Medan Pertarungan Keamanan Kripto Telah Berubah: Dari Ekonomi Kerentanan ke Ekonomi Otoritas

Selama sepuluh tahun terakhir, industri keamanan Web3 telah fokus pada memperbaiki kontrak pintar, memperbaiki kerentanan, dan melakukan audit. Sekarang, para penyerang mulai melewati kode dan langsung menyerang "rantai kepercayaan" itu sendiri.

Oleh: Fu Gui

Pada 24 September 2026, dompet panas dan dompet dingin Bitget kehilangan sekitar 387,5 juta dolar AS, hanya beberapa hari yang lalu. Penyerang masuk ke sistem backend, menyisipkan data transaksi palsu, dan memicu proses persetujuan bursa itu sendiri. CEO kemudian mengatakan dalam pengumuman: "Sistem kami sendiri yang menyetujui transfer tersebut." Kunci pribadi tidak bocor, dan dompet dingin juga tidak terpengaruh.

Lima bulan sebelumnya, pada 18 April 2026, KelpDAO mencetak sekitar 290 juta dolar AS rsETH secara tidak sah karena data dari satu node RPC telah diubah. Tidak ada satu baris kontrak yang salah. Penyerang mendapatkan daftar RPC yang bergantung pada LayerZero DVN, menembus dua cluster independen, dan mengganti op-geth dengan versi jahat. Node jahat hanya mengembalikan data palsu kepada DVN, sementara data yang benar dikembalikan kepada alat pemantauan, dan kemudian menggunakan DDoS untuk memaksa sistem beralih ke node yang terkontaminasi. DVN mengonfirmasi transaksi yang tidak pernah terjadi, dan jembatan mengeluarkan 116.500 rsETH tanpa pembakaran yang nyata.

Dua minggu sebelumnya, pada 1 April 2026, seorang anggota dewan keamanan protokol Drift menandatangani transaksi kosong lebih awal, dan sekitar 285 juta dolar AS hilang dalam dua belas menit. Penyerang berpura-pura menjadi lembaga kuantitatif sejak musim gugur 2025, makan malam dengan kontributor inti di konferensi internasional, dan bahkan menyimpan lebih dari satu juta dolar AS di Ecosystem Vault. Setelah kepercayaan terbangun, mereka membujuk seseorang untuk menandatangani transaksi manajemen yang tampaknya tidak berbahaya—menggunakan nonce tahan lama Solana, menyembunyikan pengalihan kekuasaan di dalamnya. Drift baru saja mengubah multi-tanda tangan menjadi tanpa penundaan, menghapus timelock, dan tidak meninggalkan waktu untuk membatalkan.

Ketiga transaksi ini bersama-sama kurang dari satu miliar dolar AS, semuanya terjadi dalam setahun terakhir. Jika kita mundur lebih dari setahun, pada 21 Februari 2025, dompet dingin Bybit dipindahkan sekitar 1,45 miliar dolar AS, merupakan pencurian terbesar yang diakui secara publik dalam cryptocurrency hingga saat ini. Penyerang tidak meretas kriptografi Ethereum, tidak menemukan bug di kontrak multi-tanda tangan Safe, bahkan tidak langsung menyentuh kunci pribadi. Mereka meretas mesin pengembang Safe{Wallet}, menyuntikkan sepotong JavaScript ke antarmuka tanda tangan. Tiga penandatangan melihat operasi biasa "dompet dingin ke dompet panas", dan menekan konfirmasi.

Keempat transaksi ini bersama-sama mencapai lebih dari dua miliar dolar AS. Dari empat kasus ini, tidak ada satu pun yang menggunakan 0day yang belum ditemukan dalam kontrak. Kode telah diaudit, verifikasi formal telah dilakukan, multi-tanda tangan telah disiapkan, dan dompet dingin juga dipisahkan, tetapi uang tetap hilang.

Beberapa orang mengatakan bahwa keamanan pada tahun 2026 telah membaik. Selama paruh pertama tahun ini, seluruh industri kehilangan antara 956 juta hingga 1,39 miliar dolar AS, setengah dari tahun lalu. Namun, jika kita menghapus anomali 1,45 miliar dolar AS dari tahun 2025, angka yang dihitung oleh CertiK meningkat 28% dibandingkan tahun lalu, dan jumlah kejadian yang dihitung oleh SlowMist meningkat 50%. Median kerugian per kejadian meningkat 60,6%, mencapai 169.000 dolar AS. Angka-angka ini terlihat baik, hanya karena tahun ini tidak ada kasus besar yang tercatat dalam sejarah, bukan karena para pencuri berhenti. Pencuri semakin banyak, terdistribusi, dan setiap pencurian menjadi lebih mahal.

