# Artikel Terkait Kerentanan

Pusat Berita HTX menyediakan artikel terbaru dan analisis mendalam mengenai "Kerentanan", mencakup tren pasar, pembaruan proyek, perkembangan teknologi, dan kebijakan regulasi di industri kripto.

Lebih Dari Sekadar Kunci Pribadi: Dari Dompet, L2 hingga Rantai Pasokan, Bagaimana Melindungi Batas Keamanan Web3?

Juni lalu, dunia kripto mengalami serangkaian insiden keamanan yang melibatkan berbagai aspek ekosistem Web3. Serangan tidak hanya berfokus pada satu titik, tetapi meluas ke beberapa lapisan pertahanan. Ada tiga area utama yang terdampak: 1. **Keamanan Dompet di Luar Penyimpanan Kunci Pribadi**: Insiden pada dompet SecondFi di Cardano menunjukkan bahwa kelemahan dalam implementasi tanda tangan (signing) di tingkat perangkat lunak dompet dapat membocorkan kunci pribadi, meskipun pengguna tidak memberikan frasa pemulihan. Hal ini menekankan pentingnya komponen inti dompet yang bersumber terbuka (open-source) dan diperiksa ketat, serta kebiasaan memisahkan aset besar (di cold wallet) dari dompet untuk interaksi harian. 2. **Kompleksitas dan Risiko di Lapisan 2 (L2)**: Beberapa serangan pada L2 seperti Aztec dan Taiko menunjukkan bahwa keamanan L2 tidak hanya tentang biaya transaksi yang lebih murah. Risiko muncul dari kerumitan sistem, seperti celah dalam sirkuit bukti tanpa pengetahuan (ZK-proof) atau kompromi dalam proses verifikasi berbasis perangkat keras (SGX). Jaringan seperti Base juga mengalami gangguan ketersediaan. Pengguna disarankan untuk memahami mekanisme penyelesaian, menggunakan jembatan resmi, dan tidak menyimpan aset besar secara berlebihan pada L2 yang masih sangat baru. 3. **Serangan Rantai Pasok melalui Layanan Pihak Ketiga**: Kasus Polymarket mengungkap bahwa meskipun kontrak pintar aman, frontend atau dependensi pihak ketiga yang diretas dapat menyuntikkan skrip jahat ke situs web yang sah, mencuri aset pengguna. Ini menunjukkan bahwa "URL yang benar" tidak menjamin keamanan seluruh jalur interaksi. Pengguna harus menggunakan dompet terpisah untuk berinteraksi dengan DApp, selalu memeriksa detail transaksi sebelum menandatangani, dan waspada terhadap permintaan yang tidak biasa di situs web. Kesimpulannya, keamanan Web3 kini adalah tentang melindungi seluruh jalur interaksi, dari pembuatan kunci hingga penyelesaian di rantai. Kebiasaan keamanan terbaik melibatkan: **mengisolasi aset jangka panjang, menggunakan jumlah kecil untuk interaksi harian, memberikan izin (approval) minimum ke DApp asing, dan selalu memverifikasi operasi berisiko tinggi.** Pertahanan harus berkembang dari sekadar menjaga kunci pribadi menjadi serangkaian kebiasaan yang lengkap.

marsbit07/09 10:48

Lebih Dari Sekadar Kunci Pribadi: Dari Dompet, L2 hingga Rantai Pasokan, Bagaimana Melindungi Batas Keamanan Web3?

marsbit07/09 10:48

Mengapa Transfer 14.336 ETH oleh Peretas UXLINK Menimbulkan Pertanyaan Baru untuk DeFi

