Industri kripto kehilangan rekor $3,4 miliar karena peretasan pada 2025, namun kisah utamanya bukan lagi tentang kode Solidity yang penuh bug. Ini tentang laptop pengembang yang terkompromi, kredensial cloud yang dicuri, kampanye rekayasa sosial yang berlangsung berbulan-bulan, dan dompet multisig tanpa timelock.
TL;DR
- Kegagalan infrastruktur dan operasional mendorong 76% dari seluruh kerugian peretasan kripto pada 2025, sementara eksploitasi smart contract hanya menyumbang 12%
- Peretas yang disponsori negara Korea Utara mencuri $2,02 miliar pada 2025, sekitar 60% dari seluruh pencurian kripto global, dengan taktik spionase alih‑alih eksploitasi kode
- Audit, bug bounty, dan kualitas kode on‑chain membaik, tetapi permukaan serangan meluas jauh melampaui apa yang dapat dijangkau alat‑alat ini
Angka‑angka menunjukkan masalah makin besar, bukan makin sempit
Banyak firma keamanan sepakat pada kesimpulan yang sama: 2025 adalah tahun termahal dalam sejarah keamanan kripto. Chainalysis melaporkan dana curian $3,4 miliar, naik 55% dari $2,2 miliar pada 2024. CertiK mencatat $3,35 miliar dari 630 insiden. Serangan yang terjadi lebih sedikit daripada 2024, tetapi rata‑rata hasil per insiden melonjak 66,6% menjadi $5,32 juta.
Konsentrasi datanya ekstrem. Tiga peretasan terbesar di 2025 menyumbang 69% dari seluruh kerugian di tingkat layanan. Pelanggaran Bybit saja menghabiskan $1,46 miliar pada 21 Feb 2025, sekitar 43% dari seluruh pencurian tahun itu.
Tanpa Bybit, kerugian 2025 turun menjadi sekitar $1,5 miliar hingga $1,9 miliar. Itu masih tinggi, tetapi lebih dekat ke level 2024.
Pola ini mengungkap industri di mana keamanan sistemik membaik bagi protokol rata‑rata, sementara risiko ekor katastrofik dari kompromi infrastruktur memburuk jauh lebih parah.
Kuartal I 2025 adalah kuartal terburuk dalam sejarah kripto. Immunefi melacak $1,64 miliar dari 40 insiden, naik 4,7x dari $348 juta di Q1 2024. CeFi menyumbang 94% kerugian Q1, didorong hanya oleh dua insiden: Bybit dan Phemex ($85 juta).
Kerugian DeFi justru turun 69% secara tahunan di Q1. Keamanan kode on‑chain benar‑benar membaik bahkan ketika keamanan operasional runtuh.
Data awal 2026 menunjukkan tren ini berlanjut. CertiK melaporkan kerugian $501 juta pada Q1 2026 dari 145 kejadian. Peretasan Drift Protocol pada 1 Apr 2026 menguras $285 juta dalam 12 menit lewat operasi rekayasa sosial selama enam bulan. Serangan canggih yang menarget manusia tetap menjadi vektor ancaman utama memasuki 2026.
Juga Baca: Why The U.S. Treasury Is Now Sharing Cyber Threat Data With Crypto Firms
Bug smart contract tetap penting, tetapi bukan lagi seluruh cerita
Kerentanan smart contract masih mendominasi jumlah insiden, menyumbang 54,5% dari seluruh eksploit. Sejumlah peretasan level kode yang signifikan di 2025 dan 2026 membuktikan bahwa risiko on‑chain tradisional tetap ada dan terus berkembang.
Peretasan Cetus Protocol ($223 juta, 22 Mei 2025) adalah kesalahan logika klasik. Integer overflow di pustaka matematika bersama bernama "integer-mate" membuat pengecekan overflow gagal secara senyap. Penyerang mencetak posisi likuiditas masif dengan biaya sangat kecil.
Cetus telah diaudit tiga kali oleh MoveBit, OtterSec, dan Zellic. Audit Zellic menemukan nol isu selain item informasional. Kerentanan berada di dependensi pihak ketiga, bukan di kode Cetus sendiri, menunjukkan bagaimana ekosistem yang komposabel mewarisi risiko dari seluruh grafik dependensinya.
