Balancer, salah satu protokol keuangan terdesentralisasi terbesar dengan lebih dari $750 juta total nilai terkunci, telah menjadi korban terbaru eksploitasi kripto canggih. Data on-chain mengungkapkan bahwa penyerang berhasil menguras antara $70 juta hingga $88 juta aset digital dari vault protokol dalam serangan terkoordinasi yang memengaruhi sejumlah jaringan blockchain.
Pelanggaran yang terjadi pada 3 November 2025 ini menandai insiden keamanan besar ketiga bagi Balancer, meningkatkan kekhawatiran baru tentang kerentanan infrastruktur keuangan terdesentralisasi dan tantangan berkelanjutan dalam mengamankan sistem kontrak pintar yang kompleks.
Data blockchain yang dianalisis oleh CoinDesk menunjukkan bahwa dana yang dicuri meliputi sekitar 6.850 StakeWise Staked ETH (osETH), 6.590 Wrapped Ether (WETH), dan 4.260 Lido Wrapped Staked ETH (wstETH). Aset-aset ini ditransfer dari alamat kontrak vault Balancer ke dompet baru yang dibuat dalam serangan yang oleh peneliti keamanan digambarkan sebagai terencana dan dieksekusi dengan baik.
Firma keamanan PeckShield melaporkan bahwa serangan ini masih berlangsung di banyak rantai tempat Balancer diterapkan, dengan perkiraan kerugian mencapai $88 juta. Eksploitasi ini utamanya mempengaruhi vault versi 2 (V2) Balancer yang diterapkan pada jaringan Ethereum, Sonic, Polygon, dan Base, menunjukkan pemahaman mendalam penguna terhadap arsitektur multi-chain protokol ini.
Penyedia analisis blockchain Cyvers memperkirakan hingga $84 juta dalam transaksi mencurigakan di berbagai rantai terkait eksploitasi Balancer, sementara sumber lain menempatkan angka ini lebih dekat ke $70 juta. Disparitas dalam laporan kerugian mencerminkan sifat berkelanjutan dari serangan ini dan tantangan dalam melacak aset di berbagai jaringan blockchain secara real-time.
Kerentanan Teknis Terungkap
Menurut analisis awal dari peneliti keamanan, serangan ini mengeksploitasi cacat kritis dalam fungsi "manageUserBalance" Balancer. Kerentanan ini berasal dari kontrol akses yang tidak tepat dalam mekanisme validasi fungsi tersebut, khususnya dalam komponen validateUserBalanceOp.
Cacat ini memungkinkan penyerang untuk melewati pemeriksaan keamanan dengan memanipulasi cara sistem memverifikasi pengirim transaksi. Dalam operasi normal, fungsi ini seharusnya dengan ketat memverifikasi bahwa pengirim pesan cocok dengan pengirim operasi. Namun, kelemahan ini memungkinkan pihak yang tidak sah untuk melakukan penarikan saldo internal melalui operasi UserBalanceOpKind.WITHDRAW_INTERNAL tanpa otorisasi yang semestinya.
Kekurangan teknis ini berarti bahwa penyerang dapat memicu penarikan dari kontrak pintar Balancer meski tidak memiliki izin yang diperlukan—pelanggaran mendasar terhadap model keamanan protokol ini.
Memahami Arsitektur Vault Balancer
Untuk sepenuhnya menghargai tingkat keparahan eksploitasi ini, penting untuk memahami arsitektur vault unik Balancer. Berbeda dengan bursa terdesentralisasi tradisional di mana setiap pool mengelola tokennya masing-masing, Balancer V2 merintis desain revolusioner di mana semua token dari setiap pool disimpan dalam satu kontrak pintar yang disebut Vault.
Arsitektur ini, pertama kali diperkenalkan pada tahun 2021, memisahkan pencatatan token dari logika pool, membuat pool lebih sederhana dan efisien. Meskipun desain ini menawarkan keuntungan signifikan - termasuk pengurangan biaya gas dan efisiensi modal yang lebih baik - ini juga menciptakan target bernilai tinggi bagi penyerang yang canggih. Pelanggaran yang berhasil terhadap Vault ini dapat memengaruhi banyak pool secara bersamaan, seperti yang ditunjukkan dalam insiden terbaru ini.