Kita terus mengganti pintu anti-pencurian dengan pelat baja yang lebih tebal, tetapi pencuri sudah memanjat jendela.

Di Luar Tanda Tangan

Kriptografi dapat memastikan bahwa orang lain tidak dapat memalsukan tanda tangan saya, tetapi tidak dapat menjamin mengapa saya menandatangani transaksi ini.

Pada paruh pertama tahun 2026, 33 dompet diretas kehilangan 445 juta dolar AS. 204 kerentanan kode menyebabkan kerugian 152 juta dolar AS. Jumlah orang yang meretas lebih banyak daripada yang meretas kode, ini adalah angka yang jelas. Laporan Q2 Hacken lebih langsung: 88% kerugian berasal dari kerusakan di tingkat operasional, sementara kerentanan kontrak pintar hanya menyumbang 11%. Dari 67 kejadian, 44 di antaranya adalah kerentanan kontrak, tetapi mereka hanya menyebabkan kurang dari sepuluh persen dari uang.

Kasus Drift adalah yang paling khas. Penyerang membangun kepercayaan selama enam bulan, dan akhirnya membujuk anggota dewan keamanan untuk menandatangani transaksi manajemen yang tampaknya tidak bermasalah. Transaksi ini menggunakan mekanisme nonce tahan lama Solana, yang pada dasarnya adalah cek kosong yang telah ditandatangani, yang dapat dicairkan kapan saja. Dalam dua belas menit, 31 penarikan, lebih dari setengah aset terkunci hilang.

Lazarus dari Korea Utara telah mengubah hal ini menjadi jalur produksi. Membuat resume palsu, mendirikan perusahaan palsu, profil LinkedIn semuanya nyata, mengirimkan resume ke perusahaan target, mendapatkan izin SSO dan VPN, bersembunyi selama beberapa bulan, sedikit demi sedikit memindahkan ke mesin tanda tangan. SlowMist menghitung bahwa kelompok Korea Utara mencuri total 2,837 miliar dolar AS dari Januari 2024 hingga September 2025, dan mencuri 2,02 miliar dolar AS hanya pada tahun 2025, yang menyumbang 76% dari kerugian penyedia layanan. Mereka berhasil memulihkan 13,2%. Uang dari Bybit, setelah satu tahun hanya dibekukan 3,54%.

Mereka tidak mencari kerentanan kode, tetapi mencari orang yang dapat menandatangani. Menemukan orang lebih murah daripada menemukan bug.

Batasan Rantai

Blockchain itu sendiri tidak diretas, tetapi hal-hal di sekitar blockchain yang diretas.

Kontrak KelpDAO tidak ada satu baris pun yang salah. Ini adalah kasus pertama dalam sejarah di mana data palsu yang dikembalikan oleh node RPC secara langsung menyebabkan kerugian besar. Ini mengungkapkan sesuatu yang semua orang tahu tetapi tidak ada yang menganggap serius: aplikasi terdesentralisasi yang disebutkan, saat membaca data, pada dasarnya bergantung pada dua atau tiga penyedia cloud dan penyedia layanan RPC. MetaMask secara default menggunakan Infura, backend DApp menggunakan Alchemy dan QuickNode, dan pengurut L2 juga bergantung pada node-node ini, yang sebagian besar berjalan di AWS us-east-1. Sebuah rantai memiliki seribu validator, tetapi pada akhirnya semua orang percaya pada data yang dikembalikan oleh dua atau tiga penyedia cloud, ini disebut apa namanya desentralisasi.

Analisis kuantitatif TRM Labs lebih tajam: insiden infrastruktur dan operasional hanya menyumbang sekitar 15% dari jumlah kejadian, tetapi menyumbang sekitar 76% dari kerugian. Data dari SlowMist untuk paruh pertama tahun ini menunjukkan bahwa serangan rantai pasokan menempati urutan ketiga berdasarkan jumlah kejadian, tetapi menempati urutan pertama berdasarkan jumlah kerugian, sekitar 298 juta dolar AS, dengan kasus KelpDAO menyumbang 290 juta dolar AS.