Aktivitas rantai blok terbaru menunjukkan bahwa pelaku eksploitasi UXLINK terus aktif mencucikan dana curian senilai 14.336,6 ETH melalui Tornado Cash dalam dua minggu terakhir, untuk mempersulit pelacakan. Insiden ini bermula dari serangan pada September 2025, di mana peretas memanfaatkan kerentanan 'delegateCall' untuk menguasai dompet multisignature proyek, mencetak token ilegal, dan menguras aset kripto senilai sekitar $4,5 juta. Dana tersebut kemudian dipindahkan ke berbagai dompet dan ditukar menjadi DAI serta ETH. Secara paralel, dompet yang dikaitkan dengan skema Ponzi Mining Express juga terlihat mengalihkan aset yang telah disimpan lama, dengan menukar 5.004 ETH menjadi 8,8 juta DAI. Mining Express, didirikan pada 2019, diduga menipu investor melalui skema penambangan kripto berjenis MLM sebelum akhirnya bangkrut. Kasus-kasus ini menyoroti celah signifikan dalam ekosistem DeFi: meskipun memungkinkan transfer aset yang lancar dan tanpa izin, masih kurangnya sistem yang efektif untuk menghentikan atau menangani dana ilegal setelah beredar. Dana haram relatif mudah dipindahkan dan disembunyikan di dalam ekosistem DeFi. Oleh karena itu, untuk melindungi desentralisasi dan privasi pengguna, protokol perlu memperkuat koordinasi antarjaringan dan menerapkan deteksi ancaman secara real-time.

ambcrypto07/05 10:04

Mengapa Transfer 14.336 ETH oleh Peretas UXLINK Menimbulkan Pertanyaan Baru untuk DeFi

ambcrypto07/05 10:04

Bagaimana Cacat Kontrak Cerdas Protokol Hinkal Memicu Eksploitasi USDC $820K

Exploit protokol privasi stablecoin Hinkal mengakibatkan kerugian senilai $820.000 dalam aset USDC. Serangan ini diduga disebabkan oleh celah dalam satu kontrak pintarnya, yang memungkinkan penyerang memanipulasi fungsi `prooflessDeposit()` dan kemudian melakukan serangkaian panggilan `transact()` untuk menarik dana yang seharusnya tidak dapat diakses. Insiden ini menyoroti kerentanan berkelanjutan dari bug implementasi kode dalam DeFi. Tahun 2026 mencatat peningkatan serangan serupa, termasuk eksploitasi bot MEV Jaredfromsubway.eth ($7,5 juta) dan manipulasi harga di Edel Finance ($403.000). Menurut data TRM Labs, telah terjadi 207 peretasan berbeda dalam enam bulan terakhir, meski total kerugian secara keseluruhan menurun dibandingkan periode yang sama di tahun 2025.

ambcrypto07/04 13:04

Bagaimana Cacat Kontrak Cerdas Protokol Hinkal Memicu Eksploitasi USDC $820K

ambcrypto07/04 13:04

7.8 Miliar Dollar Kerugian Mengungkap Kebenaran: Biaya Keamanan Telah Menjadi Pajak Likuiditas yang Tak Terhindarkan bagi DeFi

