Pakar CertiK: Hacker untuk sementara memenangkan perlombaan senjata siber

​Industri kripto terus kehilangan miliaran dolar akibat serangan peretas. Namun, beberapa ancaman terbesar bukan berasal dari kerentanan dalam teknologi blockchain itu sendiri, melainkan dari kelemahan pada sistem dan orang-orang di sekitarnya. Dalam wawancara dengan Traders Union, Investigator Senior Blockchain CertiK Natalie Newson menjelaskan mengapa peretas tetap selangkah lebih maju dari para profesional keamanan, seberapa aman wallet kripto sebenarnya, dan apa yang dapat dilakukan pengguna untuk melindungi dana mereka.

Peretas mengubah taktik mereka

Pada paruh pertama 2026, industri kripto kehilangan sekitar $1,31 miliar dalam 344 insiden keamanan, menurut laporan Hack3D CertiK. Sekilas, situasinya tampak membaik dibandingkan tahun lalu, tetapi Natalie Newson meyakini angka-angka ini memberikan gambaran yang menyesatkan.

Perbaikan yang terlihat tersebut terutama mencerminkan peretasan Bybit senilai $1,45 miliar pada paruh pertama 2025. Jika insiden tunggal tersebut dikecualikan, kerugian industri sebenarnya meningkat sekitar 28% secara tahunan.

“Jadi, kondisi yang mendasarinya belum membaik, dan dalam beberapa hal justru memburuk. Sebagian besar kerugian itu bukan disebabkan oleh pembobolan kode yang brilian, melainkan oleh wallet yang telah dikompromikan dan rekayasa sosial terhadap orang-orang.”

Kerentanan kode tetap menjadi penyebab utama serangan berdasarkan jumlah insiden. Dalam enam bulan pertama 2026, CertiK mencatat 204 insiden semacam itu, yang mengakibatkan kerugian sekitar $152 juta. Namun, kompromi wallet terbukti paling merusak, dengan hanya 33 insiden yang menyebabkan kerugian lebih dari $444 juta.

Serangan phishing menyebabkan kerugian sebesar $366 juta lainnya. Meskipun jumlah insiden phishing turun lebih dari setengah dibandingkan tahun sebelumnya, kerugian finansial hanya menurun 11%.

“Peretas beralih dari kampanye massal ke sejumlah kecil serangan rekayasa sosial yang sangat tertarget, dan hanya empat insiden menyumbang sekitar 85% dari seluruh kerugian akibat phishing.”

Kerentanan terbesar berada di luar blockchain

Peretas cenderung menargetkan ekosistem tempat modal dalam jumlah besar terkonsentrasi. Pada paruh pertama 2026, Ethereum mencatat jumlah insiden tertinggi, dengan 153 serangan yang mengakibatkan kerugian sekitar $523 juta. Solana mengalami jauh lebih sedikit serangan, tetapi kerugiannya tetap mencapai $315 juta.

Sebagian besar kerugian tersebut berasal dari dua peretasan. Pada April, penyerang mencuri $291 juta dari Kelp DAO dan $285 juta dari Drift Protocol. Secara gabungan, kedua insiden ini menyumbang hampir 44% dari total kerugian industri kripto selama periode enam bulan tersebut.

“Kelemahan terbesar sebenarnya bukan blockchain itu sendiri. Melainkan lapisan off-chain yang menjadi tumpuan semuanya: manajemen kunci, alur penandatanganan, front end, dan infrastruktur seperti penyedia RPC.”

Kelemahan off-chain ini membantu menjelaskan mengapa proyek yang telah menjalani audit keamanan independen pun masih dapat menjadi korban peretas.

“Audit adalah gambaran kode tertentu pada waktu tertentu, bukan segel persetujuan yang berlaku permanen.”

Newson juga menyoroti kecenderungan yang semakin meningkat di kalangan penyerang untuk menargetkan smart contract lama yang telah beroperasi selama lebih dari satu tahun. Kerentanannya mungkin tidak terdeteksi dalam peninjauan sebelumnya. Karena itu, CertiK merekomendasikan agar audit dilengkapi dengan pemantauan berkelanjutan, program bug bounty, dan tinjauan keamanan tambahan setelah terjadi perubahan kode.

AI memberi keunggulan sementara bagi peretas

Kecerdasan buatan mengubah persaingan antara penjahat siber dan perusahaan yang melindungi industri kripto. Kini, peretas dapat membuat deepfake yang meyakinkan, menghasilkan pesan phishing dalam berbagai bahasa, dan mengotomatiskan operasi penipuan.

AI juga membantu penyerang mengidentifikasi kerentanan kode dengan lebih cepat, sehingga mengurangi keahlian teknis yang diperlukan untuk melancarkan serangan canggih. Sementara itu, perusahaan keamanan siber menggunakan teknologi yang sama untuk memindai kode dalam skala besar, mendeteksi transaksi mencurigakan, dan melacak skema pencucian cryptocurrency yang kompleks.

“Kedua pihak sama-sama memperoleh manfaat, dan saat ini benar-benar terjadi perlombaan senjata.”

