# Artikel Terkait Peretasan

Pusat Berita HTX menyediakan artikel terbaru dan analisis mendalam mengenai "Peretasan", mencakup tren pasar, pembaruan proyek, perkembangan teknologi, dan kebijakan regulasi di industri kripto.

Bot MEV Paling Top, Digasak $7,5 Juta: Apakah Approval Justru Risiko Mematikan yang Paling Diabaikan di On-Chain?

**Intisari Artikel: Bot MEV Paling Top, Kena Bobol 750 Juta Dollar: Apakah Approval Risiko Mematikan yang Paling Terabaikan di Blockchain?** Bot arbitrase MEV terkenal Jaredfromsubway.eth diserang, mengalami kerugian lebih dari 750 juta dollar AS. Serangan ini bukan karena kebocoran kunci pribadi atau kerentanan kontrak pintar biasa, melainkan hasil perburuan terbalik yang dirancang khusus. Penyerang menghabiskan berminggu-minggu untuk menyiapkan jebakan: Mereka membuat banyak token palsu dan kolam likuiditas yang meniru aset populer seperti WETH dan USDC. Lingkungan ini dirancang untuk memancing bot MEV, yang selalu memindai peluang arbitrase, untuk secara otomatis menjalankan jalur perdagangan dan memberikan **persetujuan (approval) ERC-20** ke kontrak jahat. Setelah izin diberikan, penyerang kemudian menarik aset bot yang nyata. Kasus ini mengungkapkan bahaya mendasar dari fitur Approval di blockchain Ethereum/EVM. Approval diperlukan agar kontrak pintar (seperti DEX) dapat mengakses token pengguna untuk swap atau pinjaman. Namun, mirip dengan "pemotongan otomatis" di pembayaran digital, risiko utamanya adalah: 1. **Izin Tak Terbatas (Unlimited Approval):** Pengguna sering mengizinkan akses tak terbatas untuk menghemat biaya gas, membiarkan kontrak menarik semua token di masa depan. 2. **Izin Tidak Hilang dengan Sendirinya:** Memutuskan koneksi dompet atau menutup situs web **tidak membatalkan** approval yang sudah tercatat di blockchain. 3. **Risiko Masa Depan:** Kontrak yang saat ini aman bisa diretas di kemudian hari, menyalahgunakan izin yang sudah diberikan. **Bagaimana Mengelola Risiko Approval:** * **Prinsip Izin Minimum:** Setel jumlah approval mendekati nilai transaksi yang dibutuhkan, hindari unlimited approval. * **Pisahkan Dompet:** Gunakan dompet terpisah untuk penyimpanan jangka panjang dan untuk interaksi dengan DApp/proyek baru. * **Tinjau & Cabut Izin Secara Berkala:** Gunakan alat seperti Revoke.cash atau fitur manajemen izin di dompet (seperti di imToken) untuk memeriksa dan mencabut izin yang tidak lagi digunakan. * **Dukungan dari Dompet:** Dompet harus memberikan peringatan risiko, mem-parsing dan menampilkan data tanda tangan dengan jelas (Clear Signing), serta memudahkan pengelolaan izin. Keselamatan aset tidak hanya tentang melindungi kunci pribadi, tetapi juga secara aktif mengelola izin akses (approval) yang telah diberikan kepada kontrak pintar lainnya.

marsbit06/24 05:30

Bot MEV Paling Top, Digasak $7,5 Juta: Apakah Approval Justru Risiko Mematikan yang Paling Diabaikan di On-Chain?

marsbit06/24 05:30

Mengapa Asuransi DeFi Tidak Laku?

Meskipun dirancang untuk menyelesaikan masalah penolakan klaim di asuransi tradisional dengan menggunakan kontrak pintar, asuransi DeFi nyaris tidak diminati. Artikel ini menganalisis penyebab utamanya: premi yang terlalu tinggi menggerus keuntungan pengguna, ketidakmampuan dana cadangan industri menghadapi risiko besar terkait seperti peretasan, dan mekanisme klaim yang bias. Dana asuransi DeFi seperti Nexus Mutual sangat kecil dibandingkan total aset terkunci di DeFi. Premi untuk protokol baru bisa mencapai 3-6%, menyisakan keuntungan bersih yang sangat rendah atau bahkan negatif. Selain itu, risiko di DeFi sangat terkait; satu insiden besar dapat menghabiskan seluruh dana cadangan. Mekanisme voting untuk klaim juga mendorong anggota untuk menolak pembayaran guna melindungi dana mereka sendiri. Solusi yang muncul berfokus pada pencegahan (seperti program bug bounty) dan menarik modal reasuransi tradisional, mengakui bahwa dana on-chain saat ini tidak memadai. Intinya, asuransi DeFi menghadapi dilema: meski bermanfaat bagi stabilitas pasar secara keseluruhan, biayanya yang tinggi dan struktur risikonya membuat individu enggan membayar premi, sehingga meninggalkan semua pihak tanpa perlindungan.