**Ringkasan: Biaya Keamanan Menjadi Pajak Likuiditas yang Tak Terhindarkan di DeFi** Berdasarkan data DeFiLlama, kuartal kedua tahun ini mencatat 88 serangan peretasan dengan total kerugian mencapai $780,3 juta. Rangkaian peristiwa ini membuktikan bahwa **kerugian akibat masalah keamanan kini telah menjadi bagian dari biaya modal di ekosistem DeFi**. Biaya tersembunyi ini secara langsung memengaruhi pendapatan pengguna, pemilihan rute aset, dan keputusan dalam menyediakan likuiditas. Risiko utama berasal dari dua area: **kerentanan infrastruktur** (seperti jembatan lintas rantai/ *cross-chain bridge*) yang menyebabkan kerugian besar per insiden, dan **cacat logika kontrak** yang lebih sering terjadi. Serangan terhadap infrastruktur kritis—saluran perpindahan aset, sistem verifikasi, antarmuka—telah mengubah logika pasar. Partisipan kini mulai memasukkan **premi risiko** ke dalam perhitungan mereka, mengevaluasi kembali biaya sebenarnya untuk berpartisipasi di ekosistem *on-chain*. **Keandalan rute aset** kini menjadi bagian integral dari pertimbangan transaksi. Insiden pada jembatan lintas rantai seperti KelpDAO, LayerZero, dan THORChain membuat likuiditas cenderung berpindah ke platform dengan jalur yang lebih jelas dan risiko lebih rendah. Agar tetap kompetitif, platform harus menanggung **biaya distribusi** yang lebih tinggi untuk menarik likuiditas, yang diwujudkan dalam bentuk peningkatan anggaran audit, program *bug bounty*, asuransi aset, dan mekanisme pemantauan. Singkatnya, masalah peretasan di DeFi telah berevolusi dari sekadar isu keamanan teknis menjadi **tekanan struktural** pada pasar. Ini berfungsi seperti **pajak likuiditas implisit** yang dikenakan pada seluruh aliran aset, perolehan hasil, dan sistem kepercayaan di ruang *on-chain*. Masa depan akan didominasi oleh protokol yang dapat secara transparan mengungkap risiko dan menerapkan solusi pengendalian yang komprehensif.

Foresight News07/01 08:06

7.8 Miliar Dollar Kerugian Mengungkap Kebenaran: Biaya Keamanan Telah Menjadi Pajak Likuiditas yang Tak Terhindarkan bagi DeFi

Foresight News07/01 08:06

Tiongkok No.1, Hampir Menyamai OpenAI, “Biara Penyapu” Misterius Melesat ke Peringkat 7 Global

**Ringkasan: "MopMonk" - "Biksu Penyapu" Misterius dari China Masuk 7 Besar Dunia di CyberGym** Sebuah entitas AI misterius asal China bernama **MopMonk** (dalam bahasa Indonesia: "Biksu Penyapu") tiba-tiba muncul dan menempati peringkat **ketujuh dunia** di papan peringkat benchmark keamanan siber **CyberGym**, yang dibuat oleh UC Berkeley. Dengan tingkat keberhasilan **73.1%**, skor MopMonk hanya sedikit di belakang raksasa AI seperti OpenAI dan mencetak rekor tertinggi baru untuk tim China di papan peringkat tersebut. Yang membuat heboh adalah tidak adanya informasi tentang tim di baliknya: tidak ada situs web, konferensi pers, atau pengungkapan identitas. CyberGym dianggap sebagai "Olimpiade" untuk kemampuan keamanan AI, mengevaluasi model dengan 1507 contoh kerentanan nyata dari proyek sumber terbuka besar. Benchmark ini menguji bukan hanya pemahaman, tetapi kemampuan **Agent AI untuk benar-benar mengeksekusi**—yaitu menghasilkan bukti konsep (PoC) yang dapat memicu kerentanan dalam lingkungan tertutup. MopMonk diketahui menggunakan model dasar **MiniMax M3**, model open-source dari Shanghai yang terkenal dengan kemampuan pemrograman, konteks panjang (1M token), dan multimodalitas. Kunci kesuksesannya diduga terletak pada **kerangka kerja Agent (Harness)** yang dirancang khusus untuk penemuan kerentanan. Kerangka kerja ini memiliki tiga inti: 1. **Memori Terstruktur untuk Kerentanan:** Menyimpan fakta tugas seperti target, jalur kode, dan kendala untuk percobaan berikutnya. 2. **Eksplorasi Berbasis Memori:** Setiap percobaan baru belajar dari memori sebelumnya, menghindari pengulangan dan meningkatkan efisiensi. 3. **Eksplorasi Paralel Multi-Agent:** Beberapa upaya eksplorasi berbagi memori yang sama, memperluas cakupan investigasi. Prestasi MopMonk menunjukkan pergeseran penting: dalam tugas keamanan dunia nyata, **kualitas rekayasa Agent (Harness)** yang mengoordinasikan eksekusi sering kali lebih krusial daripada sekadar "menumpuk parameter" pada model dasar. Meskipun identitasnya masih menjadi misteri, kombinasi nama bernuansa武侠 (cerita silat China), model dasar MiniMax, dan keahlian keamanan yang mendalam mengarah pada spekulasi kuat bahwa ini adalah tim keamanan AI dari China, kemungkinan berbasis di Shanghai.