Hacker tradisional juga mulai memanfaatkan blockchain untuk melakukan hal ini. Dalam laporan Chainalysis bulan September 2026, ini disebut Blockchain Dead Drops, kotak surat mati blockchain. Kode jahat dan instruksi kontrol tidak disimpan di server, tetapi ditulis ke dalam kontrak pintar BSC, ditulis ke dalam transaksi Bitcoin. Memblokir domain dan mencabut server tidak ada gunanya. Data di rantai tidak dapat dihapus, dan komputer yang terinfeksi dapat mengambil instruksi baru selama dapat memeriksa blok. Dalam 12 bulan terakhir, aktivitas semacam ini meningkat 420%, dengan organisasi yang terkait dengan Korea Utara dan Iran menyumbang dua pertiga dari aktivitas baru. Google Threat Intelligence juga mengamati bahwa UNC5342 mulai menggunakan teknik EtherHiding sejak Februari 2025, menargetkan pengembang kripto melalui lowongan palsu, dengan kode yang tersembunyi dalam kontrak pintar TRON, Aptos, dan BNB Chain.

Ketidakubah yang paling menonjol dari blockchain, menjadi server komando yang paling stabil bagi hacker.

Otoritas adalah Permukaan Serangan

Web3 telah berubah dari ekonomi kerentanan menjadi ekonomi otoritas.

Dulu penyerang melakukan tiga hal: mencari bug, memanfaatkan bug, dan memindahkan uang. Sekarang mereka juga melakukan tiga hal: mencari orang yang memiliki hak tanda tangan, membujuknya untuk menandatangani, dan kemudian secara sah memindahkan uang.

Kasus Bybit dan Bitget jika dilihat bersamaan, paling mampu menjelaskan masalah ini. Bybit kehilangan 1,45 miliar dolar AS, penandatangan melihat di layar mereka adalah untuk memindahkan uang ke dompet panas untuk menambah likuiditas, tetapi transaksi yang sebenarnya ditandatangani adalah memindahkan uang kepada hacker. Bitget kehilangan 387,5 juta dolar AS, bahkan tidak perlu mengubah frontend, langsung menyerang sistem backend, menyisipkan data transaksi palsu, dan proses persetujuan bursa sendiri menganggap ini adalah transfer internal yang normal, sistem sendiri menandatangani uang tersebut.

Kedua uang ini hilang secara "legal". Proses multi-tanda tangan telah selesai, tanda tangan itu nyata, pelaksanaan kontrak sepenuhnya sesuai dengan aturan. Masalahnya bukan siapa yang dapat meretas sistem, tetapi siapa yang berhak menyetujui transfer ini. Apa yang ditampilkan di antarmuka tanda tangan dapat diubah, data yang dilihat oleh sistem persetujuan dapat dipalsukan, dan jika ketiga penandatangan melihat RPC yang terkontaminasi yang sama dan menggunakan penyedia cloud yang sama, maka 3-of-5 hanya desentralisasi matematis, tetapi jika terjadi masalah tetap menjadi titik tunggal. Banyak protokol hanya mencapai desentralisasi matematis 3-of-5 di atas kontrak pintar, tetapi di tingkat infrastruktur, seluruh sistem berjalan di penyedia cloud yang sama, bergantung pada RPC yang sama, dan dioperasikan oleh orang yang sama di browser, ini adalah "desentralisasi palsu", dan juga titik tunggal yang paling mematikan.

Kecelakaan besar pada tahun 2026 ini, KelpDAO adalah verifikasi DVN tunggal 1-of-1, Drift adalah multi-tanda tangan 2-of-5 tanpa penundaan ditambah cek kosong, Resolv Labs adalah kunci AWS KMS tunggal, Wasabi adalah satu akun eksternal yang memegang semua hak administrator. Keempat kasus ini tidak memiliki satu pun kerentanan baru, semuanya adalah masalah konfigurasi yang sudah diketahui, semuanya adalah titik tunggal. Data di Dune menunjukkan bahwa 47% aplikasi di ekosistem LayerZero masih menggunakan DVN tunggal 1-of-1, 45% menggunakan dua, hanya 5% menggunakan tiga atau lebih. Semua orang tahu bahaya titik tunggal, tetapi merasa repot, jadi terus dibiarkan. Lima belas bulan sebelum KelpDAO mengalami masalah, seorang pengembang telah memperingatkan mereka di forum tata kelola Aave untuk menambahkan beberapa validator lagi, tetapi tidak ada yang mengubahnya. Sekarang kedua pihak sedang berperkara. Setelah kejadian, LayerZero mengumumkan bahwa mereka tidak akan lagi menandatangani aplikasi dengan konfigurasi 1-of-1.

