Hacks dan Penipuan Kripto Terbesar hingga Saat Ini pada 2026

Peretasan, penipuan, dan eksploitasi kripto menyebabkan lebih dari $1,3 miliar kerugian kotor pada paruh pertama 2026, dengan beberapa insiden besar mendominasi total yang tercatat. TL;DR

• Hacks, scams, dan exploits kripto menyebabkan $1,316 miliar kerugian kotor pada paruh pertama 2026.
• Kelp DAO, Drift Protocol, dan satu korban phishing terarah menyumbang sekitar 65% dari total tersebut.
• Insiden terbesar mengompromikan infrastruktur RPC, izin administratif, sistem penandatangan, atau perangkat istimewa, bukan kode kontrak pintar publik.
• Peringkat ini disusun pada 17 Juli, menyisakan 167 hari, atau 45,8% dari tahun, untuk insiden baru, pemulihan, dan atribusi yang direvisi sehingga mengubah daftar.

Kerugian keamanan kripto mencapai $1,316 miliar dari 344 insiden pada paruh pertama 2026, menurut laporan keamanan H1 CertiK. Sekitar $115,3 juta dibekukan atau dikembalikan, sehingga kerugian yang disesuaikan turun menjadi sekitar $1,2 miliar. Perbaikan yang tampak dibanding 2025 perlu konteks. Total paruh pertama tahun sebelumnya mencakup pelanggaran Bybit yang luar biasa senilai $1,45 miliar. Setelah satu peristiwa itu dikecualikan, CertiK memperkirakan kerugian yang sebanding meningkat sekitar 28% pada 2026. Distribusi kerugian tersebut sama pentingnya dengan totalnya. Biaya rata-rata per insiden sekitar $3,82 juta, sementara kerugian median hanya $138.703. Rata-rata itu lebih dari 27 kali median, menunjukkan bahwa sejumlah kecil kegagalan ekstrem mendorong hasil keseluruhan. Hanya tiga insiden—Kelp DAO, Drift Protocol, dan pencurian phishing terarah senilai $284 juta—menyumbang sekitar 65% dari semua kerugian paruh pertama yang dilaporkan. Perlu Lebih dari Satu Angka untuk Peringkat Kerugian Laporan insiden kripto sering membandingkan angka yang mengukur bentuk kerusakan yang berbeda.

Kerugian kotor

Nilai yang dihapus dari protokol atau korban sebelum pemulihan.

Ekstraksi yang terealisasi

Aset yang berhasil diubah penyerang menjadi nilai ekonomi yang dapat dipindahkan.

Kerugian bersih

Jumlah yang masih hilang setelah pembekuan, pengembalian, pembayaran kembali, dan pemulihan.

Kewajiban pengguna

Klaim yang terutang oleh sebuah platform, yang bisa lebih besar atau lebih kecil daripada hasil awal penyerang.

Eksposur notional

Nilai teoretis aset yang diterbitkan secara fraudulently atau ditempatkan dalam risiko, bahkan ketika penyerang tidak bisa mencairkan seluruh jumlah.

Peringkat di bawah terutama memakai kerugian kotor yang dilaporkan. Pemulihan, penilaian yang dipersengketakan, serta perbedaan antara hasil penyerang dan kewajiban platform dinyatakan terpisah. Untuk insiden yang melibatkan pembuatan token yang tidak didukung, ekstraksi yang terealisasi lebih bermakna dibanding nilai nominal dari pasokan fraud. Jika tidak, penyerang yang membuat token illikuid senilai $100 juta tetapi mengekstrak $1 juta jaminan riil dapat secara keliru diberi peringkat seolah-olah mencuri seluruh $100 juta. Kerugian Kripto Terbesar yang Dilaporkan pada 2026