Dampak Pasar dan Konsekuensi Langsung
Eksploitasi ini menimbulkan reaksi pasar segera. Token BAL asli Balancer turun lebih dari 5% dari puncaknya pada Senin saat berita pelanggaran tersebar di pasar kripto. Penurunan token ini mencerminkan kekhawatiran investor tentang postur keamanan protokol ini dan potensi kerentanan lebih lanjut.
Para ahli keamanan mencatat bahwa alamat penyerang mulai mengonsolidasi aset yang dicuri segera setelah penarikan awal, menimbulkan kekhawatiran tentang potensi pencucian uang melalui mixer terdesentralisasi atau jembatan antar rantai. Pola ini konsisten dengan eksploitasi DeFi skala besar sebelumnya, di mana penyerang bergerak cepat untuk menyembunyikan asal dana yang dicuri sebelum encairkan atau mencoba menegosiasikan pengembalian.
Pola Yang Mencemaskan: Sejarah Keamanan Balancer
Pelanggaran terbaru ini merupakan insiden keamanan besar ketiga bagi Balancer, membangun pola kerentanan yang mengkhawatirkan sepanjang sejarah protokol ini.
Pada tahun 2020, Balancer kehilangan $500.000 ketika penyerang mengeksploitasi dua pool likuiditas menggunakan token deflasi. Peretasan ini memanfaatkan cara kontrak pintar Balancer menangani token ERC-20 non-standar, khususnya token yang membakar sebagian transfernya. Penyerang memanipulasi mekanisme ini untuk menguras WETH dan aset berharga lainnya dari pool yang terpengaruh.
Lebih baru-baru ini, pada bulan September 2023, Balancer mengalami kerugian $238.000 melalui serangan rekayasa sosial DNS yang canggih. Peretas menyusup ke EuroDNS, perusahaan yang mengelola pendaftaran nama domain Balancer, dan mengalihkan pengguna ke situs web phishing dengan kontrak pintar berbahaya. Serangan ini menunjukkan bahwa protokol DeFi menghadapi ancaman tidak hanya dari kerentanan kontrak pintar tetapi juga dari kelemahan infrastruktur web tradisional.
Hanya beberapa minggu sebelum serangan DNS tersebut, pada bulan Agustus 2023, Balancer mengungkapkan kerentanan kritis pada beberapa pool likuiditasnya yang mengakibatkan serangan pinjaman kilat yang menguras sekitar $1-2 juta. Meski protokol ini berusaha untuk memberi tahu komunitas dan mengamankan mayoritas dana, firma keamanan PeckShield menemukan bahwa kerugian nyata jauh lebih besar dari perkiraan awal.
Keamanan DeFi: Tantangan Seluruh Industri
Perjuangan Balancer mencerminkan tantangan keamanan yang lebih luas yang dihadapi sektor DeFi. Protokol ini beroperasi di industri di mana 87% perusahaan mengalami serangan DNS pada tahun 2021, dan di mana kerentanan kontrak pintar terus mengakibatkan kerugian miliaran dolar setiap tahunnya.
Kompleksitas protokol DeFi - dengan interaksi kontrak pintarnya yang rumit, operasi lintas rantai, dan mekanisme pembuat pasar otomatis - menciptakan banyak vektor serangan. Bahkan protokol yang menjalani audit ketat dapat menyembunyikan kerentanan yang belum terdeteksi, seperti yang ditunjukkan dalam eksploitasi terbaru Balancer ini yang menargetkan fungsi kontrol akses fundamental.
Para ahli keamanan mencatat bahwa siklus inovasi cepat DeFi sering melampaui praktik keamanan terbaik. Fitur baru dan optimasi dapat memperkenalkan kerentanan yang tidak segera terlihat, bahkan oleh auditor dan pengembang berpengalaman. Sifat DeFi yang tanpa izin, meski memungkinkan inovasi, juga berarti bahwa begitu kerentanan ditemukan, penyerang dapat langsung mengeksploitasi tanpa batasan.
