Tahun ini, peretas bukan mencuri uang, melainkan “membongkar rumah”.

Saat semua orang masih terpaku pada grafik harga dan menggambar garis tren, pembongkaran sistematis terhadap fondasi kepercayaan seluruh industri kripto diam-diam telah selesai. Jangan kira ini hanya celah kebetulan pada satu proyek. Jika rangkaian peristiwa tahun ini kita hubungkan, akan terlihat jaring pencekikan yang membuat sesak.

Sisi telanjang CEX: kunci privat tidak hilang, tetapi uangnya lenyap

Drama absurd terbesar tahun ini adalah peretasan bersejarah senilai 6,3 miliar dolar AS terhadap Binance, bursa terpusat. Peretas tidak menyentuh kunci privat; mereka meretas laptop seorang insinyur DevOps, lalu menguras aset terus-menerus seperti vampir melalui mekanisme EIP-7702.

Bitget kehilangan sekitar 388 juta dolar AS akibat peretasan. Peretas menyusup ke sistem backend dan langsung memalsukan instruksi penarikan.

Namun, ini bahkan belum yang paling mengerikan. Yang paling mengerikan adalah Gate.io (Gerbang Wijen).

Pada bulan Juli, aset seorang pengguna senilai 1,7 juta dolar AS dikuras hingga habis. Platform menyatakan pengguna tersebut telah lolos autentikasi multifaktor dan prosesnya berjalan tanpa masalah; tetapi pengguna itu bersikeras tidak menerima kode verifikasi. Kasus senilai 1,7 juta dolar AS ini langsung memicu runtuhnya kepercayaan—dalam sepekan setelah insiden, arus keluar bersih Gate mencapai 200 juta dolar AS.

Paham maksudnya? Di tengah kepanikan sistemik, pengguna selalu lebih cepat menghukum platform daripada platform membuktikan dirinya tidak bersalah. Bahkan tanpa kehilangan kunci privat, satu titik operasi yang belum diperiksa secara menyeluruh saja sudah cukup untuk menghancurkan kepercayaan yang dibangun dengan nilai pasar puluhan miliar.

Dilema AAVE: Tidak diretas, tetapi “ditembus”

Blue chip DeFi merasakan arti “ketika gerbang kota terbakar, ikan di kolam ikut terkena dampaknya” pada musim panas ini.

Kontrak pintar Aave tidak diretas tahun ini, tetapi sebagai pusat pinjaman terbesar, Aave menjadi “mesin ATM” sekaligus “tempat pembuangan sampah” bagi para peretas.

Efek berantai pertama: Setelah peretasan Binance, peretas menyetorkan 60 juta USDT ke Aave, lalu langsung meminjam ETH senilai sekitar 46 juta dolar AS untuk dicairkan. Aave terpaksa membekukan pasar V3/V4 secara darurat dan memangkas batas pinjaman hingga puluhan miliar.

Efek berantai kedua: Setelah KelpDAO diretas pada April dan kehilangan 292 juta dolar AS, utang macet dan dana kotor membanjiri pool stETH Aave. Rasio pemanfaatan dana melonjak melewati 85% hanya dalam beberapa jam, token AAVE anjlok dalam sehari, dan TVL seketika menguap sebesar 8 miliar dolar AS.

Apa kesalahan Aave? Tidak ada. Aave hanya terlalu besar sehingga menjadi “tempat sampah terakhir” bagi risiko seluruh industri. Ketika peretas memasukkan uang hasil kejahatan sebagai jaminan, komposabilitas yang dibanggakan DeFi justru berubah menjadi kelemahan fatal yang bisa ditembus peretas sesuka hati.

Lingkaran mesin penghancur: jembatan lintas rantai dan dompet perangkat keras

Lihat juga apa yang terjadi di blockchain. KelpDAO memalsukan pesan lintas rantai, verifikasi jembatan lintas rantai zkLink gagal, dan sidechain Liquid mencetak koin dari ketiadaan. Jembatan lintas rantai telah menjadi mesin pencetak uang bagi peretas.

Yang lebih mematikan, kerentanan pada generator angka acak dompet Coldcard memungkinkan kunci privat direkonstruksi tanpa menyentuh perangkat, sehingga hampir 114 juta dolar AS dicuri; “serangan kunci inggris” terhadap orang kaya kripto di dunia nyata (menerobos masuk dan menyiksa untuk memaksa mereka mengungkapkan informasi) juga meningkat tajam.

Kamu pikir memindahkan koin ke dompet dingin akan membuatnya aman? Perangkat keras bisa mengalami bug, dan keselamatan dirimu mungkin sedang diincar.

Teror terbesar: aliran dana tingkat negara bertemu

Detektif blockchain ZachXBT mengungkap mata rantai paling mematikan: 6,3 miliar dolar AS yang dicuri dari Binance dan 388 juta dolar AS yang dicuri dari Bitget ternyata mengalir melalui THORChain ke alamat pencucian uang yang sama.

Artinya, ini bukan ulah peretas yang bekerja sendirian, melainkan serangan sistematis yang dirancang untuk melampaui kemampuan lawan oleh kekuatan peretas tingkat negara (TraderTraitor). Mereka menyerang CEX, DeFi, dan jembatan lintas rantai secara bersamaan, sementara pihak bertahan tercerai-berai dan masing-masing membekukan aset sendiri-sendiri.

Pembekuan menghentikan pendarahan, bukan obatnya

Tether membekukan 2 miliar, sementara Binance menutup lubang senilai 6,3 miliar dengan dananya sendiri. Namun, pasar memberikan suaranya dengan menarik diri: 230.000 orang mengalami likuidasi dan Bitcoin jatuh di bawah 77.000.

Ini menyampaikan sinyal yang dingin: akhir dari insiden keamanan kini ditentukan oleh kondisi neraca keuangan. Tanpa uang untuk mengganti kerugian, kepercayaan akan runtuh.

Sebagai penutup, ada satu pertanyaan yang sangat realistis untuk kalian:

Ketika backend CEX bisa dipalsukan, pool DeFi bisa tercemar uang kotor, jembatan lintas rantai bisa dimanipulasi, bahkan generator angka acak dompet dingin bisa gagal……

Dari seluruh aset yang kamu miliki sekarang, berapa banyak yang benar-benar didasarkan pada prinsip “tidak bergantung pada satu titik kepercayaan mana pun”?

Apakah kamu akan terus percaya pada bursa yang “terlalu besar untuk runtuh”, menarik aset ke dompet dingin, atau menyebarkannya ke beberapa jaringan?

Pamerkan strategi antiperetasanmu di kolom komentar, kita lihat siapa yang benar-benar “jago bertahan hidup”.