1. Kelp DAO – $292 Juta Pada 18 April, para penyerang membuat kontrak bridge Ethereum Kelp melepas sekitar 116.500 rsETH tanpa pembakaran token yang sesuai di rantai sumber. Investigasi Chainalysis menemukan bahwa penyerang mengompromikan dua node RPC internal yang digunakan oleh LayerZero’s Decentralized Verifier Network sekaligus mengganggu endpoint RPC eksternal melalui serangan distributed denial-of-service. Node yang dimanipulasi melaporkan burn pada rantai sumber yang tidak pernah terjadi. Karena konfigurasi bridge Kelp bergantung pada satu verifier, tidak diperlukan jaringan independen kedua untuk mengonfirmasi apakah burn yang dilaporkan itu benar. Kontrak tujuan menerima pesan yang terformat dan ditandatangani dengan benar lalu melepaskan aset persis seperti yang diprogram. Kegagalan terjadi pada infrastruktur penyedia informasi ke kontrak, bukan pada eksekusi kontrak terhadap informasi tersebut. Kelp menghentikan kontrak yang terdampak dengan cukup cepat untuk menghentikan upaya penarikan kedua yang melibatkan sekitar 40.000 rsETH, lalu senilai sekitar $95 juta. Setelah itu, Arbitrum Security Council membekukan 30.766 ETH yang terkait dengan aktivitas penyerang di hilir. Chainalysis dan LayerZero mengatribusikan operasi tersebut kepada Lazarus Group milik Korea Utara, khususnya subkelompok TraderTraitor. Atribusi dibuat oleh pihak yang terlibat langsung dalam investigasi, meski kesimpulan terkait aktor yang disponsori negara mungkin masih berkembang seiring bukti tambahan muncul. Jumlah yang dibekukan tidak menghapus kegagalan pencatatan bridge yang asli. Kerugian kotor, dana yang masih bisa dipulihkan, hasil penyerang, dan sisa kekurangan dukungan apa pun harus diperlakukan sebagai angka terpisah.
2. Drift Protocol – $285 Juta Drift Protocol kehilangan sekitar $285 juta pada 1 April setelah penyerang mendapatkan kontrol administratif atas Security Council-nya. Menurut Chainalysis, individu yang menyamar sebagai perwakilan perusahaan trading kuantitatif menghabiskan berbulan-bulan membangun hubungan dengan kontributor Drift. Pada akhirnya, anggota Security Council dibujuk untuk menandatangani transaksi menggunakan fitur durable-nonce milik Solana, yang memungkinkan transaksi yang ditandatangani dengan valid ditahan dan dieksekusi pada waktu berikutnya. Transaksi itu memindahkan kontrol administratif ke alamat yang dikendalikan penyerang. Setelah otoritas tersebut diperoleh, penyerang menghapus batas penarikan, menyetujui token yang hampir tidak bernilai bernama CVT sebagai jaminan, memberikan penilaian artifisial, dan menyetor 500 juta unit. Posisi yang dihasilkan digunakan untuk menarik USDC, SOL, ETH, dan aset lain yang memiliki nilai eksternal riil. Pengambilalihan administratif terjadi melalui dua transaksi yang dijalankan terpaut satu detik, tetapi penarikan berikutnya berlanjut dalam periode yang lebih panjang. Mendeskripsikan seluruh kerugian $285 juta seolah-olah terjadi dalam 10 detik karena itu tidak akurat. Chainalysis menumpukan bagian dari rekonstruksinya pada investigasi internal Drift dan mencatat bahwa akun tersebut belum diverifikasi independen melalui peninjauan pihak ketiga yang sudah selesai. Bukti awal konsisten dengan operasi Korea Utara sebelumnya, tetapi atribusi formal masih tertunda. Drift kemudian membahas sekitar $295 juta kerugian pengguna. Angka yang lebih tinggi itu tampaknya mencerminkan kewajiban platform, bukan hasil awal penyerang, sehingga tidak boleh diperlakukan sebagai estimasi alternatif untuk jumlah yang sama.
3. Kerugian Phishing Terarah yang Dilaporkan CertiK – $284 Juta Seorang individu tunggal kehilangan sekitar $284 juta dalam insiden social-engineering terarah pada Januari, menurut CertiK. Identitas korban dan rangkaian urutan serangan lengkap belum diumumkan secara publik. Ini membatasi kesimpulan yang bisa ditarik secara bertanggung jawab terkait konfigurasi wallet, metode social-engineering yang presisi, dan prospek pemulihan. Skalanya tetap signifikan. Satu wallet yang dikendalikan secara privat menghasilkan kerusakan finansial hampir sebesar kebocoran Drift Protocol dan melampaui total gabungan kerugian dari sebagian besar eksploit protokol yang lebih kecil yang tercatat pada paruh pertama tahun itu. CertiK menghitung $366,3 juta kerugian phishing di 63 insiden pada H1. Jumlah kasus phishing turun 52,3% dibanding periode yang sama di 2025, tetapi kerugian turun hanya 10,8%. Empat insiden menyumbang sekitar 85% dari seluruh kerugian phishing. Data menunjukkan perubahan pemilihan target, bukan hilangnya phishing. Kampanye luas masih umum, tetapi hasil finansial kini semakin ditentukan oleh sejumlah kecil operasi yang dipersiapkan dengan cermat dan diarahkan pada orang atau organisasi yang mengendalikan kekayaan onchain dalam jumlah besar.
4. Step Finance – Sekitar $40 Juta Step Finance mengatakan sekitar $40 juta telah dikuras dari treasury pada 31 Januari setelah perangkat yang digunakan oleh anggota tim eksekutif mereka dikompromikan. Dalam pembaruan insiden resminya, proyek tersebut mengatakan pihaknya memulihkan sekitar $3,7 juta dalam aset Remora dan tambahan $1 juta di posisi lain.