marsbit06/23 08:58

Mengapa Asuransi DeFi Tidak Laku?

marsbit06/23 08:58

Bot MEV Terkenal JaredFromSubway Dikosongkan Senilai $7,5 Juta

Salah satu bot MEV paling terkenal di Ethereum, JaredFromSubway, dilaporkan kehilangan dana sekitar $7,5 juta setelah kontrak yang dikendalikan penyerang menipu sistem otomatisnya untuk memberikan persetujuan (approval) token. Menurut laporan CoinDesk dan analisis keamanan dari Blockaid, penyerang membuat kontrak atau rute perdagangan palsu yang oleh bot dianggap sebagai peluang menguntungkan. Bot tersebut kemudian memberikan persetujuan, yang kemudian digunakan penyerang untuk menarik aset WETH, USDC, dan USDT dari kontrak milik bot. Insiden ini menyoroti kerapuhan dalam sistem perdagangan otomatis yang bergerak sangat cepat. Bot MEV dirancang untuk bertindak lebih cepat dari trader manusia, tetapi kecepatan ini justru dapat menjadi kelemahan jika logika otomatisnya dapat dimanipulasi untuk menyetujui kontrak berbahaya. Meskipun bernilai besar, kejadian ini tampaknya merupakan eksploitasi yang ditargetkan khusus pada bot perdagangan ini, dan bukan merupakan kegagalan keamanan protokol Ethereum atau aplikasi DeFi yang luas. Pelajaran pentingnya adalah bahwa pemberian persetujuan token dalam DeFi merupakan izin yang sangat kuat dan memerlukan pengamanan, simulasi, serta verifikasi rute yang ketat, terutama untuk sistem yang beroperasi secara otomatis.

bitcoinist06/22 15:33

Bot MEV Terkenal JaredFromSubway Dikosongkan Senilai $7,5 Juta

bitcoinist06/22 15:33

Pemburu Jadi Mangsa, MEV Bot yang Paling Cuan Diretas

Penyerang MEV Bot yang Terkenal, Jaredfromsubway.eth, Kehilangan Lebih dari $7,5 Juta dalam Serangan 'Perangkap Madu'. Alamat MEV Bot Ethereum yang terkenal dan sangat aktif, Jaredfromsubway.eth, mengalami serangan rantai yang sangat bertarget pada hari Sabtu, yang mengakibatkan kerugian lebih dari $7,5 juta. Menurut investigasi Blockaid, serangan ini bukanlah serangan phishing tradisional atau eksploitasi kerentanan kontrak pintar, melainkan serangan 'perangkap madu MEV balik' (counter-MEV honeypot attack) yang dirancang khusus untuk mengeksploitasi logika perilaku MEV Bot. Penyerang telah menyebarkan 66 kontrak token palsu dan kumpulan likuiditas palsu selama beberapa minggu sebelumnya. Aset-aset ini disamarkan sebagai aset stabil utama seperti WETH, USDC, dan USDT, dan membangun jalur perdagangan arbitrase yang tampak nyata. Rantai serangan berkembang: kumpulan likuiditas palsu menciptakan sinyal 'kesenjangan harga yang dapat diarbitrase'; bot MEV secara otomatis mengidentifikasi peluang dan mengeksekusi perdagangan; bot memberikan otorisasi ke kontrak bantu yang dikendalikan penyerang selama proses perdagangan; otorisasi ini tidak dicabut tepat waktu, menciptakan paparan izin yang terus-menerus; akhirnya, penyerang memanggil logika 'pintu belakang' yang telah dipasang sebelumnya dalam satu transaksi, secara langsung mentransfer aset ETH, USDC, dan USDT yang dipegang oleh alamat MEV bot tersebut. Jaredfromsubway.eth adalah salah satu bot MEV paling aktif dan menguntungkan di jaringan Ethereum, yang terkenal karena menjalankan serangan 'sandwich' secara sistematis untuk menangkap keuntungan dari pergerakan harga. Cointelegraph Research menunjukkan bahwa sekitar 70% dari sekitar 60.000 hingga 90.000 serangan sandwich bulanan di Ethereum antara November 2024 dan Oktober 2025 terkait dengan strateginya. Diperkirakan bot ini telah menghasilkan puluhan juta dolar AS. Peristiwa ini menjadi peringatan keras tentang meningkatnya ancaman keamanan di ekosistem crypto. Bahkan pemain tingkat atas seperti Jaredfromsubway.eth, yang biasanya berada di sisi 'predator', kini menjadi target dari serangan canggih yang mengeksploitasi logika operasional otomatis mereka sendiri. Selain itu, setelah peretasan, sebuah akun X tidak dikenal dengan 94.000 pengikut mengubah namanya menjadi Jaredfromsubway.eth dan secara palsu mengklaim akan menawarkan hadiah $1 juta untuk pengembalian dana, memicu peringatan dari pengembang agar pengguna tetap waspada terhadap kemungkinan penipuan.

