Dalam satu kuartal, US$1,18 miliar dicuri—tetapi masalah sebenarnya bukan celah kode 🦖
📊 进群看每日策略
Laporan kuartal ketiga yang dirilis perusahaan keamanan blockchain Hacken pada Kamis menunjukkan bahwa dari Juli hingga September, industri kripto mengalami 107 serangan dengan kerugian US$1,18 miliar 💥—naik 55% dibandingkan kuartal kedua. Sebanyak US$906,8 juta terkait dengan vendor, alat pengembangan, patch yang belum dipasang, dan komponen yang dikecualikan dari cakupan audit. Angka itu mencapai 77% dari total kerugian.
Artinya, kebanyakan orang mengira peretas menguras uang lewat kontrak pintar. Kenyataannya, hampir 80% uang hilang lewat bagian-bagian pinggiran yang bahkan belum diuji dengan saksama oleh proyek itu sendiri ⚠️
Masalah utama yang disoroti laporan ini adalah cakupan audit. Salah satu pendiri Hacken, Andrii Matiukhin, mengatakan bahwa memasukkan semua komponen yang berkaitan dengan dana dan aspek ekonomi ke dalam audit terlalu mahal. Akibatnya, tim hanya mengaudit bagian inti. Pengguna melihat lencana audit lalu mengira seluruh sistem sudah diperiksa, padahal pada akhirnya uang hilang karena sebuah kunci privat, vendor, atau konfigurasi yang belum pernah diuji.
Serangan terbesar dalam satu insiden terjadi pada September terhadap sebuah bursa, dengan kerugian setidaknya US$352 juta. Titik masuknya adalah produk keamanan pihak ketiga, bukan kebocoran kunci privat. Selain itu, insiden chip mata-mata yang diungkap Ledger pekan ini menyebabkan kerugian sekitar US$93 juta; Liquid Network kehilangan US$319 juta; perangkat lunak dompet Coldcard sekitar US$114 juta; Tectonic setidaknya US$75 juta; dan tiga jembatan lintas rantai kehilangan total lebih dari US$35 juta dalam waktu enam jam pada Juli.
Ada satu rangkaian angka lain yang lebih patut diperhatikan. Hacken memeriksa 12 platform perdagangan derivatif dan menemukan bahwa aset senilai lebih dari US$700 juta di dua platform terkemuka diamankan dengan skema tanda tangan yang membutuhkan tiga dari empat kunci, atau bergantung pada kunci admin yang tidak diungkapkan oleh pemegangnya. Laporan itu menyebut tidak ditemukan celah yang sedang dieksploitasi, tetapi dengan nilai dana sebesar itu, struktur kunci seperti ini tidak cukup aman.
Menurut saya, label audit kini mulai menjadi semacam plasebo. Label itu hanya membuktikan bahwa kode dalam cakupan tertentu telah diperiksa pada suatu waktu; bukan membuktikan bahwa dompet, sistem tanda tangan, dependensi pihak ketiga, dan status patch semuanya aman. 🔍 Pertanyaan yang seharusnya diajukan adalah: apa saja yang tercakup dalam audit ini? Apakah celah yang ditemukan sebelumnya sudah ditambal? Berapa kunci yang mengendalikan dana, dan siapa pemegangnya?
Bagi pengguna biasa, saat memilih proyek, lebih baik memeriksa halaman cakupan audit dan catatan perbaikannya daripada sekadar melihat apakah proyek itu pernah diaudit. Kedua hal ini jauh lebih sulit dipalsukan daripada sebuah lencana.
Saat memilih proyek, apakah kamu memeriksa laporan auditnya, atau langsung merasa aman begitu melihat kata “audit”?
Klik foto profil untuk menonton siaran langsung
Setiap hari, kami mengajakmu mengikuti isu-isu hangat seputar keamanan kripto. Bukan sekadar melihat berita yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
📊 进群看每日策略
Laporan kuartal ketiga yang dirilis perusahaan keamanan blockchain Hacken pada Kamis menunjukkan bahwa dari Juli hingga September, industri kripto mengalami 107 serangan dengan kerugian US$1,18 miliar 💥—naik 55% dibandingkan kuartal kedua. Sebanyak US$906,8 juta terkait dengan vendor, alat pengembangan, patch yang belum dipasang, dan komponen yang dikecualikan dari cakupan audit. Angka itu mencapai 77% dari total kerugian.
Artinya, kebanyakan orang mengira peretas menguras uang lewat kontrak pintar. Kenyataannya, hampir 80% uang hilang lewat bagian-bagian pinggiran yang bahkan belum diuji dengan saksama oleh proyek itu sendiri ⚠️
Masalah utama yang disoroti laporan ini adalah cakupan audit. Salah satu pendiri Hacken, Andrii Matiukhin, mengatakan bahwa memasukkan semua komponen yang berkaitan dengan dana dan aspek ekonomi ke dalam audit terlalu mahal. Akibatnya, tim hanya mengaudit bagian inti. Pengguna melihat lencana audit lalu mengira seluruh sistem sudah diperiksa, padahal pada akhirnya uang hilang karena sebuah kunci privat, vendor, atau konfigurasi yang belum pernah diuji.
Serangan terbesar dalam satu insiden terjadi pada September terhadap sebuah bursa, dengan kerugian setidaknya US$352 juta. Titik masuknya adalah produk keamanan pihak ketiga, bukan kebocoran kunci privat. Selain itu, insiden chip mata-mata yang diungkap Ledger pekan ini menyebabkan kerugian sekitar US$93 juta; Liquid Network kehilangan US$319 juta; perangkat lunak dompet Coldcard sekitar US$114 juta; Tectonic setidaknya US$75 juta; dan tiga jembatan lintas rantai kehilangan total lebih dari US$35 juta dalam waktu enam jam pada Juli.
Ada satu rangkaian angka lain yang lebih patut diperhatikan. Hacken memeriksa 12 platform perdagangan derivatif dan menemukan bahwa aset senilai lebih dari US$700 juta di dua platform terkemuka diamankan dengan skema tanda tangan yang membutuhkan tiga dari empat kunci, atau bergantung pada kunci admin yang tidak diungkapkan oleh pemegangnya. Laporan itu menyebut tidak ditemukan celah yang sedang dieksploitasi, tetapi dengan nilai dana sebesar itu, struktur kunci seperti ini tidak cukup aman.
Menurut saya, label audit kini mulai menjadi semacam plasebo. Label itu hanya membuktikan bahwa kode dalam cakupan tertentu telah diperiksa pada suatu waktu; bukan membuktikan bahwa dompet, sistem tanda tangan, dependensi pihak ketiga, dan status patch semuanya aman. 🔍 Pertanyaan yang seharusnya diajukan adalah: apa saja yang tercakup dalam audit ini? Apakah celah yang ditemukan sebelumnya sudah ditambal? Berapa kunci yang mengendalikan dana, dan siapa pemegangnya?
Bagi pengguna biasa, saat memilih proyek, lebih baik memeriksa halaman cakupan audit dan catatan perbaikannya daripada sekadar melihat apakah proyek itu pernah diaudit. Kedua hal ini jauh lebih sulit dipalsukan daripada sebuah lencana.
Saat memilih proyek, apakah kamu memeriksa laporan auditnya, atau langsung merasa aman begitu melihat kata “audit”?
Klik foto profil untuk menonton siaran langsung
Setiap hari, kami mengajakmu mengikuti isu-isu hangat seputar keamanan kripto. Bukan sekadar melihat berita yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