Pakar CertiK: Penggodam kini mendahului dalam persaingan senjata

​Industri kripto terus kehilangan berbilion-bilion dolar akibat serangan penggodam. Walau bagaimanapun, sesetengah ancaman terbesar bukan berpunca daripada kelemahan dalam teknologi blockchain itu sendiri, tetapi daripada kelemahan dalam sistem dan kalangan manusia yang mengelilinginya. Dalam temu bual dengan Traders Union, Penyiasat Kanan Blockchain CertiK, Natalie Newson, menjelaskan sebab penggodam terus mendahului golongan profesional keselamatan, sejauh mana dompet kripto benar-benar selamat dan perkara yang boleh dilakukan oleh pengguna untuk melindungi dana mereka.

Penggodam mengubah taktik mereka

Pada separuh pertama 2026, industri kripto kehilangan kira-kira $1.31 bilion dalam 344 insiden keselamatan, menurut laporan Hack3D CertiK. Pada pandangan pertama, keadaan ini kelihatan bertambah baik berbanding tahun lalu, tetapi Natalie Newson percaya angka ini memberikan gambaran yang mengelirukan.

Penambahbaikan yang dilihat ini sebahagian besarnya mencerminkan penggodaman Bybit bernilai $1.45 bilion pada separuh pertama 2025. Jika insiden tunggal itu diketepikan, kerugian industri sebenarnya meningkat kira-kira 28% tahun ke tahun.

“Jadi, persekitaran asas tidak bertambah baik, malah dalam sesetengah aspek keadaan menjadi lebih buruk. Sebahagian besar kerosakan itu bukan disebabkan pemecahan kod yang hebat, sebaliknya oleh dompet yang telah terjejas dan individu yang diperdaya melalui kejuruteraan sosial.”

Kelemahan kod kekal sebagai punca utama serangan berdasarkan bilangan insiden. Dalam enam bulan pertama 2026, CertiK merekodkan 204 insiden sedemikian, yang mengakibatkan kerugian kira-kira $152 juta. Walau bagaimanapun, pencerobohan dompet terbukti paling merosakkan, dengan hanya 33 insiden menyebabkan kerugian melebihi $444 juta.

Serangan phishing menyumbang sebanyak $366 juta lagi dalam kerugian. Walaupun bilangan insiden phishing menurun lebih separuh berbanding tahun sebelumnya, kerugian kewangan hanya berkurangan sebanyak 11%.

“Penyerang beralih daripada kempen besar-besaran kepada beberapa serangan kejuruteraan sosial yang sangat disasarkan, dan hanya empat insiden menyumbang kira-kira 85% daripada semua kerugian phishing.”

Kelemahan terbesar terletak di luar blockchain

Penggodam cenderung menyasarkan ekosistem yang menghimpunkan modal dalam jumlah besar. Pada separuh pertama 2026, Ethereum merekodkan bilangan insiden tertinggi, dengan 153 serangan yang mengakibatkan kerugian kira-kira $523 juta. Solana mengalami jauh lebih sedikit serangan, tetapi kerugian masih mencecah $315 juta.

Sebahagian besar kerosakan berpunca daripada hanya dua penggodaman. Pada April, penyerang mencuri $291 juta daripada Kelp DAO dan $285 juta daripada Drift Protocol. Secara keseluruhan, insiden ini menyumbang hampir 44% daripada jumlah kerugian industri kripto sepanjang tempoh enam bulan tersebut.

“Kelemahan terbesar sebenarnya bukan pada blockchain itu sendiri. Ia terletak pada lapisan luar rantaian yang menjadi sandaran segala-galanya: pengurusan kunci, aliran kerja penandatanganan, antara muka hadapan dan infrastruktur seperti penyedia RPC.”

Kelemahan luar rantaian ini membantu menjelaskan mengapa projek yang telah menjalani audit keselamatan bebas masih boleh menjadi mangsa penggodam.

“Audit ialah gambaran kod tertentu pada waktu tertentu, bukannya pengesahan kelulusan yang kekal.”

Newson turut menyatakan kecenderungan penyerang yang semakin meningkat untuk menyasarkan kontrak pintar lama yang telah beroperasi selama lebih setahun. Kerentanannya mungkin tidak disedari semasa semakan terdahulu. Oleh itu, CertiK mengesyorkan agar audit dilengkapi dengan pemantauan berterusan, program bug bounty dan semakan keselamatan tambahan selepas perubahan kod dibuat.

AI memberikan kelebihan sementara kepada penggodam

Kecerdasan buatan mengubah persaingan antara penjenayah siber dengan syarikat yang melindungi industri kripto. Penggodam kini boleh mencipta deepfake yang meyakinkan, menjana mesej phishing dalam pelbagai bahasa dan mengautomatikkan operasi penipuan.

AI turut membantu penyerang mengenal pasti kelemahan kod dengan lebih pantas, sekali gus mengurangkan kepakaran teknikal yang diperlukan untuk melancarkan serangan canggih. Sementara itu, syarikat keselamatan siber menggunakan teknologi yang sama untuk mengimbas kod secara besar-besaran, mengesan transaksi mencurigakan dan menjejaki skim pengubahan wang kripto yang kompleks.