marsbit06/21 09:24

Pemburu Jadi Mangsa, MEV Bot yang Paling Cuan Diretas

marsbit06/21 09:24

Pemburu Dikepung, MEV Bot yang Paling Bisa Hasilkan Uang Diretas

Alamat bot MEV terkenal di Ethereum, Jaredfromsubway.eth, baru-baru ini menjadi korban serangan yang sangat tersasar dan kehilangan lebih dari $7.5 juta. Serangan ini bukanlah phising atau eksploitasi kerentanan kontrak pintar biasa, melainkan serangan "counter-MEV honeypot" yang dirancang khusus untuk mengeksploitasi logika operasional bot MEV. Penyerang dengan sabar menyiapkan puluhan kontrak token dan pool likuiditas palsu selama beberapa minggu, yang menyamar sebagai aset seperti WETH, USDC, dan USDT. Mereka membuat sinyal arbitrase yang tampak menguntungkan. Saat bot Jaredfromsubway.eth mendeteksi dan mencoba mengeksekusi peluang arbitrase ini, bot tersebut secara tidak sengaja memberikan izin (approval) ke kontrak bantu milik penyerang. Izin ini kemudian dieksploitasi dalam satu transaksi untuk menguras aset ETH, USDC, dan USDT dari dompet bot. Jaredfromsubway.eth sendiri adalah salah satu bot MEV paling aktif dan menguntungkan di Ethereum, yang terkenal terutama karena sering melakukan "serangan sandwich" untuk mengambil keuntungan dari selisih harga. Peristiwa ini menunjukkan bahwa bahkan pemain yang biasanya berperan sebagai "predator" di ekosistem crypto pun rentan terhadap ancaman keamanan yang semakin canggih. Setelah serangan, muncul akun palsu di X yang mengaku sebagai Jaredfromsubway.eth dan menawarkan pengembalian dana, yang telah diperingatkan oleh pengembang sebagai potensi penipuan.

Odaily星球日报06/21 09:17

Pemburu Dikepung, MEV Bot yang Paling Bisa Hasilkan Uang Diretas

Odaily星球日报06/21 09:17

Microsoft Identifikasi Malware Kripto Baru yang Menargetkan Alamat Dompet dan Kunci Pribadi

Pada Februari 2026, Microsoft Threat Intelligence menemukan serangan malware kripto yang dinamai Trojan/CryptoBandits.A. Malware ini menyebar melalui file pintasan .lnk berbahaya di drive USB dan mengeksploitasi teknologi Windows Script Host untuk beroperasi tanpa perlu installer atau server kontrol tradisional, menggunakan proxy Tor tersembunyi. Setelah menginfeksi sistem, malware secara konstan memantau isi papan klip (clipboard) untuk mencari frase pemulihan (12 atau 24 kata), kunci privat Bitcoin/Ethereum, dan alamat dompet. Ia mengganti alamat dompet yang disalin pengguna dengan alamat milik penyerang sebelum transaksi diselesaikan. Malware juga mengambil tangkapan layar dan mengirimkannya melalui koneksi Tor, serta memiliki kemampuan eksekusi kode jarak jauh untuk menanamkan perintah tambahan. Microsoft merekomendasikan untuk menonaktifkan fitur auto-run, membatasi eksekusi skrip dari USB, dan memantau aktivitas mencurigakan seperti eksekusi JavaScript, aktivitas proxy localhost:9050, atau perilaku pemantauan clipboard. Kampanye ini menyoroti risiko yang terus berkembang seiring dengan meningkatnya penggunaan mata uang kripto.