Eksploit smart contract penting lainnya meliputi:
- Reentrancy GMX v1 ($42 juta, Jul 2025), membuktikan reentrancy masih memakan korban lewat varian lintas‑kontrak yang lebih baru
- Eksploit pembulatan Balancer ($70 juta hingga $128 juta, Nov 2025), yang mengumpulkan kesalahan pembulatan kecil di ratusan batch swap dalam kelas serangan ekonomi yang sepenuhnya lolos dari audit standar
- Pelanggaran invariant Yearn Finance ($9 juta, Des 2025), di mana cacat perhitungan share menggagalkan baik alat analisis statis maupun fuzzer
Pembedaan pentingnya: eksploit smart contract cenderung menghasilkan kerugian per insiden yang lebih kecil. TRM Labs menghitung rata‑rata $6,7 juta per eksploit kode dibandingkan $48,5 juta per serangan infrastruktur. Industri ini menjadi jauh lebih baik dalam menulis kode on‑chain yang aman. Namun kemajuan itu tertutupi oleh skala katastrofik kegagalan operasional.
Juga Baca: Stablecoin Volume Could Hit $1.5 Quadrillion By 2035, Chainalysis Report Shows
Lapisan manusia: bagaimana rekayasa sosial menjadi eksploit kripto kelas atas
Peretas yang disponsori negara Korea Utara adalah ancaman tunggal terbesar bagi industri kripto. Chainalysis mengatribusikan pencurian kripto $2,02 miliar pada 2025 kepada aktor DPRK, naik 51% dari $1,34 miliar pada 2024 dan sekitar 60% dari seluruh pencurian kripto global. Total kumulatif sepanjang masa mencapai $6,75 miliar hingga akhir 2025.
Hal yang membuat operasi ini khas adalah kesabaran mereka.
Serangan Drift Protocol dimulai dengan perkenalan di konferensi pada musim gugur 2025, berlanjut melalui berbulan‑bulan pembangunan hubungan, dan termasuk penyetoran lebih dari $1 juta modal pribadi penyerang untuk membangun kredibilitas. Penarikan akhir hanya memakan waktu 12 menit.
Taktik DPRK telah beragam jauh melampaui peretasan langsung:
- Kampanye "Contagious Interview" menarget pengembang melalui tawaran kerja palsu di LinkedIn dan papan kerja kripto, menyebarkan tantangan coding trojan yang memasang backdoor
- Perusahaan fiktif bernama "Veltrix Capital" mendistribusikan paket npm berbahaya yang secara khusus memeriksa keberadaan ekstensi browser MetaMask
- Pada Mei 2025, keamanan Kraken mengidentifikasi seorang operator Korea Utara yang melamar peran engineer dengan alias "Steven Smith," dengan perubahan suara selama wawancara yang mengindikasikan coaching waktu nyata
- Program infiltrasi pekerja TI ini menghasilkan estimasi $250 juta hingga $600 juta per tahun menurut perkiraan PBB, dengan ZachXBT mengungkap jaringan 390 akun yang menghasilkan sekitar $1 juta per bulan
Pelanggaran Coinbase (Mei 2025) menunjukkan pendekatan rekayasa sosial yang berbeda. Kontraktor dukungan pelanggan luar negeri yang disuap mengekstraksi data pribadi dari 69.000 pengguna, memungkinkan penipuan phishing lanjutan dengan dampak yang diperkirakan antara $180 juta hingga $400 juta. Smart contract sama sekali tidak tersentuh.
Juga Baca: Cardano Defies Bearish Trend With Record Transactions And Surging Whale Interest
Kunci, multisig, dan cloud: sentralisasi tersembunyi di dalam Web3
Sentralisasi tersembunyi Web3 mungkin merupakan risiko sistemik yang paling diremehkan oleh industri. Halborn menemukan dalam analisis 100 peretasan DeFi terbesar bahwa hanya 19% protokol yang diretas menggunakan dompet multisig dan hanya 2,4% yang memakai cold storage. Serangan off‑chain menyumbang 80,5% dari dana yang dicuri dalam dataset mereka.
Trail of Bits menerbitkan kerangka maturitas pada Jun 2025 yang menggambarkan empat level kontrol akses smart contract. Level 1 memakai satu externally owned account, artinya satu private key yang terkompromi sama dengan kehilangan total. Level 2 memakai multisig terpusat namun tetap memiliki satu titik kendali. Level 3 dan 4 menambahkan timelock, pemisahan peran, dan pada akhirnya imutabilitas radikal.
Peretasan Bybit, WazirX, dan Radiant Capital semuanya mengeksploitasi arsitektur Level 2. Serangan Drift Protocol mengungkap kegagalan sentralisasi lain: multisig 2‑dari‑5 tanpa timelock apa pun pada fungsi administratif.
