Peretasan mata uang kripto melonjak hingga $1,18 miliar dalam 107 insiden yang tercatat pada kuartal III 2026, menurut perusahaan keamanan Hacken.

Laporan Q3 Hacken menyebut 77% (sekitar $906 juta) kerugian disebabkan oleh pemasok atau perangkat pengembang yang disusupi, perbaikan yang diumumkan ke publik tetapi belum diterapkan, atau komponen lain di luar tinjauan keamanan.

Empat insiden terbesar meliputi peretasan Bitget senilai $387 juta, eksploitasi Liquid Network senilai $320 juta, eksploitasi Tectonic senilai $120 juta, serta kerentanan firmware Coldcard yang dikaitkan dengan perkiraan kerugian sebesar $115 juta.

Kuartal III ini menjadi kuartal paling merugikan akibat peretasan kripto sejak kuartal I 2025, ketika kerugian Bybit sebesar $1,4 miliar akibat Korea Utara mendorong total kerugian menjadi $1,6 miliar.

Total dan komposisi kerugian pada kuartal III. Sumber: Hacken

Sekitar 80% kerugian pada kuartal tersebut terkonsentrasi pada empat insiden terbesar, sementara 98 insiden mencatat kerugian di bawah $10 juta. Kerugian median dari seluruh 107 insiden adalah $670.000.

Meski kompromi pemasok dan kegagalan infrastruktur menjadi penyebab sebagian besar nilai yang dicuri, insiden kontrak pintar paling sering terjadi. Insiden ini menyebabkan kerugian $228 juta dalam 71 kejadian dan menjadi vektor serangan yang paling banyak dieksploitasi.

Sekitar sepertiga kerugian akibat peretasan kripto pada kuartal III dikembalikan atau dipulihkan

Dari $1,18 miliar yang hilang, sekitar $387 juta dikembalikan atau dipulihkan, setara dengan sekitar 33% dari total kerugian bruto.

Setelah peretasan Liquid Network, pihak yang menyebut diri mereka “white hat” mengembalikan $272 juta, sekitar 85% dari nilai yang dicuri.

Dalam insiden Tectonic, validator Cronos memutar balik 114 menit riwayat blockchain yang telah dikonfirmasi, sehingga membatalkan sekitar $111,2 juta dari pinjaman terdampak senilai $120,4 juta. Selain itu, penerbit stablecoin Circle dan Tether membekukan sekitar $340.000 yang terkait dengan pencurian Bitget.

Operator menanggung tambahan kerugian pengguna sebesar $410 juta dari dana mereka sendiri. Dana perlindungan pengguna Bitget menanggung $387 juta, sementara Triple-A, Coinsbuy, dan TAC membayar kembali sekitar $22 juta untuk mengganti kerugian pengguna, sedangkan aset yang dicuri tetap dikuasai para penyerang.

Sekitar $384 juta, atau 32% dari total kerugian bruto, tidak dikembalikan maupun ditanggung.

Jumlah kerugian yang ditanggung operator dibandingkan dengan jumlah yang dikembalikan atau dipulihkan. Sumber: Hacken

Hacken mendesak para pelaku industri untuk memperkuat keamanan siber pemasok pihak ketiga, perangkat pengembang, dan infrastruktur eksternal lainnya yang mungkin tidak tercakup dalam audit keamanan.

Perusahaan itu juga merekomendasikan agar protokol memperluas cakupan audit keamanan hingga mencakup oracle, jembatan, sistem kustodian, otoritas penandatanganan, dan komponen lain dengan hak akses istimewa.

Majalah: Di balik ‘penggerebekan polisi palsu’ yang memaksa transfer Bitcoin senilai $1 juta