Firma keamanan blockchain Hacken merilis laporan kuartalan terbaru yang mengungkap lonjakan tajam insiden kejahatan siber di industri Web3 sepanjang kuartal ketiga 2026. Berdasarkan data riset tersebut, total dana kripto yang raib akibat peretasan menembus angka $1,18 miliar dari 107 insiden keamanan yang terdokumentasi. Nilai kerugian ini melonjak sebesar 55% dibandingkan kuartal kedua 2026 yang mencatatkan kerugian $763,9 juta dari 67 kasus. Hacken memperingatkan bahwa label audit keamanan yang dipajang proyek kripto sering kali memberikan rasa aman semu kepada investor, mengingat 77% dari total kerugian justru berasal dari celah vendor eksternal, perbaikan keamanan yang tertunda, serta komponen infrastruktur yang berada di luar cakupan pemeriksaan auditor.
Celah Vendor dan Komponen di Luar Cakupan Audit
Riset Hacken menyoroti bahwa sekitar $906,8 juta atau 77% dari total kerugian kuartal ketiga 2026 bersumber dari pemasok perangkat lunak yang disusupi peretas, alat pengembang yang terinfeksi, keterlambatan penerapan perbaikan keamanan publik, dan komponen sistem yang sengaja dikecualikan dari audit. Kondisi ini membuktikan bahwa kehadiran sertifikat audit kode tidak menjamin keamanan platform secara menyeluruh. Banyak tim pengembang membatasi cakupan audit hanya pada kontrak pintar inti guna menekan biaya evaluasi, sementara gerbang penarikan dana, dompet kustodi, dan modul pihak ketiga dibiarkan beroperasi tanpa pengujian ketat.
Co-founder sekaligus Direktur Dewan Hacken, Andrii Matiukhin, menegaskan bahwa permasalahan mendasar industri terletak pada pembatasan ruang lingkup audit. Menurut Matiukhin, tim proyek kerap mengambil jalan pintas karena pengujian seluruh arsitektur yang berinteraksi dengan aliran modal memakan biaya sangat mahal. Ketika pengguna melihat lencana audit pada suatu protokol, mereka secara keliru mengasumsikan seluruh infrastruktur telah teruji aman. Pada kenyataannya, dana pengguna justru sering terkuras melalui kunci akses administratif yang bocor, pustaka kode vendor yang rapuh, atau pengaturan server internal yang belum pernah diaudit sebelumnya.
Lonjakan Eksploitasi Smart Contract dan Kasus Bitget
Dari sisi vektor serangan, eksploitasi logika smart contract mengalami lonjakan dramatis dengan menyumbang 48% dari seluruh kerugian kuartal ketiga 2026, naik signifikan dibandingkan porsi 12% pada kuartal kedua. Sebaliknya, kegagalan kontrol akses dan kesalahan operasional turun menjadi 40% dari sebelumnya 88%. Pergeseran pola serangan ini menunjukkan bahwa peretas semakin lihai mengombinasikan celah pada integrasi pihak ketiga untuk membobol eksekusi kontrak on-chain yang menampung likuiditas masif.
Insiden terbesar sepanjang kuartal ketiga terjadi pada bursa kripto Bitget pada September lalu. Hasil investigasi forensik Mandiant dan SlowMist mengonfirmasi bahwa penyerang berhasil membobol infrastruktur penarikan dana bursa setelah mengeksploitasi kerentanan pada produk keamanan pihak ketiga yang terintegrasi di sistem dompet. Nilai transfer ke alamat dompet peretas diperkirakan mencapai $352 juta hingga $387,5 juta setelah memperhitungkan perpindahan aset dalam jaringan Zcash dan Tron. Selain Bitget, kerentanan rantai pasok juga melanda produsen perangkat keras Ledger setelah implan mata-mata nirkabel ditemukan pada perangkat yang diedarkan distributor pihak ketiga di Asia Tenggara dengan taksiran kerugian $93 juta.
Ancaman Multisig di Bursa Derivatif dan Pasar Prediksi
Laporan Hacken turut melakukan audit investigatif terhadap 12 bursa derivatif terdesentralisasi dan platform pasar prediksi terkemuka di pasar global. Hasil evaluasi mengungkap fakta mengkhawatirkan bahwa lebih dari $700 juta aset pengguna di dua platform derivatif utama hanya dilindungi oleh skema tanda tangan multi-signature 3-dari-4 atau dikendalikan oleh kunci administratif privat yang identitas pemegangnya tidak pernah diumumkan secara transparan ke publik.
Meskipun Hacken menyatakan belum menemukan indikasi eksploitasi aktif pada platform-platform tersebut, skema pengelolaan kunci saat ini dinilai tidak memadai untuk menopang skala likuiditas ratusan juta dolar. Matiukhin juga menggarisbawahi masalah penundaan penambalan celah keamanan yang telah diketahui publik, di mana sejumlah blockchain yang menggunakan dependensi perangkat lunak serupa menunda rilis pembaruan karena meremehkan tingkat keparahan risiko. Hacken mendesak entitas penjaga dana pengguna untuk memantau kerentanan sistem secara berkala alih-alih hanya bersandar pada hasil audit statis masa lalu.
Sumber: CoinDesk & Hacken