marsbit06/30 08:13

Tiongkok No.1, Hampir Menyamai OpenAI, “Biara Penyapu” Misterius Melesat ke Peringkat 7 Global

marsbit06/30 08:13

Dompet Cardano Dihantam Eksploitasi SecondFi Akibat Cacat Kunci Pribadi Picu Peringatan Keamanan

SecondFi, sebelumnya terkait dengan merek dompet Yoroi, menangguhkan layanannya setelah cacat kritis dalam perangkat lunak pembuatan dompet berbasis web mereka melaporkan mengekspos kunci privat dan mengakibatkan pencurian ADA besar. Insiden ini memicu peringatan mendesak bagi pengguna yang terdampak, namun sumber yang divalidasi menegaskan satu poin penting: ini bukanlah peretasan terhadap protokol blockchain Cardano itu sendiri. Kerentanan terletak pada proses pembuatan kunci privat di perangkat lunak dompet web SecondFi. Perkiraan awal menyebutkan 16 juta ADA dicuri dari 374 dompet, bernilai sekitar $2,4 juta. Firma keamanan SlowMist memperingatkan dampak totalnya bisa melebihi 129 juta ADA (lebih dari $20 juta). Jaringan Cardano sendiri tidak diretas; masalahnya terlokalisir pada perangkat lunak SecondFi. Peringatan keselamatan terkuat bagi pengguna yang terdampak adalah untuk TIDAK memulihkan frase seed yang telah dikompromikan ke dalam dompet lain, karena kunci privatnya sendiri mungkin telah bocor. Pengguna juga diperingatkan terhadap tautan pemulihan tidak resmi atau platform pengembalian dana pihak ketiga yang sering muncul pasca-eksploitasi. Insiden ini menjadi pengingat bahwa keamanan blockchain tidak berakhir di lapisan protokol. Proses pembuatan dompet, antarmuka berbasis browser, dan penanganan frase seed bisa menjadi titik kegagalan kritis. Fokus saat ini adalah membantu pengguna terdampak menghindari eksposur lebih lanjut sementara cakupan akhir insiden dikonfirmasi.

bitcoinist06/27 03:03

Dompet Cardano Dihantam Eksploitasi SecondFi Akibat Cacat Kunci Pribadi Picu Peringatan Keamanan

bitcoinist06/27 03:03

Peretas Mencuri Hampir $17 Juta dalam 40 Hari, "Kontrak Zombie" Menjadi Mesin Penarik Dana Peretas

Analisis oleh ZeroDrift pada 22 Juni 2026 mengungkapkan bahwa dalam 40 hari terakhir, penyerang telah mencuri sekitar $16,9 juta dari lima kontrak pintar yang sudah tidak digunakan tetapi masih aktif di blockchain. Kontrak yang sudah ditinggalkan oleh pengembang ternyata tidak serta-merta aman atau mati. Kontrak-kontrak ini masih dapat menyimpan dana, izin akses (allowance), atau fungsi yang dapat dipanggil, sehingga tetap menjadi target serangan yang menarik. Lima proyek yang terdampak adalah: - DxSale V1 Locker: rugi ~$7,3 juta. - TrustedVolumes: rugi ~$5,87 juta. - Aztec Connect: rugi ~$2,28 juta (dalam dua serangan). - Raydium Legacy AMM: rugi ~$1,34 juta. - Huma Finance V1 Pool: rugi ~$101 ribu. Kasus DxSale merupakan contoh nyata. Kontrak locker lamanya dirancang untuk mengunci likuiditas dalam jangka panjang, namun seiring waktu, perhatian tim beralih ke produk baru dan jalur kontrol lama terlupakan, akhirnya dieksploitasi. Serangan-serangan ini terjadi di berbagai sistem dan blockchain, menunjukkan masalah mendasar yang sama: kontrak lama yang sudah tidak menjadi fokus pengembangan masih menyimpan nilai ekonomi dan asumsi keamanan yang kedaluwarsa di dalamnya. Risiko ini diperburuk oleh analisis otomatis. Alat-alat yang dapat memindai kode publik, riwayat transaksi, dan mensimulasikan serangan membuat penemuan target rentan semacam ini menjadi lebih murah dan sistematis bagi penyerang. Industri keamanan DeFi telah memiliki proses audit yang matang untuk peluncuran kontrak baru, namun masih sangat kurang dalam hal disiplin untuk proses pensiun, migrasi, atau penonaktifan kontrak secara menyeluruh. Sebuah kontrak hanya benar-benar aman setelah semua dana, izin, akses, dan asumsi kepercayaan di dalamnya dicabut sepenuhnya.