Pernyataan tentang Insiden Keamanan Baru

Pada awal sore 31 Januari (APAC), sekitar $40M dikuras dari treasury Step Finance. Ini terjadi akibat perangkat tim eksekutif kami dikompromikan.

Segera setelah mendeteksi pelanggaran, kami mulai bekerja…

— Step☀️ (@StepFinance_) 2 Februari 2026

Estimasi onchain sebelumnya menempatkan kerugian lebih dekat ke $27 juta karena mereka berfokus pada sekitar 261.854 SOL yang awalnya teridentifikasi meninggalkan wallet treasury. Angka Step yang belakangan mencakup kelompok aset terdampak yang lebih luas. Menggunakan estimasi kotor proyek sebesar $40 juta sembari melaporkan secara terpisah jumlah yang berhasil dipulihkan menghasilkan gambaran yang lebih lengkap dibanding memilih satu angka tanpa menjelaskan mengapa estimasinya berbeda. Dampak finansial serangan juga bisa meluas di luar jumlah yang dipindahkan ke penyerang. Pendanaan darurat, biaya hukum, kompensasi pengguna, operasi yang terhenti, dan pendapatan yang hilang dapat membuat dampak bisnis akhirnya lebih besar daripada penarikan onchain awal. 5. Humanity Protocol – $36 Juta Humanity Protocol mengalami serangan pada 9 Juni setelah sebuah perangkat yang dikompromikan mengekspos data wallet dan private key yang terkait dengan akun-akun proyek yang memiliki hak istimewa. Dalam penjelasan resminya, Humanity mengatakan penyerang menyalin private key dari perangkat dan menggunakannya untuk mengeksekusi serangan onchain. Proyek ini juga mengatakan kontrak token H milik Ethereum dilindungi oleh clean multisig terpisah dan jembatan mainnet kanoniknya tidak dikompromikan.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 Juni 2026

