Lencana audit mungkin adalah plasebo termahal di dunia kripto.
Laporan kuartal ketiga yang dirilis perusahaan keamanan blockchain Hacken pekan ini menyajikan angka-angkanya: pada Q3, peretas menggasak 1,18 miliar dolar AS dari proyek kripto dalam 107 insiden, naik 55% dibandingkan kuartal sebelumnya.
Yang paling mencolok bukanlah jumlah totalnya, melainkan komposisinya—sekitar 906,8 juta dolar AS (77%) kerugian terjadi di luar cakupan audit: vendor diretas, alat pengembangan terkontaminasi, patch yang sudah lama dirilis tak kunjung dipasang, dan komponen yang dikecualikan dari audit.
Salah satu pendiri Hacken, Andrii Matiukhin, mengungkap inti masalahnya dalam satu kalimat: “Masalahnya selalu ada pada cakupan.” Audit biasanya hanya memeriksa beberapa smart contract tertentu; dompet, sistem penandatanganan, dan perangkat lunak pihak ketiga tidak termasuk dalam cakupan. Pengguna melihat lencana “telah diaudit” dan mengira seluruh platform sudah diperiksa. Padahal, dana hilang akibat kunci, vendor, dan konfigurasi yang tak pernah diuji.
Beberapa insiden besar pada kuartal ini: sekitar 387 juta dolar AS dicuri dari Bitget pada September (menurut laporan, kerentanan pada produk keamanan pihak ketiga berdampak pada sistem penarikan), sekitar 320 juta dolar AS dari Liquid Network, sekitar 120 juta dolar AS dari Tectonic, dan sekitar 115 juta dolar AS akibat kerentanan firmware Coldcard. Kerentanan smart contract justru menjadi jenis insiden yang paling sering terjadi, tetapi nilai per insidennya paling kecil—71 insiden dengan kerugian sekitar 228 juta dolar AS.
Kabar baiknya, mekanisme pemulihan berfungsi: sekitar 387 juta dolar AS berhasil dipulihkan atau transaksinya dibatalkan (white hat dalam insiden Liquid mengembalikan 272 juta dolar AS, sementara validator Cronos membatalkan transaksi terkait Tectonic), dan operator menanggung sekitar 410 juta dolar AS. Pada akhirnya, sekitar 384 juta dolar AS tak berhasil dipulihkan—hanya sedikit lebih dari sepertiga total kerugian.
Menurut saya, audit bukannya tak berguna; audit melindungi “logika kode”. Namun, peretas kini menyerang “manusia, rantai pasokan, dan kunci”. Hanya ada satu patokan yang bisa digunakan investor ritel: berhenti menganggap “telah diaudit” sebagai jaminan bebas risiko, dan lebih cermat melihat apakah tim rutin memasang patch serta menerapkan langkah operasional seperti program bug bounty, multisig, dan kunci perangkat keras.
Lain kali Anda melihat spanduk besar bertuliskan “telah diaudit”, ingatlah untuk bertanya: bagian mana tepatnya yang diaudit?
Apakah Anda akan membaca laporan audit proyek, atau hanya melihat tingkat imbal hasilnya?
#黑客 #安全审计 #Keamanan
Informasi di atas bukan merupakan saran investasi. DYOR (lakukan riset sendiri); perdagangan memiliki risiko.
Laporan kuartal ketiga yang dirilis perusahaan keamanan blockchain Hacken pekan ini menyajikan angka-angkanya: pada Q3, peretas menggasak 1,18 miliar dolar AS dari proyek kripto dalam 107 insiden, naik 55% dibandingkan kuartal sebelumnya.
Yang paling mencolok bukanlah jumlah totalnya, melainkan komposisinya—sekitar 906,8 juta dolar AS (77%) kerugian terjadi di luar cakupan audit: vendor diretas, alat pengembangan terkontaminasi, patch yang sudah lama dirilis tak kunjung dipasang, dan komponen yang dikecualikan dari audit.
Salah satu pendiri Hacken, Andrii Matiukhin, mengungkap inti masalahnya dalam satu kalimat: “Masalahnya selalu ada pada cakupan.” Audit biasanya hanya memeriksa beberapa smart contract tertentu; dompet, sistem penandatanganan, dan perangkat lunak pihak ketiga tidak termasuk dalam cakupan. Pengguna melihat lencana “telah diaudit” dan mengira seluruh platform sudah diperiksa. Padahal, dana hilang akibat kunci, vendor, dan konfigurasi yang tak pernah diuji.
Beberapa insiden besar pada kuartal ini: sekitar 387 juta dolar AS dicuri dari Bitget pada September (menurut laporan, kerentanan pada produk keamanan pihak ketiga berdampak pada sistem penarikan), sekitar 320 juta dolar AS dari Liquid Network, sekitar 120 juta dolar AS dari Tectonic, dan sekitar 115 juta dolar AS akibat kerentanan firmware Coldcard. Kerentanan smart contract justru menjadi jenis insiden yang paling sering terjadi, tetapi nilai per insidennya paling kecil—71 insiden dengan kerugian sekitar 228 juta dolar AS.
Kabar baiknya, mekanisme pemulihan berfungsi: sekitar 387 juta dolar AS berhasil dipulihkan atau transaksinya dibatalkan (white hat dalam insiden Liquid mengembalikan 272 juta dolar AS, sementara validator Cronos membatalkan transaksi terkait Tectonic), dan operator menanggung sekitar 410 juta dolar AS. Pada akhirnya, sekitar 384 juta dolar AS tak berhasil dipulihkan—hanya sedikit lebih dari sepertiga total kerugian.
Menurut saya, audit bukannya tak berguna; audit melindungi “logika kode”. Namun, peretas kini menyerang “manusia, rantai pasokan, dan kunci”. Hanya ada satu patokan yang bisa digunakan investor ritel: berhenti menganggap “telah diaudit” sebagai jaminan bebas risiko, dan lebih cermat melihat apakah tim rutin memasang patch serta menerapkan langkah operasional seperti program bug bounty, multisig, dan kunci perangkat keras.
Lain kali Anda melihat spanduk besar bertuliskan “telah diaudit”, ingatlah untuk bertanya: bagian mana tepatnya yang diaudit?
Apakah Anda akan membaca laporan audit proyek, atau hanya melihat tingkat imbal hasilnya?
#黑客 #安全审计 #Keamanan
Informasi di atas bukan merupakan saran investasi. DYOR (lakukan riset sendiri); perdagangan memiliki risiko.