Kripto Rugi $1,3 Miliar Semester Ini, CertiK: Penyerang Kini Incar Manusia, Bukan Kode

Angka total kerugiannya memang terlihat sedikit turun dari tahun lalu, tapi menurut kepala perusahaan keamanan Web3 ini, penurunan itu justru menyembunyikan cerita yang jauh lebih mengkhawatirkan di baliknya.

Proyek-proyek kripto kehilangan sekitar 1,32 miliar dolar AS akibat peretasan, eksploitasi, dan penipuan sepanjang semester pertama 2026, menurut laporan Hack3D dari perusahaan keamanan Web3, CertiK. Total kerugian ini tercatat dari 344 insiden yang terjadi antara Januari hingga Juni 2026. Setelah memperhitungkan dana yang berhasil dibekukan atau ditarik kembali, kerugian bersihnya turun menjadi sekitar 1,2 miliar dolar AS.

Bukan Soal Total, tapi Soal Pola Distribusinya

Bagi Ronghui Gu, co-founder sekaligus CEO CertiK, yang mengejutkan dari laporan semester ini bukan angka totalnya, melainkan pola distribusi kerugiannya. "Yang paling menonjol adalah bentuk kerugiannya. Porsi besar dari kerusakan di semester ini berasal dari hanya dua insiden, Kelp DAO dan Drift Protocol, yang menyumbang hampir 44 persen dari seluruh kerugian. Keduanya merupakan kegagalan keamanan operasional dan infrastruktur, bukan kerentanan kode dalam pengertian tradisional," tulis Gu.

Kedua insiden tersebut, eksploitasi Kelp DAO senilai 291,3 juta dolar AS dan pembobolan Drift Protocol senilai 285,3 juta dolar AS, sama-sama terjadi pada April 2026 dan bersama-sama merenggut sekitar 576,6 juta dolar AS, tanpa satu pun menyentuh kode yang telah diaudit dari kedua protokol tersebut.

Kelp DAO, protokol liquid restaking, kehilangan sekitar 292 juta dolar AS setelah penyerang berhasil memalsukan pesan cross-chain yang terkait dengan bridge rsETH mereka, yang menggunakan teknologi LayerZero. Sementara itu, insiden Drift Protocol diduga menggabungkan teknik social engineering dengan pembajakan proses administratif, bukan sekadar pencurian kunci sederhana.

Perbandingan dengan 2025 Bisa Menyesatkan

Sekilas, angka kerugian H1 2026 terlihat lebih rendah dibanding periode yang sama tahun lalu, yang tercatat mencapai 2,47 miliar dolar AS. Namun perbandingan ini menyesatkan, karena hampir seluruh total H1 2025 didominasi satu insiden tunggal, yaitu peretasan Bybit senilai 1,45 miliar dolar AS pada Februari 2025, yang saat itu menjadi eksploitasi terbesar dalam sejarah kripto.

Jika insiden Bybit dikeluarkan dari perhitungan, angka kerugian H1 2025 sebenarnya hanya sekitar 1,03 miliar dolar AS. Dengan perbandingan yang lebih setara ini, kerugian H1 2026 justru naik sekitar 28 persen. Dengan kata lain, industri kripto tidak menjadi lebih aman, yang berubah hanyalah pola serangannya.

Wallet Compromise Jadi Vektor Serangan Paling Merugikan

Berdasarkan kategori vektor serangan, kompromi dompet atau wallet compromise tercatat sebagai kategori paling merugikan secara finansial di semester ini, menghasilkan kerugian lebih dari 444 juta dolar AS hanya dari 33 insiden. Phishing menempati posisi kedua dengan kerugian 366,3 juta dolar AS dari 63 insiden, meski jumlah insiden phishing sebenarnya turun 52,3 persen dibanding periode yang sama tahun lalu. Yang menarik, kerugiannya hanya turun 10,8 persen, mencerminkan pergeseran signifikan menuju serangan yang jumlahnya lebih sedikit namun nilainya jauh lebih besar per kejadian.

Sementara itu, kerentanan kode tradisional menyumbang kerugian 151,6 juta dolar AS dari 204 insiden, jumlah insiden terbanyak dari seluruh kategori vektor serangan, namun dengan nilai kerugian per insiden yang jauh lebih kecil dibanding kompromi dompet maupun phishing.

Laporan tersebut juga mencatat bahwa kampanye phishing skala luas kini bergeser menjadi serangan social engineering yang sangat tertarget, menyasar individu atau entitas yang menguasai kekayaan on-chain dalam jumlah besar. Hanya empat insiden semacam ini menyumbang sekitar 85 persen dari total kerugian akibat phishing sepanjang semester.

Kuartal Kedua Melonjak Tajam

Data per kuartal menunjukkan tren yang semakin memburuk. Kerugian pada kuartal kedua 2026 melonjak 59 persen dibanding kuartal sebelumnya, mencapai 807,5 juta dolar AS, dengan insiden Kelp DAO dan Drift Protocol menyumbang lebih dari 70 persen dari kerugian kuartal tersebut.

Data pembanding dari firma analitik blockchain TRM Labs turut memperkuat gambaran ini. Mereka mencatat 207 insiden terpisah sepanjang enam bulan, rekor tertinggi untuk periode setengah tahun dalam catatan mereka. Mayoritas kasus, sekitar 125 serangan atau 60 persen dari total, merupakan peretasan smart contract. Namun kerugian terbesar justru berasal dari kompromi infrastruktur dan operasional, yang meski hanya menyumbang sekitar 15 persen dari total insiden, bertanggung jawab atas sekitar 76 persen dari total kerugian keseluruhan.

TRM Labs juga memperkirakan kelompok yang terkait dengan Korea Utara bertanggung jawab mencuri sekitar 643 juta dolar AS, atau sekitar 66 persen dari total kerugian yang berhasil dilacak ke pelaku yang didukung negara.

Penyerang Sudah Lebih Dulu Memahami Pergeseran Ini

Ido Sofer, pendiri firma manajemen kunci kripto Sodot, mengungkapkan dalam podcast On The Margin bahwa para penyerang tampaknya sudah lebih dulu memahami pergeseran pola serangan ini dibanding pihak yang bertugas mempertahankan sistem. "Anda bisa melihat semua peretasan terbaru, mulai dari Bybit hingga berlanjut ke banyak kasus lain, termasuk yang terbaru seperti Resolve, Drift, dan lainnya," ujar Sofer, merujuk pada pola serangan yang konsisten menyasar infrastruktur dan proses operasional, bukan lagi murni celah dalam kode program.

CertiK merekomendasikan agar industri kripto memperkuat keamanan infrastruktur hardware, manajemen tanda tangan digital, serta prosedur akses dana, sebagai langkah mitigasi menghadapi pergeseran pola serangan ini. Laporan tersebut juga mengingatkan soal ancaman yang mulai muncul ke permukaan, termasuk potensi risiko dari agen AI yang memiliki akses langsung ke dompet kripto, serta semakin canggihnya kemampuan aktor yang didukung negara, khususnya kelompok yang terkait dengan Korea Utara, dalam melancarkan serangan skala besar terhadap ekosistem Web3.