Namun, kedua pihak beroperasi di bawah batasan yang sangat berbeda. Tidak seperti penjahat, perusahaan keamanan siber harus mematuhi persyaratan regulasi dan memastikan alat mereka memberikan hasil yang andal.

“Dalam jangka pendek, saya pikir penyerang lebih unggul karena mereka mengadopsi alat baru tanpa batasan kepatuhan atau akurasi.”

Keseimbangan tersebut dapat berubah dalam jangka panjang. Newson meyakini para profesional keamanan pada akhirnya dapat memperoleh keunggulan berkat akses mereka ke data dalam jumlah besar dan kemampuan untuk memperluas pertahanan mereka. Namun, hal ini mengharuskan industri kripto berinvestasi lebih aktif dalam teknologi tersebut.

Peretas beralih dari serangan digital ke kekerasan fisik

Penjahat semakin sering menargetkan pemegang cryptocurrency secara langsung, menggunakan kekerasan fisik dan intimidasi untuk mendapatkan akses ke aset mereka. Serangan semacam ini dapat melibatkan penculikan, penyusupan ke rumah, dan pemerasan. Korbannya termasuk pendiri proyek crypto, eksekutif perusahaan, investor kaya, bahkan anggota keluarga mereka.

Dikenal sebagai wrench attack, kejahatan ini melibatkan paksaan fisik untuk memaksa korban menyerahkan cryptocurrency mereka. Peningkatannya didorong oleh transfer cryptocurrency yang instan dan tidak dapat dibatalkan, kebocoran data pribadi, serta aktivitas publik para investor sendiri.

“Ada ironi di sini: seiring meningkatnya keamanan digital, manusia justru menjadi celah termudah untuk ditembus.”

Newson menyarankan orang-orang yang memiliki kepemilikan cryptocurrency dalam jumlah besar untuk menghindari pengungkapan informasi tentang aset mereka di ruang publik dan menggunakan mekanisme keamanan yang mencegah satu orang mentransfer seluruh dana secara mandiri.

Mekanisme ini mencakup multisignature wallet dan transaksi yang dikunci berdasarkan waktu. Langkah-langkah tersebut dapat mempersulit pencurian bahkan di bawah paksaan fisik, karena penjahat tidak bisa begitu saja mengakses satu wallet atau memaksa pemiliknya mentransfer dana seketika.

Apakah cold wallet masih dapat dipercaya?

Ancaman fisik juga menimbulkan pertanyaan tentang cara menyimpan cryptocurrency. Bahkan perangkat yang tetap terputus dari internet bergantung pada keandalan firmware, rantai pasokan, dan tindakan pemiliknya.

Namun, Newson tidak menganggap risiko-risiko ini membuat hardware wallet menjadi usang.

“Cold storage tetap menjadi opsi terkuat yang tersedia bagi kebanyakan orang.”

Pakar tersebut merekomendasikan pembelian perangkat langsung dari produsennya, melakukan verifikasi dan pembaruan firmware secara berkala, serta menjaga seed phrase tetap aman.

Untuk kepemilikan dalam jumlah besar, ia juga menyarankan penggunaan pengaturan multisignature agar keamanan aset tidak bergantung pada satu perangkat atau produsen. Menyimpan private key secara offline tetap memberikan perlindungan yang signifikan terhadap serangan online.

Apakah Web3 bisa menjadi aman?

Menurut CertiK, dari $1,31 miliar yang hilang pada paruh pertama 2026, hanya sekitar $115 juta yang dibekukan atau dipulihkan. Dana yang tersisa belum dibekukan atau dipulihkan selama periode pelaporan.

Kerugian rata-rata per insiden mencapai sekitar $3,8 juta, tetapi mediannya jauh lebih rendah, yakni sekitar $139.000. Hal ini menunjukkan adanya banyak serangan berskala lebih kecil yang berdampak pada proyek-proyek yang kurang dikenal dan para penggunanya.

Newson meyakini industri crypto dapat meningkatkan keamanan secara signifikan, tetapi hal itu memerlukan pendekatan yang berbeda terhadap pengembangan produk.

“Tidak ada yang memikirkan enkripsi saat menggunakan online banking, dan itulah standar yang harus dicapai Web3.”

Menurutnya, crypto wallet harus menjelaskan dengan jelas apa yang ditandatangani pengguna dan memperingatkan mereka sebelum berinteraksi dengan layanan yang berpotensi berbahaya. Perangkat yang lebih baik untuk memulihkan akses dan dana setelah insiden keamanan juga sama pentingnya.

Pengguna tidak seharusnya perlu memahami teknologi blockchain secara mendalam untuk mengelola aset mereka dengan aman.

“Risiko tidak akan pernah nol, seperti halnya dalam keuangan tradisional, tetapi arahnya sudah benar.”

Pada akhirnya, perkembangan Web3 di masa depan tidak hanya bergantung pada peningkatan blockchain dan smart contract, tetapi juga pada seberapa efektif industri ini dapat melindungi pengguna biasa dari kesalahan, penipuan, dan bentuk serangan yang terus berkembang.