Transaksi yang paling berbahaya, sering kali terlihat paling sesuai.

Pembalikan Ekonomi Serangan AI

AI tidak membuat serangan menjadi lebih cerdas, tetapi membuat serangan dapat dilakukan secara massal untuk pertama kalinya.

Dulu seorang penipu mengincar satu target, melakukan rekayasa sosial sekali, memerlukan waktu sebulan, biaya tinggi. Jadi phishing biasanya dilakukan dengan menyebar jala lebar, mengirimkan seribu email, dan mendapatkan dua atau tiga transaksi. Sekarang AI dapat secara otomatis membuat identitas palsu, secara otomatis membuat situs web palsu, secara otomatis menulis salinan phishing, secara otomatis memindai kode untuk mencari kerentanan, secara otomatis mencari target, dan secara otomatis mencoba menyerang.

HexagonalRodent yang terkait dengan Korea Utara mencuri 26.584 dompet dari 2.726 komputer pengembang dalam tiga bulan. Backend-nya memiliki tampilan infostealer waktu nyata, kontrol jarak jauh seperti VNC, pengelola file browser, dan papan kinerja dompet yang diatur berdasarkan tim dan anggota. Metode pengiriman adalah dengan mengonfigurasi runOn: "folderOpen" di tasks.json VS Code, sehingga pengembang hanya perlu membuka folder proyek untuk mengeksekusi, tanpa perlu mengklik apa pun. Menggunakan ChatGPT dan Cursor untuk menulis kode jahat, menggunakan AI untuk menghasilkan informasi palsu tentang perusahaan dan eksekutif palsu, bahkan menggunakan AI untuk memeriksa terlebih dahulu apakah pintu belakang dapat melewati perangkat lunak antivirus. Indeks kejahatan AI yang dihitung oleh TRM Labs meningkat dari 28 pada tahun 2024 menjadi 54, hampir dua kali lipat. Hingga sekarang di tahun 2026, kerugian akibat penipuan pemalsuan mendalam telah mencapai 263% dari total kerugian sepanjang tahun 2025.

Anthropic dan peneliti MATS telah mengembangkan SCONE-bench, sebuah kumpulan pengujian yang mencakup 405 kontrak pintar yang telah diserang. AI berhasil mereproduksi serangan senilai 4,6 juta dolar AS dalam simulator, menyaring 2.849 kontrak baru tanpa kerentanan yang diketahui, dan menemukan 2 0day, bernilai 3.694 dolar AS, dengan biaya API 3.476 dolar AS, menghasilkan rasio pengembalian investasi sekitar 1,06 kali. ROI baru saja melewati 1, tetapi ini adalah hasil awal. Jika kemampuan model meningkat satu generasi lagi, atau jika skala kontrak meningkat satu tingkat, angka ini akan berubah. Saat itu, "AI otomatis memindai seluruh rantai + otomatis monetisasi" akan menjadi bisnis yang menguntungkan.

Di sisi pertahanan, AI juga digunakan. Sehari setelah peluncuran Claude Opus 4.8, seseorang menemukan kerentanan soundness yang telah tersembunyi selama 4 tahun di sirkuit ZK kolam privasi Zcash Orchard. Penyerang dapat memanfaatkan kerentanan ini untuk menciptakan ZEC secara tak terbatas tanpa terdeteksi. Zcash segera mengaktifkan hard fork untuk mengisolasi risiko. Zcash memiliki mekanisme yang disebut turnstile, yang melakukan pemeriksaan akuntansi antar kolam. Bahkan jika ada masalah di dalam kolam Orchard, total pasokan tidak akan membengkak secara tak terbatas. Ini adalah lapisan perlindungan waktu berjalan yang menangkap risiko ketika kriptografi gagal.

