Sebuah riset akademis terbaru yang dipublikasikan dalam Journal of Financial Crime mengungkap bahwa serangan pinjaman kilat (flash loan) telah menguras dana sebesar $1,211 miliar (sekitar Rp19,5 triliun) dari berbagai protokol decentralized finance (DeFi) antara Februari 2020 hingga Juli 2024. Studi mendalam yang dipimpin oleh Profesor Tim Hall dari University of Winchester bersama Remo Stieger, mantan mitra firma intelijen risiko SyntiFi, mengidentifikasi 72 insiden serangan flash loan dari total 254 peretasan sukses di ekosistem DeFi. Seluruh 254 insiden tersebut mengakibatkan kerugian kumulatif mencapai $6,568 miliar, di mana serangan berbasis flash loan menyumbang porsi signifikan sebesar 18,44% dari total nilai eksploitasi.
Dominasi Ethereum dan Skala Kerugian Flash Loan
Temuan riset menunjukkan bahwa jaringan blockchain Ethereum menjadi sasaran paling rentan dan menanggung dampak terparah dari fenomena kejahatan siber ini. Lebih dari 80% dari total kerugian finansial akibat serangan flash loan terkonsentrasi langsung pada smart contract yang beroperasi di ekosistem Ethereum, didorong oleh tingginya likuiditas dan kompleksitas interaksi antar-protokol. Skala kerugian per insiden menunjukkan variasi ekstrem, mulai dari nominal $80.000 hingga peretasan tunggal berskala masif yang menembus angka $197 juta.
Studi yang memindai lebih dari 20 miliar transaksi blockchain tersebut menegaskan bahwa peretasan bernilai jumbo mendominasi neraca kerugian industri. Serangan yang berhasil menggasak dana $10 juta atau lebih menyumbang lebih dari 88% dari total nilai dana yang hilang. Mekanisme flash loan memungkinkan peretas meminjam aset bernilai jutaan dolar dari kolam likuiditas tanpa agunan fisik apa pun, asalkan pinjaman dilunasi dalam blok transaksi yang sama, sehingga modal gratis ini dijadikan amunisi instan untuk memanipulasi pasar.
Pergeseran Pola Serangan ke Celah Logika Protokol
Para peneliti mengidentifikasi 14 klasifikasi serangan flash loan yang terbagi ke dalam dua kategori utama: manipulasi umpan harga (price feed) dan eksploitasi celah logika fundamental protokol. Meskipun eksploitasi logika terjadi dengan frekuensi yang lebih rendah dibandingkan manipulasi oracle harga, serangan berbasis logika kontrak pintar terbukti menimbulkan rata-rata nilai kerugian yang jauh lebih menghancurkan bagi perbendaharaan protokol.
Porsi eksploitasi logika protokol melonjak dari 28% total kerugian flash loan pada periode Februari 2020 hingga Januari 2022 menjadi 55% pada rentang Februari 2022 hingga Juli 2024. Empat metode peretasan utama tercatat menyumbang lebih dari 81% kerugian total: eksploitasi oracle harga, manipulasi fungsi donasi (donate function), celah reentrancy, dan satu serangan manipulasi tata kelola (governance attack) bernilai fantastis sebesar $181 juta.
Dampak Sistemik bagi Pengembang dan Industri DeFi
Profesor Tim Hall menegaskan bahwa dunia keuangan digital kini berhadapan dengan modus kejahatan siber model baru yang memiliki daya rusak destruktif tanpa preseden historis. Menurutnya, serangan modern ini memiliki kapabilitas membobol puluhan juta dolar dalam hitungan detik, menciptakan tantangan investigasi yang sangat kompleks bagi regulator dan penegak hukum internasional. Studi ini juga menyoroti wawancara anonim dengan tim protokol korban yang mengungkapkan bahwa celah yang dieksploitasi kerap lolos dari audit keamanan berkali-kali dan tidak terdeteksi on-chain selama lebih dari satu tahun.
Dampak pasca-peretasan terbukti menghancurkan moral dan keberlanjutan proyek terdesentralisasi, di mana banyak tim pengembang terpaksa bubar akibat tekanan psikologis dan gugatan komunitas meski sebagian dana berhasil dipulihkan. Kasus penutupan bursa terdesentralisasi Bunni pada Oktober 2025 usai dieksploitasi $8,4 juta menjadi bukti nyata beban finansial pemulihan yang tidak tertanggung. Para peneliti menyimpulkan bahwa meskipun serangan flash loan terus berevolusi dan makin canggih, ancaman ini bukanlah akhir eksistensial bagi DeFi melainkan alarm keras untuk standarisasi keamanan smart contract yang lebih ketat.
Sumber: Decrypt