marsbit06/26 09:14

Peretas Mencuri Hampir $17 Juta dalam 40 Hari, "Kontrak Zombie" Menjadi Mesin Penarik Dana Peretas

marsbit06/26 09:14

Tak Disangka, AI x Crypto yang Pertama Kali Berhasil Diterapkan adalah Audit Keamanan

**Ringkasan (Bahasa Indonesia)** Industri audit keamanan DeFi menghadapi tekanan besar akibat kemajuan AI. Walaupun data awal 2026 menunjukkan penurunan total nilai terkunci (TVL) DeFi sekitar 39%, serangan peretasan justru meningkat pesat—dengan 85 insiden pada kuartal kedua yang menyebabkan kerugian sekitar $775 juta. AI memungkinkan peretas untuk menemukan celah keamanan kontrak pintar dengan biaya dan keahlian yang jauh lebih rendah, bahkan menargetkan protokol lama yang sudah diaudit. Insiden pada Drift Protocol dan KelpDAO menunjukkan bahwa serangan kini mengeksploitasi kelemahan di luar kode murni, seperti rekayasa sosial dan konfigurasi infrastruktur yang buruk. Manuel Aráoz dari OpenZeppelin bahkan menyatakan bahwa semua DeFi tidak aman dalam konteks ini. Di sisi lain, AI juga meningkatkan kemampuan pertahanan. Alat audit berbasis AI seperti Firepan berhasil menemukan celah kritis pada kontrak Curve Finance yang luput dari audit manual sebelumnya. Contoh serupa terjadi pada Zcash, di mana AI menemukan kerentanan tersembunyi. Kesimpulannya, model audit satu kali yang lama sudah usang. Proyek harus melihat keamanan sebagai investasi berkelanjutan. Perusahaan audit pun harus beradaptasi, beralih dari layanan laporan statis ke model yang lebih terintegrasi, seperti pemantauan real-time dan verifikasi formal, untuk tetap relevan di era AI.

marsbit06/26 07:25

Tak Disangka, AI x Crypto yang Pertama Kali Berhasil Diterapkan adalah Audit Keamanan

marsbit06/26 07:25

Tak Terduga, Audit Keamanan adalah Aplikasi Pertama yang Terwujud dari AI x Crypto

