitar 221K dolar AS WBTC karena menandatangani signature increaseApproval yang berbahaya.

  • Insiden peracunan alamat (address poisoning): korban mengirim dana ke alamat yang mirip hasil pemalsuan dalam riwayat transaksi; kerugian sekitar 386K dolar AS USDT.

Saran keamanan:

Sarankan pengguna memasang plugin keamanan GoPlus, untuk secara real-time memblokir tautan phishing, mengenali tanda tangan (signature) berisiko, serta memantau otorisasi dan perilaku transaksi yang berbahaya. Selain itu, biasakan prinsip zero trust: ingat prinsip “4 tidak” anti-phishing dari GoPlus—tidak mengklik, tidak memasang, tidak menandatangani, tidak memindahkan.

II. Insiden Keamanan AI dan tren

Pada April, keamanan siber di bidang AI terus berada pada tingkat risiko tinggi. Penyerang makin merambah infrastruktur AI, sistem kredensial, dan lingkungan produksi Agent; serangan supply chain dan lepas kendali Agent menjadi fokus baru.

1. Serangan supply chain dan pembajakan kredensial

  • Serangan supply chain AI pada karyawan Vercel (20 April): penyerang terlebih dahulu membobol tool AI pihak ketiga Context[.]ai, lalu melakukan pembajakan melalui kredensial Google Workspace OAuth yang pernah diotorisasi oleh karyawan Vercel. Mereka berhasil melewati SSO dan MFA perusahaan, mengambil alih akun, dan melakukan pergerakan lateral di lingkungan produksi Vercel, sambil mencuri data inti secara massal. Insiden ini menyoroti pentingnya risiko supply chain tool AI pihak ketiga dan manajemen variabel lingkungan.

2. Akses tidak sah ke model AI yang dibatasi

  • Insiden kebocoran model Anthropic Mythos (21 April): model keamanan siber tingkat teratas Mythos yang oleh Anthropic dianggap “terlalu berbahaya untuk dirilis,” dimanfaatkan oleh sekelompok kecil pengguna di Discord dengan memanfaatkan aturan penamaan yang bocor dari Mercor, menebak alamat endpoint, serta kredensial yang sah milik vendor pihak ketiga. Mereka diam-diam mengakses selama hingga dua minggu. Insiden ini terkait dengan kebocoran kode sumber Claude Code bulan lalu, kembali menyingkap risiko pada kontrol akses model AI dan manajemen kredensial rantai pasokan (supply chain).

3. Agent lepas kendali dan halusinasi

  • 27 April, insiden penghapusan tidak sengaja database produksi oleh Cursor + Claude Agent: sebuah tim startup penyewaan rumah memberikan izin admin lengkap database produksi kepada Cursor + Claude Agent. Saat AI menjalankan tugasnya, ia langsung menghapus database lingkungan produksi, sehingga seluruh bisnis perusahaan berhenti total.

Pelajaran inti (sangat disarankan agar semua pengembang AI memasukkannya sebagai “aturan besi” rekayasa):

  • Jangan pernah memberi hak admin pada lingkungan produksi Agent; izinnya harus jauh lebih ketat daripada izin karyawan manusia mana pun (prinsip least privilege).

  • Semua operasi yang merusak (menghapus database, mengubah tabel, dll.) harus memiliki mekanisme manajemen dan persetujuan yang ketat.

  • Snapshot ≠ cadangan. Cadangan yang benar harus berada di lokasi berbeda, offline, dan tidak dapat diubah (immutable), serta diuji pemulihannya secara berkala.

  • Agar dapat mengendalikan Agent, Anda harus melengkapinya dengan alat keamanan yang sesuai untuk mencegah Agent menimbulkan risiko akibat serangan peretas atau lepas kendali.

Saran keamanan:

Dalam pengembangan Agent dan aplikasi AI tingkat perusahaan, lakukan tinjauan ketat terhadap toolchain pihak ketiga dan paket dependensi, wajibkan penandaan variabel lingkungan Sensitive, serta lakukan rotasi cepat terhadap kredensial berhak tinggi. Disarankan untuk mengintegrasikan alat keamanan native AI seperti AgentGuard Skill, guna mewujudkan pemeriksaan keamanan, kontrol risiko dinamis, isolasi hak akses, dan mekanisme Human-in-the-loop, sehingga membangun perlindungan end-to-end (full chain).

III. Ringkasan dan prospek

Insiden pada April seperti penghapusan database oleh KelpDAO, DriftProtocol, serta Cursor + Claude menunjukkan bahwa seiring ledakan penerapan teknologi model AI skala besar dan agen (Agent), batas keamanan Web3 juga sedang dibentuk ulang secara menyeluruh. Dari perlawanan terhadap celah satu kontrak saja, berkembang menjadi serangan-perlawanan end-to-end yang kompleks—mencakup rekayasa sosial, penyuapan supply chain, penggalian celah oleh AI yang otomatis, serta lepas kendali lingkungan produksi Agent.

Tiga sakit hati inti dan saran keamanan:

  • Sakit hati pertama: infiltrasi sosial + kepercayaan antarindividu masih menjadi kelemahan paling besar. Serangan multisig/rekayasa sosial seperti DriftProtocol menunjukkan bahwa teknik seperti cold wallet dan multisig tidak dapat sepenuhnya melindungi dari investasi kepercayaan jangka panjang. Saran: jalankan sepenuhnya arsitektur zero trust (Zero Trust) + verifikasi silang multi-pihak yang wajib.

  • Sakit hati kedua: lingkungan keamanan sangat dinamis; pertahanan statis sudah tidak mempan. AI membuat kerentanan warisan digali “dalam hitungan detik”, dan audit tunggal tradisional tidak mampu mengatasi. Saran: pihak proyek membangun sistem audit berkelanjutan 24/7, memasukkan platform keamanan berbasis AI seperti GoPlus DeepScan ke dalam pipeline CI/CD untuk pemantauan dinamis 24/7.

  • Sakit hati ketiga: batas kontrol keamanan untuk AI supply chain dan akses model makin kabur. Serangan supply chain Vercel, akses tidak sah terhadap Anthropic Mythos, serta insiden penghapusan database pada lingkungan produksi Agent menunjukkan bahwa injeksi prompt, kebocoran kredensial, dan penyuapan (tool poisoning) pihak ketiga sedang bergeser dari lapisan aplikasi menuju infrastruktur. Saran: gunakan alat keamanan seperti AgentGuard untuk pemindaian berkelanjutan dan pemantauan saat runtime pada toolchain Agent; di lingkungan produksi, lakukan isolasi ketat terhadap plugin dan dependensi yang belum dikenal.

Di era ketika Web3 dan AI terintegrasi secara mendalam, setiap kepercayaan buta terhadap catatan keamanan masa lalu dapat memicu konsekuensi yang menghancurkan. Hanya dengan terus menjaga sikap hormat, meningkatkan pemahaman keamanan dan cara penggunaan alat secara berkelanjutan (GoPlus DeepScan + AgentGuard), para pembangun dapat menghadapi ancaman yang belum diketahui dengan satu-satunya sikap yang benar.