Estimasi yang dipublikasikan berkisar dari sekitar $31 juta hingga $36 juta, sebagian karena token H yang dicuri dinilai pada harga pasar yang berbeda dan pada tahap kejadian yang berbeda. Masalah struktural yang lebih penting adalah terkonsentrasinya beberapa kredensial istimewa pada satu endpoint yang dikompromikan. Pengaturan multisignature hanya memberikan perlindungan yang bermakna jika kuncinya dipisahkan di berbagai orang, perangkat, lokasi, dan lingkungan administratif. Beberapa kredensial yang tersimpan di atau bisa dipulihkan dari komputer yang sama dapat memenuhi ambang tanda tangan onchain sambil tetap beroperasi sebagai satu titik kegagalan praktis. 6. Resolv Protocol – Sekitar $26,8 Juta Resolv Protocol dieksploitasi pada 22 Maret setelah seorang penyerang mengompromikan infrastruktur cloud-nya dan mendapatkan akses ke kunci yang dikendalikan melalui AWS Key Management Service. Resolv menggunakan layanan offchain untuk mengotorisasi pembuatan USR setelah pengguna menyetor jaminan. Menurut analisis insiden CertiK, penyerang membuat deposit USDC yang relatif kecil namun sah, lalu menggunakan peran layanan yang dikompromikan untuk mengotorisasi sekitar 80 juta USR melalui dua transaksi. Kontrak memverifikasi bahwa otorisasi berasal dari layanan yang disetujui. Kontrak menetapkan output minimum tetapi tidak menegakkan jumlah maksimum yang terkait dengan jaminan yang disetor oleh pengguna. Begitu layanan istimewa dikompromikan, penyerang bisa menghasilkan signature yang valid secara kriptografis tetapi tidak didukung secara ekonomi. Ini tidak berarti layanan manajemen kunci cloud secara inheren tidak cocok untuk infrastruktur kripto. Masalah desain yang lebih besar adalah besarnya otoritas ekonomi tanpa batas yang diberikan ke satu peran layanan. Kunci yang diproteksi tetap bisa menjadi titik kegagalan bencana ketika kontrak yang menerima signaturnya tidak secara independen menegakkan rasio jaminan, batas pencetakan (minting ceilings), batas transaksi, atau kecepatan penarikan (withdrawal velocity). 7. Truebit – $26 Juta Truebit dieksploitasi pada 8 Januari melalui kerentanan integer-overflow dalam kontrak bonding-curve yang dideploy pada 2021. Kontrak telah dikompilasi dengan Solidity 0.5.3, sebelum perlindungan overflow otomatis diperkenalkan di Solidity 0.8.0. Seorang penyerang memasok nilai yang luar biasa besar sehingga perhitungan aritmatika melingkar menjadi angka yang mendekati nol. Ini memungkinkan kuantitas TRU yang besar dicetak dengan hampir tanpa ETH, lalu ditebus menjadi ETH riil yang dipegang oleh kontrak. Chainalysis memperkirakan kerugian utama sebesar $26,2 juta. CertiK menempatkan total gabungan lebih dekat ke $26,6 juta, termasuk sekitar $224.000 yang diekstrak oleh penyerang kedua. Implementasi yang rentan tersebut belum diverifikasi secara publik di Etherscan. Itu tidak mencegah para penyerang untuk menelusurinya. Bytecode kontrak bisa didekompilasi, perilaku kompilator lama bisa diidentifikasi, dan kerentanan yang diduga bisa diuji melalui simulasi atau blockchain fork. Truebit adalah pengecualian besar yang paling jelas terhadap pola umum yang terlihat pada 2026. Kerugiannya berasal dari logika eksekusi publik, bukan dari otoritas operasional yang dikompromikan. Ini juga menunjukkan mengapa kontrak yang dorman harus tetap berada dalam ruang lingkup audit, monitoring, dan bug-bounty selama masih mempertahankan dana atau izin. Mengapa Echo Protocol Tidak Masuk sebagai Pencurian Senilai $76,7 Juta Echo Protocol kadang digambarkan mengalami kerugian $76,7 juta karena seorang penyerang menggunakan kunci administrator yang dikompromikan untuk mencetak 1.000 eBTC yang tidak didukung (unbacked) dengan nilai notional tersebut. Penyerang tidak mengekstrak aset riil senilai $76,7 juta. Menurut Merkle Science, 45 dari eBTC fraud tersebut disetor ke protokol lending Curvance. Penyerang meminjam sekitar 11,29 WBTC, senilai sekitar $867.000, sebelum 955 eBTC unbacked yang tersisa dibakar. Jadi angka yang akurat adalah:

• Penerbitan fraud: Sekitar $76,7 juta dalam eBTC notional.
• Aset riil yang diekstrak: Sekitar $867.000 dalam WBTC.
• Pasokan unbacked yang tersisa: Dibakar setelah insiden.

Mengklasifikasikan seluruh jumlah notional sebagai dicuri akan melebih-lebihkan kerusakan yang terealisasi hingga hampir 90 kali. Echo tetap mengungkap masalah risiko jaminan yang penting. Oracle Curvance mengenali nilai pasar yang diberikan ke eBTC dengan benar, tetapi ia tidak bisa menentukan bahwa token-token tertentu itu dibuat tanpa dukungan. Integritas harga tidak sama dengan integritas penerbitan (issuance). Protokol lending yang menerima jaminan yang diterbitkan secara eksternal memerlukan kontrol untuk pembuatan pasokan abnormal, perubahan otoritas minting, setoran jaminan mendadak, verifikasi dukungan, dan risiko administratif di tingkat penerbit. Feed harga yang benar tidak bisa menjawab pertanyaan-pertanyaan itu sendirian. Kegagalan Umum Ada pada Control Plane Insiden terbesar 2026 tidak berbagi satu kerentanan kode. Mereka berbagi kelemahan pada sistem yang bertanggung jawab menentukan apa yang diizinkan dilakukan oleh kode tersebut. Dalam istilah infrastruktur tradisional, lapisan eksekusi memproses aktivitas biasa, sementara control plane menentukan izin, konfigurasi, sumber data tepercaya, dan tindakan luar biasa.

Pembedaan itu sangat terkait dengan insiden terbesar:

Kelp: Sebuah verifier menerima versi aktivitas rantai sumber yang dipalsukan.

Drift: Signature valid memindahkan kontrol administratif.

Step: Perangkat eksekutif yang dikompromikan mengekspos otoritas treasury.

Humanity: Endpoint yang dikompromikan mengekspos kunci istimewa.

Resolv: Peran layanan yang dikompromikan menciptakan otorisasi yang valid namun tidak didukung secara ekonomi.

Echo: Satu kunci administrator bisa memberikan otoritas minting tanpa batas.

Truebit: Pengecualian berasal dari kekeliruan aritmatika dalam kode kontrak lama.