Data menunjukkan, hingga Juni 2026, TVL DeFi turun sekitar 39% dari awal tahun. Di sisi lain, serangan keamanan di sektor DeFi telah menyebabkan kerugian sekitar $942 juta dalam 121 insiden sepanjang tahun. Munculnya alat AI canggih, seperti model Claude Mythos dari Anthropic, telah mengubah lanskap keamanan dengan drastis. Biaya dan keahlian yang dibutuhkan untuk menemukan kerentanan dalam kontrak pintar kini turun hampir ke nol, memungkinkan penyerang memindai ribuan kontrak secara sistematis dan mengeksploitasi celah dengan sangat cepat, bahkan pada protokol yang sudah diaudit. Insiden pada protokol seperti Drift Protocol dan KelpDAO membuktikan bahwa laporan audit tradisional yang hanya fokus pada kode tidak lagi memadai. Penyerang kini menargetkan logika bisnis, konfigurasi infrastruktur, dan kelemahan operasional. Celah pada kontrak lama yang telah berjalan bertahun-tahun juga kembali dieksploitasi berkat bantuan AI. Pernyataan pesimistis dari pendiri OpenZeppelin bahwa "semua DeFi tidak aman" mencerminkan tantangan struktural ini: pihak bertahan harus menutup semua celah, sementara penyerang hanya butuh satu pintu masuk. Menanggapi hal ini, proyek-proyek kini terdorong untuk melakukan audit ulang berdasarkan standar keamanan baru di era AI, meskipun lebih bersifat pertahanan. Perusahaan audit seperti CertiK dan OpenZeppelin beradaptasi dengan mengembangkan sistem audit berbantuan AI, beralih dari model laporan satu kali ke layanan pemantauan berkelanjutan dan verifikasi formal. Contohnya, alat audit AI Firepan berhasil menemukan kerentanan kritis yang terlewat oleh enam auditor manusia pada kontrak Curve Finance. AI juga membuktikan kemampuannya dalam audit proyek privasi seperti Zcash. Kesimpulannya, fusi AI dan Crypto paling dahsyat dampaknya di audit keamanan. Era keamanan sebagai pemeriksaan satu kali sebelum peluncuran telah berakhir. Keamanan kini harus menjadi infrastruktur berkelanjutan bagi proyek, sementara perusahaan audit harus berevolusi dari penyedia jasa pasif menjadi mitra defensif proaktif yang terintegrasi penuh. Masa depan akan dimenangkan oleh pihak yang paling cepat beradaptasi dan memanfaatkan AI untuk pertahanan.

链捕手06/26 07:18

Tak Terduga, Audit Keamanan adalah Aplikasi Pertama yang Terwujud dari AI x Crypto

链捕手06/26 07:18

Eksploitasi Dompet Cardano: SecondFi Lacak Serangan ke Cacat Kunci Pribadi, Peringatkan Pengguna untuk Tidak Memulihkan Frase Pemulihan

SecondFi telah mengidentifikasi akar penyebab eksploitasi yang menargetkan ratusan dompet Cardano baru-baru ini. Masalahnya berasal dari **cacat dalam derivasi nonce deterministik di penanda perangkat lunak** mereka, yang memungkinkan penyerang merekonstruksi kunci pribadi dari data blockchain yang tersedia publik setelah alamat terkait menandatangani transaksi. Eksploitasi ini menguras sekitar **16 juta ADA** (senilai $2,4 juta) dari **374 alamat dompet** dalam empat peristiwa terpisah. SecondFi memperingatkan bahwa kerentanan ada di tingkat kunci pribadi, sehingga pengguna yang terdampak **tidak boleh memulihkan frase pemulihan mereka ke dompet lain**, karena alamat yang sama tetap akan terekspos dan dapat dikuras kembali. Sebagai tanggapan, SecondFi telah memulai program pemulihan, memetakan semua dompet yang terdampak, dan mengamankan sekitar **129 juta ADA** dalam upaya penahanan darurat. Perusahaan juga telah mengidentifikasi dua kelompok penyerang yang bertanggung jawab dan mendirikan dana restorasi khusus. Platform saat ini masih dalam mode pemeliharaan sementara audit keamanan independen berlangsung.

ambcrypto06/25 16:19

Eksploitasi Dompet Cardano: SecondFi Lacak Serangan ke Cacat Kunci Pribadi, Peringatkan Pengguna untuk Tidak Memulihkan Frase Pemulihan

ambcrypto06/25 16:19

活动图片

Kategori Populerright-arrow

Tag Populerright-arrow