TheNewsCrypto06/19 11:34

Microsoft Identifikasi Malware Kripto Baru yang Menargetkan Alamat Dompet dan Kunci Pribadi

TheNewsCrypto06/19 11:34

Eksploitasi Tata Kelola Token of Power Menguras $1,58 Juta WETH, Kata TRM

Firma intelijen blockchain TRM Labs mengungkap eksploitasi pengambilalihan tata kelola (governance takeover) terhadap protokol Token of Power yang mengakibatkan kerugian sekitar $1,58 juta dalam WETH. Menurut analisis TRM, penyerang memanfaatkan kelemahan dalam pengaturan Aragon DAO protokol, yaitu tidak adanya timelock. Hal ini memungkinkan penyerang mengusulkan, memberikan suara, dan mengeksekusi aksi tata kelola jahat dalam satu blok tunggal. Pelaku didanai dengan 662 ETH yang ditarik dari Tornado Cash, lalu membeli cukup token TOP untuk memperoleh kekuatan suara mayoritas. Setelah itu, penyerang mencetak 10 miliar token TOP baru dan menukarnya dengan WETH melalui pool Balancer sebelum mengalirkan kembali dananya melalui Tornado Cash. Eksploitasi ini menjadi contoh nyata bagaimana desain tata kelola dapat menjadi risiko keamanan langsung. Tanpa timelock, pengguna, pengembang, dan tim keamanan tidak memiliki waktu untuk bereaksi sebelum proposal berbahaya dieksekusi. Insiden ini mengingatkan pengguna DeFi bahwa risiko tidak hanya terbatas pada bug kode, tetapi juga parameter tata kelola, kontrol treasury, dan ambang batas suara. Laporan ini didasarkan pada informasi dari laporan keamanan on-chain TRM Labs.

bitcoinist06/14 21:33

Eksploitasi Tata Kelola Token of Power Menguras $1,58 Juta WETH, Kata TRM

bitcoinist06/14 21:33

Pelajaran dari Insiden Peretasan Raydium: Risiko Baru DeFi Tersembunyi dalam Kontrak Lama yang Terlupakan

**Raydium Peretasan Ungkap Risiko Baru DeFi: Kontrak Lama yang Terlupakan** Peretasan terhadap Raydium baru-baru ini, yang mengakibatkan kerugian sekitar $1,34 juta, menyoroti kategori risiko DeFi yang sering diabaikan: **"kontrak zombie"**. Penyerang mengeksploitasi pool liquidity Automated Market Maker (AMM) V3 lama Raydium yang sudah tidak digunakan tetapi masih aktif di blockchain. **Masalah Umum: Kontrak yang Ditinggalkan Tetap Rentan** Insiden ini bukan kasus isolasi. Sejak Maret 2025, setidaknya terjadi **8 serangan serupa** yang menargetkan kontrak usang, dengan total kerugian sekitar $10,8 juta. Kontrak-kontrak ini, meskipun telah "dihentikan" secara fungsional oleh pengembang, tidak pernah dinonaktifkan atau diamankan secara teknis di rantai, meninggalkan aset yang terdampar di dalamnya menjadi sasaran empuk. **Mengapa Risiko Ini Terabaikan?** Laporan keamanan biasanya mengklasifikasikan insiden berdasarkan celah teknis (bug kode, kegagalan oracle, dll.). Risiko kontrak usang ini adalah masalah **manajemen siklus hidup**, bukan bug pengkodean, sehingga sering tersembunyi dalam statistik. Kontrak V3 Raydium yang lama, misalnya, kehilangan dua pemeriksaan keamanan penting yang ada di versi baru, memungkinkan penyerang membuat token liquidity palsu. **Solusi: Standarisasi Penonaktifan Kontrak** Hanya mencantumkan "kontrak dihentikan" dalam dokumen tidak cukup. Industri perlu mengakui "kontrak zombie" sebagai kategori risiko mandiri dan membangun **proses standar untuk menonaktifkan kontrak**, termasuk: 1. **Transfer aset** dari kontrak lama. 2. **Nonaktifkan fungsi** kritis (mint, tukar, dll.). 3. **Hapus izin** (allowance) pengguna. 4. **Pemantauan berkelanjutan** atas kontrak yang diarsipkan. 5. **Komunikasi transparan** kepada komunitas. Tanpa proses penutupan yang tepat, **"pemakaman kontrak"** ini akan terus menjadi titik serangan yang menguntungkan bagi peretas, mengancam kesehatan dan kepercayaan ekosistem DeFi jangka panjang.