AI telah memindahkan biaya ke pihak pertahanan. Dulu, biaya serangan tinggi dan biaya pertahanan rendah; jika kode ditulis dengan baik dan diaudit, dapat mencegah sebagian besar serangan. Sekarang, menulis email phishing yang sangat disesuaikan hanya membutuhkan beberapa detik, membuat video konferensi yang sulit dibedakan hanya membutuhkan beberapa menit, dan memindai ribuan kontrak lama untuk mencari kerentanan tidak memerlukan biaya yang besar. Pihak pertahanan harus menjaga semua pintu masuk, sementara penyerang hanya perlu menipu satu orang. Empat serangan rekayasa sosial menyebabkan kerugian sebesar 310 juta dolar AS, yang menyumbang 85% dari total kerugian phishing. Penipu tidak lagi menyebar jaring, tetapi mulai menargetkan individu dengan kekayaan besar.

Kode lama juga kembali menjadi sasaran. Pada kuartal kedua 2026, insiden kerentanan kode meningkat dari 78 menjadi 126, dengan penyerang mulai secara sistematis meneliti kontrak lama yang telah dikerahkan selama bertahun-tahun dan belum pernah diaudit ulang. Di BNB Chain, terdapat 33 serangan token lama dalam enam bulan pertama, dengan setiap serangan berkisar dari puluhan ribu hingga ratusan ribu dolar, semuanya ditemukan melalui pemindaian massal oleh AI. Audit adalah snapshot pada hari penerapan, sementara serangan terjadi setiap hari, dan kode lama selalu menjadi sasaran.

AI Agent juga menjadi sasaran baru. Agent dapat membaca konteks, mengatur alat, dan menandatangani transaksi; satu instruksi jahat yang tersembunyi dalam input normal dapat berubah menjadi kerugian nyata. Setelah EIP-7702 diluncurkan, penelitian USENIX 2026 menunjukkan bahwa 63% delegasi jahat mengarah ke kontrak jahat. Abstraksi akun memberikan kemudahan bagi pengguna, tetapi juga memberikan penyerang lebih banyak pintu masuk. Dulu kita melawan hacker, melawan orang jahat; di masa depan, kita melawan Agent, melawan efisiensi dan legalitasnya dalam mengirimkan uang kepada orang jahat setelah menerima Prompt yang terkontaminasi.

Batasan Audit

Menurut laporan CoinGecko "Laporan Keamanan Kripto 2026" (2026 Crypto Security Report), dari 245 insiden, total kerugian mencapai 3,63 miliar dolar AS, di mana 147 protokol yang telah diaudit secara independen menyumbang 88,44%. Hanya 11% serangan yang menargetkan cacat kontrak yang tercakup dalam audit. Kerentanan rantai pasokan dan infrastruktur menyebabkan kerugian lebih dari 1,8 miliar dolar AS.

Bukan berarti audit tidak berguna, tetapi tempat yang diaudit semakin bukan tempat yang diserang. Audit memeriksa kode kontrak pada saat penerapan, sementara serangan tahun 2026 menargetkan kunci penerapan, RPC, proses multisig, rantai pasokan, dan kode baru yang ditambahkan setelah audit. Anda memeriksa kualitas kunci pintu, tetapi pencuri masuk melalui jendela, tidak bisa dikatakan kualitas kunci pintu buruk.

Serangan rantai pasokan adalah jenis serangan yang paling merugikan pada tahun 2026, dengan kerugian mencapai 298 juta dolar AS. Sebuah paket jahat di npm, diunduh puluhan miliar kali setiap minggu, masuk ke frontend, SDK, dan dompet, dapat membuat pengguna menandatangani transaksi yang salah. Tidak perlu meretas sistem, cukup buat pengguna menginstalnya. Orang Korea Utara membuka perusahaan palsu bernama Veltrix Capital, mengirim tawaran kepada pemelihara open source, dan menyisipkan 24 paket jahat di npm serta 12 paket di PyPI. Pintu belakang terbaik adalah yang diinstal oleh pengguna sendiri.

Logika keamanan sebelumnya sangat sederhana: menulis kode, audit, memberikan hadiah, meluncurkan, dan menghentikan kontrak jika terjadi masalah. Logika ini mengasumsikan bahwa risiko terbesar adalah bug dalam kode. Sekarang, risiko terbesar tidak ada dalam kode, sehingga logika ini tidak lagi memadai.