Tanggapan Protokol dan Reaksi Komunitas
Hingga saat ini, tim pengembangan Balancer belum mengeluarkan pernyataan resmi mengenai eksploitasi ini. Keheningan ini, meski mengkhawatirkan bagi beberapa anggota komunitas, bukanlah hal yang aneh segera setelah kejadian keamanan besar. Tim pengembangan biasanya memprioritaskan identifikasi lingkup penuh kerentanan dan menerapkan patch darurat sebelum mengeluarkan pernyataan publik yang bisa memperingatkan penyerang akan kelemahan tambahan.
Berbagai penyedia analisis blockchain, termasuk Nansen dan PeckShield, telah menandai transaksi ini sebagai mencurigakan dan aktif memantau aktivitas jahat lebih lanjut. Komunitas keamanan kripto telah bergerak untuk melacak dana yang dicuri dan mengidentifikasi jalur potensial untuk memulihkan aset.
Pengamat industri menunjukkan bahwa Balancer menawarkan salah satu bug bounty terbesar dalam sejarah DeFi - hingga 1.000 ETH atau $2 juta untuk bug kritis yang memungkinkan pengurasan vault. Fakta bahwa kerentanan ini tampaknya lolos dari deteksi, meski ada insentif tersebut, menyoroti sifat canggih dari eksploitasi DeFi modern.
Implikasi untuk Masa Depan DeFi
Insiden ini menimbulkan pertanyaan kritis tentang keberlanjutan model keamanan DeFi saat ini. Dengan lebih dari $750 juta dana pengguna yang dipertaruhkan, protokol seperti Balancer mewakili infrastruktur keuangan yang signifikan yang memerlukan langkah-langkah keamanan tingkat perusahaan.
Beberapa ahli berpendapat bahwa DeFi perlu mengadopsi praktik pengembangan yang lebih konservatif, termasuk masa tunggu wajib untuk penerapan kode baru, verifikasi formal dari kontrak pintar krusial, dan sistem pemantauan real-time yang ditingkatkan. Yang lain menunjukkan perlunya lebih baik. Alat keamanan dan proses audit yang lebih ketat dapat mengidentifikasi kerentanan kompleks dan multifaset sebelum dieksploitasi.
Sifat multi-rantai dari serangan ini juga menyoroti tantangan keamanan yang berkembang seiring dengan semakin luasnya protokol DeFi di berbagai jaringan blockchain. Setiap penerapan rantai baru memperbanyak permukaan serangan dan memerlukan adaptasi yang hati-hati terhadap langkah-langkah keamanan dalam lingkungan blockchain dan arsitektur mesin virtual yang berbeda.
Pemikiran akhir
Bagi pengguna Balancer, prioritas langsung adalah memantau pengumuman protokol untuk mendapatkan panduan tentang keamanan dana. Komunitas DeFi biasanya berkumpul untuk mendukung protokol yang terdampak, dengan peneliti keamanan, proyek pesaing, dan organisasi industri seringkali menawarkan bantuan dalam melacak dana yang dicuri dan mengidentifikasi kerentanan.
Industri kripto yang lebih luas akan mengamati dengan seksama bagaimana Balancer merespons insiden keamanan besar ketiga ini. Apakah protokol akan menerapkan langkah-langkah keamanan yang lebih ketat? Apakah pengguna yang terdampak akan mendapatkan kompensasi? Dan yang terpenting, pelajaran apa yang bisa dipetik oleh ekosistem DeFi lebih luas untuk mencegah eksploitasi serupa?
Seiring DeFi terus berkembang dan menarik partisipasi institusional, insiden keamanan sebesar ini menjadi pengingat nyata bahwa industri masih menghadapi tantangan teknis yang signifikan. Janji keuangan terdesentralisasi - layanan keuangan yang transparan, tanpa izin, dan dapat diakses - hanya dapat terwujud jika protokol dapat menjamin keamanan dana pengguna.
Cerita yang terus berkembang ini menggarisbawahi bahwa dalam lingkungan DeFi yang bergerak cepat dan berisiko tinggi, keamanan bukan hanya persyaratan teknis - melainkan keharusan eksistensial untuk keberlanjutan jangka panjang industri ini.