CertiK mencatat 204 insiden kerentanan kode pada paruh pertama tahun ini, menghasilkan sekitar $151,6 juta kerugian. Kompromi wallet menyebabkan $444,5 juta kerugian hanya di 33 insiden. Hasilnya adalah rata-rata sekitar $743.000 per insiden kerentanan kode dan $13,5 juta per insiden kompromi wallet. Rata-rata, kompromi wallet sekitar 18 kali lebih mahal. Perbandingan ini tidak membuat audit smart contract menjadi kurang penting. Audit kontrak sementara mengecualikan penandatangan (signers), dependensi RPC, antarmuka administratif, peran cloud, dan kontrol darurat menyisakan bagian besar dari sistem keuangan tanpa pengujian. Lima Kontrol yang Menangani Kegagalan yang Sebenarnya Tegakkan Batas Ekonomi Setelah Autentikasi Signature yang valid seharusnya membuktikan siapa yang menyetujui suatu tindakan. Signature tidak boleh memberikan otoritas ekonomi tanpa batas. Minting, bridging, persetujuan jaminan, dan penarikan masih bisa dibatasi melalui ukuran maksimum transaksi, batas bergulir (rolling limits), rasio jaminan, penundaan waktu, batas khusus aset, dan jeda otomatis. Kontrol ini mungkin tidak mencegah kompromi kredensial, tetapi dapat menghentikan satu kunci yang dikompromikan agar tidak langsung menciptakan kewajiban tanpa batas. Ukur Independensi, Bukan Jumlah Kunci Multisig 3-of-5 tidak didistribusikan secara bermakna ketika tiga kunci bisa dipulihkan dari satu laptop atau dikendalikan melalui akun perusahaan yang sama. Panduan NIST tentang manajemen kunci menekankan kontrol siklus hidup termasuk otorisasi, cadangan, akuntabilitas, pemisahan tugas, respons terhadap kompromi, dan perlindungan material pembentukan kunci. Protokol harus mengidentifikasi apakah signer yang seharusnya independen berbagi perangkat, password manager, tenant cloud, prosedur pemulihan, lokasi fisik, atau jalur pelaporan. Pantau Relasi, Bukan Hanya Transaksi Setiap transaksi individual dalam eksploit Kelp tampak valid. Kegagalan yang terdeteksi adalah hilangnya relasi antara dua rantai: rsETH dilepas di Ethereum tanpa dibakar di rantai sumber. Monitoring bridge harus secara kontinu merekonsiliasi lock, burn, mint, dan release di setiap jaringan yang relevan. Pemeriksaan invariant yang serupa dapat membandingkan jaminan yang disetor terhadap token yang dicetak, cadangan terhadap pasokan yang beredar, dan batas penarikan yang disetujui terhadap outflow yang sebenarnya. Simulasikan Niat Administratif Sebelum Menandatangani Hardware wallet melindungi private key, tetapi tidak bisa menentukan apakah pengguna yang sah menyetujui transaksi yang berbahaya. Transaksi administratif harus didekode dan disimulasikan di lingkungan terpisah sebelum dieksekusi. Para penanda tangan perlu melihat perubahan izin yang dihasilkan, aset jaminan yang baru disetujui, parameter penetapan harga, batas penarikan, upgrade kontrak, dan pemindahan kepemilikan—bukan hanya hash transaksi atau prompt wallet yang buram. Simpan Kontrak Warisan (Legacy) di Dalam Perimeter Keamanan Sebuah kontrak tidak menjadi lebih aman karena telah beroperasi tanpa insiden selama beberapa tahun. Setiap deployment yang menahan aset, memproses redeem, mengontrol izin protokol, atau tetap terhubung dengan produk yang masih berjalan harus memiliki kode sumber yang diverifikasi, asumsi kompilator yang didokumentasikan, monitoring aktif, serta dimasukkan dalam program audit dan bug-bounty. Dekomplikasi berbantuan AI dapat mengurangi waktu yang dibutuhkan penyerang untuk mengidentifikasi kekeliruan aritmatika lama, masalah access-control, atau celah validasi. Keamanan melalui pengaburan (security through obscurity) menjadi kurang efektif saat alat-alat tersebut meningkat. AI Sedang Memperkuat Model Penipuan yang Sudah Ada AI tidak menciptakan kerentanan inti di balik Kelp, Drift, Resolv, atau Echo. Efeknya yang paling segera adalah menurunkan biaya untuk riset target, pemalsuan identitas, lokalisasi, dan komunikasi berkelanjutan. Laporan Kejahatan Kripto 2026 Chainalysis, yang menganalisis aktivitas 2025, menemukan operasi scam dengan tautan yang teridentifikasi ke penyedia layanan AI sekitar 4,5 kali lebih menguntungkan dibanding scam tanpa tautan tersebut. Bukti itu tidak boleh disajikan sebagai bukti bahwa setiap serangan canggih pada 2026 menggunakan AI. Ini menunjukkan bahwa operasi berbantuan AI sudah menghasilkan imbal hasil yang lebih tinggi dan dapat membuat beberapa teknik yang sudah mapan lebih mudah untuk diskalakan:

Identitas Sintetis

Pemalsuan video dan suara untuk meniru.