Pertahanan Harus Mengikuti Permukaan Serangan

Pencuri tidak masuk melalui pintu, maka garis pertahanan tidak bisa hanya menutup pintu.

Saat ini, tim keamanan harus menggambar diagram pertama bukan arsitektur kontrak pintar, tetapi diagram alur uang dari masuk hingga keluar. Dari dompet pengguna ke kas negara, melalui berapa banyak node tanda tangan, berapa banyak administrator, berapa banyak oracle, dan berapa banyak jembatan. Tanyakan di setiap node: jika titik ini diambil, berapa banyak uang yang bisa dipindahkan? Berapa banyak orang yang perlu menandatangani? Bisakah itu dieksekusi secara otomatis? Apakah ada kunci waktu? Apakah ada tempat kedua untuk memverifikasi? Jika terjadi masalah, bisakah kita segera menghentikannya? Ini lebih berguna daripada melakukan audit kontrak sekali lagi.

Kemudian, jangan menempatkan semua telur dalam satu domain kegagalan. Bukan hanya bertanya berapa banyak tanda tangan, tetapi bertanya apakah orang-orang yang menandatangani itu semua bergantung pada satu sumber kepercayaan. Jika lima penandatangan menggunakan penyedia cloud yang sama, browser yang sama, dompet perangkat keras yang sama, dan melihat data RPC yang sama, maka 3-dari-5 hanya desentralisasi secara matematis; jika terjadi masalah, satu titik akan merusak semuanya. Perangkat keras tanda tangan harus berasal dari berbagai produsen, jaringan dari berbagai penyedia, kunci harus tersebar di berbagai yurisdiksi, dan tanda tangan offline dan online harus dipisahkan untuk mencapai multisig yang sebenarnya.

Pada bulan Juli 2026, TeraSwitch merilis router interkoneksi yang cacat, menyebar melalui reflektor router di Amsterdam. 28,83% dari SOL yang dipertaruhkan di Solana secara bersamaan offline, hanya kurang dari 4,5 poin persentase dari ambang finalitas 33,34%. 90 validator terpengaruh, dan pemulihan memakan waktu sekitar 40 menit. Di blockchain ini terdapat 699 validator yang dipertaruhkan, tetapi satu sistem otonom AS20326 menampung sekitar 27,34% dari SOL yang dipertaruhkan. Validator di blockchain terdesentralisasi, tetapi penyedia yang mendukung validator dan routing upstream tidak. Desentralisasi validator tidak sama dengan desentralisasi infrastruktur.

Oleh karena itu, "decentralization again" sedang diperluas dari lapisan konsensus ke lapisan ketergantungan. Penyortiran bersama, multi-DVN, dan independensi domain kegagalan adalah cara untuk memecah titik tunggal.

RPC tidak bisa dianggap sebagai sumber yang dapat dipercaya. Sistem yang melibatkan uang besar seperti oracle, jembatan, likuidasi, dan pemerintahan tidak bisa hanya mengandalkan satu nilai kembalian RPC untuk membuat keputusan. Setidaknya tiga RPC dari penyedia berbeda harus saling memverifikasi data; jika hasilnya berbeda, anggap itu sebagai serangan, jangan anggap itu sebagai kegagalan jaringan. Jalur besar harus berjalan di seluruh node, jangan bergantung pada pihak ketiga. Setelah KelpDAO mengalami masalah, RPC yang dapat mengembalikan bukti kriptografi akan menjadi hal yang harus digunakan oleh lembaga.

Dompet tidak hanya memeriksa apakah tanda tangan benar, tetapi juga memeriksa apakah transaksi ini adalah yang diinginkan pengguna. Jika pengguna mengatakan "tukar 1000 USDC menjadi ETH, dengan slippage tidak lebih dari 0,5%", dompet harus mensimulasikan transaksi terlebih dahulu, melewati mesin risiko, dan memastikan bahwa transaksi benar-benar melakukan hal itu sebelum meminta tanda tangan. Kode jahat, otorisasi tanpa batas, alamat yang diubah, dan frontend yang dimodifikasi dapat sebagian besar dihentikan di lapisan ini.

Pertahanan memerlukan struktur empat lapis.