Infrastruktur cloud memperkenalkan vektor sentralisasi lain. Peretasan Resolv Labs ($25 juta, Mar 2026) melibatkan kompromi AWS Key Management Service.
Penyerang mengakses lingkungan cloud tempat kunci penandatangan istimewa disimpan, lalu menggunakannya untuk mencetak 80 juta token stablecoin tanpa dukungan.
Resolv telah lulus 18 audit smart contract independen dan mempertahankan bug bounty Immunefi sebesar $500.000. Tak satu pun mencakup kebijakan AWS IAM.
Banyak protokol yang "terdesentralisasi" sepenuhnya bergantung pada penyedia infrastruktur terpusat untuk antarmuka pengguna mereka. Frontend Safe{Wallet} di‑hosting di AWS S3/CloudFront tanpa hashing Subresource Integrity untuk mendeteksi modifikasi kode. Celah itu yang memungkinkan serangan Bybit.
Juga Baca: Bloomberg Strategist Predicts Tether Will } Overtake Both Bitcoin And Ethereum By Market Cap
Masalah frontend: ketika pengguna diretas sebelum blockchain tersentuh
Kategori serangan yang terus berkembang menargetkan frontend web protokol DeFi, bukan kontrak on-chain mereka. Dalam setiap kasus yang terdokumentasi, smart contract tetap aman dan berfungsi. Kerentanan sepenuhnya berada di lapisan infrastruktur Web2 yang menghubungkan pengguna ke kontrak-kontrak tersebut.
Curve Finance mengalami pembajakan DNS pada 12 Mei 2025 ketika penyerang mendapatkan akses ke registrar domain iwantmyname dan memodifikasi delegasi DNS untuk mengarahkan lalu lintas ke situs statis umpan palsu berbahaya.
Selama gangguan frontend, smart contract Curve memproses lebih dari $400 juta volume on-chain, menunjukkan bahwa kontrak bekerja dengan sempurna sementara frontend dipersenjatai.
Ini adalah serangan DNS kedua terhadap Curve melalui registrar yang sama. Curve kemudian bermigrasi ke domain curve.finance dan mendorong adopsi ENS secara industri.
Aerodrome dan Velodrome (21 Nov 2025) kehilangan sekitar $700.000 ketika pembajakan DNS mengarahkan pengguna ke situs phishing. MetaMask dan Coinbase Wallet menampilkan peringatan dalam waktu dua menit sejak transaksi berbahaya pertama, tetapi pengguna yang berinteraksi sebelum peringatan tersebut kehilangan dana.
Serangan DNS tambahan menimpa Arrakis Finance (Jan 2025), OpenEden (Feb 2026) dan Neutrl (Mar 2026).
Serangan Neutrl dikonfirmasi berasal dari rekayasa sosial terhadap penyedia DNS itu sendiri.
Polanya konsisten: kompromi registrar domain, modifikasi catatan DNS, pengalihan pengguna ke situs phishing kloning, pengumpulan approval dompet, dan pengurasan aset. Registrar domain berfungsi sebagai titik kegagalan terpusat untuk protokol yang secara nominal terdesentralisasi.
Juga Baca: Cloudflare Follows Google, Sets 2029 Deadline To Go Quantum-Proof
Mengapa audit saja kini tidak lagi cukup
Audit smart contract standar mencakup kerentanan di tingkat kode: reentrancy, overflow, bug kontrol akses, dan pola kerentanan yang sudah dikenal.
Biasanya, audit tidak mencakup keamanan frontend dan UI, infrastruktur API dan backend, manajemen kunci admin, vektor rekayasa sosial, serangan supply chain pada dependensi, keamanan DNS dan domain, atau kebenaran model ekonomi.
Trail of Bits menyatakan secara eksplisit pada Jun 2025 bahwa serangan kunci privat adalah vektor baru yang sering luput dari audit smart contract dan kontes yang ruang lingkupnya sempit. Firma ini mencatat bahwa perusahaan audit native-blockchain jarang menandai masalah kontrol akses arsitektural sebagai temuan formal.