“Kedua-dua pihak mendapat manfaat, dan buat masa ini ia benar-benar seperti perlumbaan persenjataan.”

Namun, kedua-dua pihak beroperasi di bawah kekangan yang sangat berbeza. Tidak seperti penjenayah, syarikat keselamatan siber mesti mematuhi keperluan kawal selia dan memastikan alatan mereka menghasilkan keputusan yang boleh dipercayai.

“Dalam jangka pendek, saya fikir penyerang mendapat kelebihan kerana mereka menggunakan alatan baharu tanpa sebarang kekangan pematuhan atau ketepatan.”

Keseimbangan ini boleh berubah dalam jangka panjang. Newson percaya golongan profesional keselamatan akhirnya boleh memperoleh kelebihan berkat akses kepada data dalam jumlah besar dan keupayaan untuk memperluas pertahanan mereka. Walau bagaimanapun, hal ini memerlukan industri kripto melabur dengan lebih aktif dalam teknologi tersebut.

Penggodam beralih daripada serangan digital kepada keganasan fizikal

Penjenayah semakin menyasarkan pemegang mata wang kripto secara langsung, menggunakan keganasan fizikal dan ugutan untuk mendapatkan akses kepada aset mereka. Serangan sedemikian boleh melibatkan penculikan, pencerobohan rumah dan pemerasan.

Dikenali sebagai serangan wrench, jenayah ini melibatkan paksaan fizikal untuk memaksa mangsa menyerahkan mata wang kripto mereka. Peningkatannya didorong oleh pemindahan mata wang kripto yang serta-merta dan tidak boleh diterbalikkan, kebocoran data peribadi serta aktiviti awam pelabur sendiri.

“Terdapat juga ironi di sini: apabila keselamatan digital bertambah baik, manusia menjadi jalan masuk yang paling mudah.”

Newson menasihatkan pemilik pegangan mata wang kripto yang besar supaya tidak mendedahkan maklumat tentang aset mereka kepada umum dan menggunakan mekanisme keselamatan yang menghalang mana-mana individu daripada memindahkan semua dana secara bersendirian.

Ini termasuk wallet multisig dan transaksi berkunci masa. Langkah sedemikian boleh menyukarkan kecurian walaupun di bawah paksaan fizikal, kerana penjenayah tidak boleh sekadar mendapatkan akses kepada satu wallet atau memaksa pemiliknya memindahkan dana dengan segera.

Adakah cold wallet masih boleh dipercayai?

Ancaman fizikal turut menimbulkan persoalan tentang cara mata wang kripto patut disimpan. Malah peranti yang kekal terputus daripada internet bergantung pada kebolehpercayaan firmware, rantaian bekalan dan tindakan pemiliknya.

Namun, Newson tidak percaya risiko ini menjadikan hardware wallet ketinggalan zaman.

“Cold storage masih merupakan pilihan paling kukuh yang tersedia untuk kebanyakan orang.”

Pakar itu mengesyorkan pembelian peranti terus daripada pengeluar, pengesahan dan kemas kini firmware secara berkala, serta penyimpanan seed phrase dengan selamat.

Bagi pegangan yang besar, beliau turut menasihatkan penggunaan susunan multisig supaya keselamatan aset tidak bergantung pada satu peranti atau pengeluar sahaja. Menyimpan private key di luar talian masih memberikan perlindungan yang ketara daripada serangan dalam talian.

Bolehkah Web3 menjadi selamat sepenuhnya?

Daripada $1.31B yang hilang pada separuh pertama 2026, hanya kira-kira $115M dibekukan atau dipulihkan, menurut CertiK. Baki dana belum dibekukan atau dipulihkan sepanjang tempoh pelaporan.

Kerugian purata bagi setiap insiden adalah kira-kira $3.8M, tetapi median jauh lebih rendah, sekitar $139,000. Ini menunjukkan terdapat banyak serangan berskala lebih kecil yang menjejaskan projek kurang dikenali dan penggunanya.

Newson percaya industri kripto boleh meningkatkan keselamatan dengan ketara, tetapi usaha itu memerlukan pendekatan berbeza terhadap pembangunan produk.

“Tiada siapa memikirkan tentang encryption ketika menggunakan perbankan dalam talian, dan itulah standard yang perlu dicapai oleh Web3.”

Pada pandangan beliau, wallet kripto perlu menerangkan dengan jelas perkara yang ditandatangani pengguna serta memberi amaran sebelum mereka berinteraksi dengan perkhidmatan yang berpotensi berniat jahat. Alat yang lebih baik untuk memulihkan akses dan dana selepas insiden keselamatan juga sama penting.

Pengguna tidak sepatutnya memerlukan pemahaman mendalam tentang teknologi blockchain untuk mengurus aset mereka dengan selamat.

“Risiko tidak akan pernah menjadi sifar, seperti juga dalam kewangan tradisional, tetapi hala tujunya adalah betul.”

Kesimpulannya, pembangunan Web3 pada masa hadapan bukan sahaja bergantung pada penambahbaikan blockchain dan smart contract, tetapi juga pada sejauh mana industri dapat melindungi pengguna biasa daripada kesilapan, penipuan dan bentuk serangan baharu yang muncul.