Lapisan pertama adalah pengelolaan izin. Larang konfigurasi 1-dari-1, baik itu DVN, multisig, atau ADMIN_ROLE. Semua operasi dengan izin tinggi harus dipaksa untuk menambahkan timelock. Kunci penerapan dan kunci waktu berjalan harus dipisahkan; EOA penerapan harus segera diserahkan setelah penerapan, tidak boleh memegang ADMIN dalam jangka panjang.

Lapisan kedua adalah penguatan infrastruktur. Lingkungan produksi harus terhubung ke setidaknya dua RPC dari penyedia cloud yang berbeda untuk failover. Keputusan penting—penarikan, pencetakan, dan umpan harga oracle—harus melakukan verifikasi blok header atau bukti Merkle, tidak bisa langsung mempercayai nilai kembalian eth_call.

Lapisan ketiga adalah perlindungan waktu berjalan. Pemutus sirkuit, pembatasan kecepatan, dan peringatan jumlah yang tidak biasa. Ubah "jumlah maksimum yang dapat hilang" dari TVL menjadi "jendela waktu × batas". Solvency Checker THORChain dan mekanisme penundaan penarikan (Outbound Delay) adalah contoh yang sangat baik: node pengamat akan secara real-time membandingkan saldo asli dari rantai asli dengan catatan status mesin mereka sendiri. Bahkan jika logika di blockchain atau node RPC diserang, dan hacker secara acak menciptakan aset di mesin status, jika perhitungan tidak cocok, antrean penarikan akan segera menangguhkan penarikan besar, menggunakan penundaan fisik untuk menghentikan pemindahan ilegal. Ini adalah pemutus ganda ekonomi dan waktu yang, bahkan ketika lapisan frontend dan komputasi gagal, masih melindungi pintu kas negara.

Lapisan keempat adalah pemeriksaan berkelanjutan sebagai pengganti audit sekali. Kecepatan evolusi teknik serangan lebih cepat daripada audit pada hari peluncuran. Alat pemantauan penting karena mereka mengamati apa yang sedang terjadi dalam sistem saat ini, bukan bagaimana kode terlihat tiga bulan lalu.

Akhirnya, terima bahwa serangan pasti akan terjadi; jangan berpikir bahwa semua serangan dapat dicegah. Pertama, pikirkan bagaimana mencegah orang mengambil semua uang sekaligus. Kas negara tidak boleh memindahkan satu transaksi senilai 100 juta dolar AS. Transaksi kecil dapat berjalan otomatis, transaksi besar memicu kunci waktu, dan transaksi besar harus melalui pemeriksaan manual. Audit tidak berhenti setelah penerapan; pemantauan di blockchain harus terus dilakukan, mengawasi perilaku transaksi, perubahan izin, apakah harga oracle tidak sesuai, apakah data dari beberapa RPC konsisten, dan apakah gas tidak aneh. Keamanan bukan hanya tentang mencegah serangan, tetapi juga tentang melakukan empat hal: mencegah, mengukur, menutup, dan mengejar secara bersamaan.

Ada juga pembagian risiko. Aave membekukan pasar rsETH beberapa jam setelah KelpDAO mengalami masalah, dan beberapa protokol bersama-sama menutupi utang buruk. Asuransi terdesentralisasi bukan hanya tentang membayar uang setelah terjadi masalah; ini adalah tentang menyebarkan risiko di antara semua peserta jaringan, memaksa semua pemegang token untuk bersama-sama memperhatikan keamanan protokol. Nexus Mutual telah memasukkan OpSec Failure Cover ke dalam rencana pengembangan, dan OpenCover telah meluncurkan Covered Vaults, mengintegrasikan pemindahan risiko langsung ke dalam produk Vault. Yang lebih menarik adalah struktur modal yang saling terkait: satu modal yang di-restake melindungi keamanan jaringan dan juga mengasuransikan risiko kas DeFi. Jika terjadi masalah, modal yang dipasangkan akan secara otomatis dipotong, untuk mengkompensasi penyimpan.

Harga asuransi pada akhirnya akan menjadi harga pasar dari arsitektur keamanan. Ketika perusahaan asuransi akan mengasuransikan suatu protokol, mereka akan bertanya: berapa banyak penandatangan multisig yang Anda miliki? Apakah ada timelock? Apakah RPC adalah titik tunggal? Berapa banyak sumber data independen untuk oracle? Berapa besar transfer maksimum dari Treasury setiap kali? Apakah ada pemutus sirkuit? Ini bukan hanya tentang apa yang diberitahukan tim keamanan kepada Anda tentang apa yang harus dilakukan; ini adalah pasar modal yang memberi tahu Anda berapa nilai arsitektur keamanan Anda.