Foresight News06/13 06:19

Pelajaran dari Insiden Peretasan Raydium: Risiko Baru DeFi Tersembunyi dalam Kontrak Lama yang Terlupakan

Foresight News06/13 06:19

Pelaku Kriminal Crypto dalam Bidikan Saat Chainalysis Bermitra dengan Kepolisian Korea Selatan

Polisi Nasional Korea Selatan (KNPA) telah menandatangani nota kesepahaman (MoU) dengan perusahaan analisis blockchain Chainalysis. Kemitraan ini bertujuan untuk memperkuat kemampuan KNPA dalam menyelidiki kejahatan aset virtual, termasuk pencucian uang berbasis kripto. Kerja sama ini memberikan akses kepada penyelidik Korea Selatan pada pelatihan, program sertifikasi, dan instruksi praktis dari Chainalysis. Langkah ini terjadi di tengah lonjakan pencurian kripto yang dikaitkan dengan Korea Utara, yang mencapai kerugian miliaran dolar. Meskipun serangan dari Korea Utara menjadi fokus, kemitraan ini dirancang untuk membangun kemampuan institusional yang lebih luas. Hal ini membangun hubungan sebelumnya di mana Chainalysis mendukung penyelidikan polisi Seoul yang menggulingkan jaringan peretasan internasional. MoU ini mengikuti pembentukan Satuan Tugas Pemberantasan Pencucian Uang pada Mei lalu, menunjukkan upaya terkoordinasi otoritas Korea Selatan untuk memerangi kejahatan keuangan kripto, dari peretasan negara hingga penipuan terhadap investor biasa. Tujuannya adalah untuk meninggalkan kapabilitas penyelidikan yang lebih kuat bagi KNPA dalam jangka panjang.

bitcoinist06/11 10:02

Pelaku Kriminal Crypto dalam Bidikan Saat Chainalysis Bermitra dengan Kepolisian Korea Selatan

bitcoinist06/11 10:02

Beosin: 36 Insiden Keamanan Utama pada Mei, Kerugian Total Melebihi 76 Juta USD

Berdasarkan data pemantauan dari platform Beosin Alert, pada Mei 2026 telah terjadi **36 insiden keamanan besar** di ekosistem Web3, dengan total kerugian mencapai lebih dari **76,15 juta dolar AS**. Penyebab utama serangan adalah **kerentanan kontrak pintar (17 kasus)** dan **kebocoran kunci pribadi (10 kasus)**. **Insiden dengan Kerugian Terbesar:** * **Verus-Ethereum Bridge** (jembatan lintas rantai) mengalami serangan karena cacat dalam verifikasi pesan, menyebabkan kerugian **11,58 juta dolar AS**. * **Echo Protocol** menderita kebocoran kunci pribadi, memungkinkan penyerang mencetak aset meskipun keuntungan aktual sekitar **5,13 juta dolar AS**. **Analisis Tren:** 1. **Jenis Proyek & Jaringan:** Jembatan lintas rantai mencatat kerugian agregat tertinggi (sekitar 28 juta dolar AS). Ethereum adalah jaringan dengan kerugian terbesar (lebih dari 48,76 juta dolar AS), diikuti oleh BNB Chain, Monad, dan TON, menunjukkan bahwa serangan kini tersebar di banyak rantai. 2. **Kerentanan Umum:** Laporan ini menganalisis beberapa kasus, termasuk kerentanan desain tanda tangan di **Trusted Volumes** dan insiden kebocoran kunci pribadi di **StablR**, yang menyoroti tantangan keamanan operasional seperti manajemen kunci dan konfigurasi multisig yang lemah. 3. **Tren Ancaman:** Ancaman keamanan Web3 semakin meluas, tidak hanya pada kode kontrak tetapi juga pada infrastruktur, proses operasional, dan faktor manusia. Proyek-proyek perlu menerapkan keamanan berkelanjutan, termasuk audit berkala, penanganan kontrak warisan, dan mekanisme respons darurat. Laporan ini menekankan bahwa mengamankan ekosistem DeFi memerlukan pendekatan holistik yang mencakup pengembangan kode yang aman, praktik operasional yang ketat, dan kewaspadaan terus-menerus dari kedua penyedia layanan dan pengguna.

marsbit06/10 09:29

Beosin: 36 Insiden Keamanan Utama pada Mei, Kerugian Total Melebihi 76 Juta USD

marsbit06/10 09:29

活动图片

Kategori Populerright-arrow

Tag Populerright-arrow