Penyelidikan Lanjutan

Riset target di jaringan sosial dan profesional.

Social Engineering Multibahasa

Percakapan panjang dalam beberapa bahasa.

Phishing Adaptif

Antarmuka yang dikloning dan halaman phishing yang dipersonalisasi.

Riset Kerentanan yang Diotomatisasi

Analisis otomatis terhadap kontrak dan bytecode yang didekompilasi.

Perkembangan yang mungkin adalah kombinasi metode sosial dan teknis. Social engineering mendapatkan kredensial atau otorisasi; izin protokol yang sudah ada mengubah akses itu menjadi kerugian finansial. Perubahan Regulasi: Akuntabilitas, Bukan Mekanika Eksploit Masa transisi MiCA Uni Eropa berakhir pada 1 Juli 2026. Penyedia layanan aset kripto yang tercakup umumnya kini memerlukan otorisasi untuk terus beroperasi di UE, dengan tunduk pada ruang lingkup regulasi dan keputusan pengawas nasional. MiCA dapat memperkuat tata kelola, custody, kontrol operasional, dan akuntabilitas. MiCA tidak bisa menentukan apakah sebuah bridge memakai verifier independen, apakah kunci istimewa dipisahkan dengan benar, atau apakah penandatangan yang diotorisasi memahami transaksi yang berbahaya. Undang-Undang GENIUS AS ditandatangani menjadi undang-undang pada 18 Juli 2025 dan menetapkan kerangka federal untuk payment stablecoins. Itu bukan rezim umum untuk keamanan siber bagi setiap bridge, exchange, wallet, atau protokol DeFi. Regulasi menentukan siapa yang bertanggung jawab dan perlindungan (safeguards) apa yang harus ada. Rekayasa keamanan menentukan apakah pesan palsu, kunci yang dikompromikan, atau persetujuan berbahaya dapat dieksekusi sebelum perlindungan tersebut merespons. Hal yang Perlu Dipantau Sepanjang Sisa 2026 Gambaran keamanan akhir 2026 seharusnya dinilai melalui lebih dari sekadar akumulasi kerugian headline.

Kecerdasan Keamanan: Indikator Kunci

Konsentrasi kerugian

Apakah beberapa insiden ekstrem terus mendominasi total tahunan.

Permukaan serangan

Apakah kompromi wallet, administratif, cloud, dan infrastruktur tetap lebih mahal daripada eksploit kode.

Kerusakan yang disesuaikan pemulihan

Seberapa besar yang masih hilang setelah pembekuan, pembayaran kembali, dan pengembalian yang dinegosiasikan.

Kualitas atribusi

Apakah tautan awal ke kelompok yang disponsori negara didukung oleh investigasi yang selesai.

Adopsi kontrol

Apakah protokol memperkenalkan verifikasi independen, simulasi transaksi, pemisahan kunci, dan batas ekonomi yang dapat ditegakkan sebelum serangan besar berikutnya.

Peringkat ini adalah cuplikan yang disiapkan pada 17 Juli, bukan catatan final untuk tahun tersebut. Hampir 46% dari 2026 masih tersisa, dan angka kerugian historis bisa terus berubah melalui pemulihan aset, revisi harga token, wallet yang baru teridentifikasi, serta pembedaan yang lebih jelas antara eksposur notional dan pencurian yang terealisasi. Bukti mendukung kesimpulan yang lebih sempit: insiden dengan nilai tertinggi semakin menargetkan sistem control yang mengelilingi smart contract, signers, perangkat, infrastruktur RPC, layanan istimewa, dan jaringan verifikasi—bukan semata-mata logika kontraknya.

Artikel ini hanya untuk tujuan edukasi. Penilaian insiden dapat berubah karena pergerakan harga aset, pemulihan, atribusi yang direvisi, dan perbedaan antara eksposur kotor, ekstraksi yang terealisasi, serta kerugian bersih.