Kode ditulis oleh manusia, dan manusia dapat melakukan kesalahan; konfigurasi dapat dilupakan, dan selalu ada titik tunggal yang terlewat. Uang adalah milik semua orang, dan semua orang harus peduli.

Mencari Kepercayaan, Bukan Kerentanan

Kerugian sepanjang tahun 2024 mencapai 2,36 miliar USD, dengan phishing pertama kali melampaui kebocoran kunci pribadi sebagai ancaman terbesar, dan orang-orang mulai menyadari masalah manusia. Pada Februari 2025, Bybit mengambil 1,45 miliar, membawa total angka tahunan menjadi 3,35 miliar, dengan rantai pasokan depan dan antarmuka tanda tangan menjadi titik masuk yang paling mematikan. Pada tahun 2026, KelpDAO, Drift, dan Bitget bersama-sama mengumpulkan lebih dari 900 juta USD, dengan RPC dan konfigurasi izin menjadi medan perang utama, AI mengubah serangan menjadi jalur produksi, bahkan peretas tradisional mulai menggunakan blockchain sebagai infrastruktur.

Setelah tiga tahun, jalur penyerang sangat jelas: dari menyerang kode ke menyerang manusia, dari menyerang infrastruktur di atas rantai ke infrastruktur di bawah rantai, dari mencari celah ke mencari hubungan kepercayaan. Tujuh lapisan konsensus dan eksekusi dari blockchain utama selama tiga tahun ini kehilangan uang hampir nol, rantai itu sendiri semakin kuat, tetapi uang besar hilang di sekitar orang, proses, konfigurasi, dan infrastruktur di sekitar rantai.

Web3 tidak menjadi tidak aman, hanya saja area serangan yang paling berharga berpindah dari dalam kode ke luar kode.

Kriptografi dapat memastikan tanda tangan itu asli, memastikan transaksi tidak diubah, dan memastikan catatan di rantai tidak dapat dihapus. Namun, kriptografi tidak dapat memastikan apakah orang yang menandatangani telah ditipu, tidak dapat memastikan apakah data yang dilihatnya itu benar, tidak dapat memastikan apakah permintaan dalam proses persetujuan itu dipalsukan, dan tidak dapat memastikan apakah saldo yang dikembalikan oleh RPC itu benar-benar ada di rantai. Ini bukan masalah kriptografi, tetapi masalah kepercayaan.

Keamanan di masa depan bukan hanya tentang kode, tetapi tentang seluruh sistem, dan lebih dalam lagi, tentang seluruh rantai kepercayaan. Keamanan bukan lagi pekerjaan yang selesai setelah menulis kode dan melakukan audit sekali, tetapi merupakan sistem yang terus berjalan, mencakup setiap aspek manusia, izin, infrastruktur, rantai pasokan, dan AI, dengan setiap aspek melakukan verifikasi secara independen, dan jika ada masalah di salah satu aspek, tidak akan membiarkan kerugian merusak seluruh sistem.

Keamanan Web3 di masa depan bukanlah tentang dinding yang lebih tebal, tetapi tentang sistem izin yang lebih halus. Tujuan desain bukanlah "kami tidak akan pernah diretas", tetapi "meskipun satu orang diretas, satu RPC terkontaminasi, satu ketergantungan diracuni, satu penandatangan ditipu, atau satu Agen membuat keputusan yang salah, tidak ada yang bisa langsung mengambil uang dari seluruh sistem".

Yang penting adalah apakah bagian lain dari sistem masih bisa berdiri setelah satu orang jatuh.

Dulu kita selalu bertanya, apakah kontrak ini memiliki celah. Di masa depan, yang harus ditanyakan adalah: siapa yang bisa mentransfer uang? Berdasarkan data apa dia membuat keputusan? Apakah yang dia percayai dapat diandalkan? Jika terjadi masalah, siapa yang menanggungnya?

Jika pertanyaan diajukan dengan benar, garis pertahanan akan ditempatkan di tempat yang tepat.