Buktinya sangat banyak:
- Cetus Protocol lulus tiga audit dari firma ternama sebelum kehilangan $223 juta karena bug di library matematika pihak ketiga
- Resolv Labs lulus 18 audit independen sebelum kehilangan $25 juta melalui kompromi infrastruktur AWS
- Penyedia dompet Bybit, Safe{Wallet}, telah diaudit secara menyeluruh, tetapi kerentanannya berasal dari laptop developer yang dikompromikan
- Eksploit pembulatan Balancer mengakumulasi error pembulatan sub-wei di seluruh rangkaian batch swap adversarial, sebuah kelas serangan yang tidak dapat dideteksi oleh pengujian per-operasi standar
Audit tetap berharga. Protokol yang tidak diaudit menghadapi sekitar 70% peluang dieksploitasi pada tahun pertama mereka dibandingkan 15%–20% untuk yang diaudit. Namun ketergantungan industri pada label “diaudit oleh X” sebagai sertifikasi keamanan secara fundamental salah menggambarkan apa yang sebenarnya divalidasi audit. Audit adalah snapshot satu waktu tentang kebenaran kode, bukan penilaian keamanan yang komprehensif.
Juga Baca: Bitcoin Can Be Made Quantum-Safe Without An Upgrade, But There's A Catch
Seperti apa desain yang lebih aman setelah gelombang peretasan 2026
Vyper, bahasa smart contract bergaya Python yang diciptakan oleh Vitalik Buterin pada 2017, mewujudkan filosofi security-through-simplicity yang sangat kontras dengan kekayaan fitur Solidity. Vyper dengan sengaja mengecualikan inheritance, modifier, operator overloading, dan inline assembly.
Bahasa ini menyediakan pemeriksaan overflow otomatis, decorator nonreentrant bawaan, array dengan batas tervalidasi, dan pengetikan yang ketat.
Lebih dari 7.959 kontrak Vyper saat ini mengamankan lebih dari $2,3 miliar total value locked.
Bahasa ini menghadapi krisis keamanannya sendiri pada Jul 2023 ketika kerentanan reentrancy guard dalam versi compiler lama memungkinkan terjadinya eksploit Curve Finance. Responsnya sistematis: 12 audit dengan firma termasuk ChainSecurity dan OtterSec, dua pakar keamanan direkrut penuh waktu, dua program bug bounty, dan sistem pemantauan kontrak yang mengindeks 30.000 kontrak di 23 chain.
Pengembangan tetap aktif sepanjang 2025 dan 2026. Versi 0.4.2 "Lernaean Hydra" (Mei 2025) secara khusus melarang pemanggilan fungsi nonreentrant dari dalam fungsi nonreentrant, menghilangkan seluruh kelas potensi kerentanan.
Pengguna utama termasuk Curve Finance, Yearn Finance V3, dan Velodrome/Aerodrome.
Filosofi desain Vyper, bahwa fitur yang Anda hilangkan lebih penting daripada fitur yang Anda tambahkan, selaras dengan konsensus keamanan yang muncul. Ketika vektor serangan dominan bersifat manusia dan operasional, bukan di tingkat kode, bahasa yang menghasilkan kode lebih mudah dibaca dan diaudit menawarkan keunggulan struktural yang nyata.
Juga Baca: Only 10% Of New CEX Tokens Survive Their First Year, CoinGecko Data Reveals
Budaya keamanan vs sandiwara keamanan di Web3
Bug bounty muncul sebagai salah satu pertahanan yang paling efektif secara biaya. Immunefi telah membayarkan lebih dari $112 juta total bounty atas lebih dari 3.000 laporan bug tervalidasi. Laporan dengan tingkat keparahan kritis menyumbang 87,8% dari semua pembayaran. Platform ini mengklaim telah melindungi lebih dari $190 miliar dana pengguna.
Secara ekonomi, kasusnya sangat kuat. Total bounty yang pernah dibayarkan ($112 juta) mewakili sekitar 3,3% dari kerugian peretasan tahun 2025 saja. Bahkan satu eksploit yang berhasil dicegah akan menghasilkan ROI yang sangat besar. Program bounty aktif kini mencapai skala yang berarti, dengan Usual menawarkan maksimum $16 juta di Sherlock dan Uniswap v4 menawarkan $15,5 juta di Immunefi.
Platform audit kompetitif berkembang seiring bounty tradisional. Code4rena menjalankan kontes dengan 16.600 peneliti terdaftar dan sekitar 100 peserta per audit.
Sherlock mengoperasikan model siklus penuh yang menggabungkan kontes audit, bug bounty, dan cakupan asuransi, dan telah mengamankan lebih dari $100 miliar total value locked.
Namun, bug bounty memiliki keterbatasan mendasar yang sama dengan audit. Data Immunefi menunjukkan bahwa 77,5% pembayaran ditujukan untuk temuan bug smart contract. Vektor serangan paling merusak pada 2025, termasuk kompromi supply chain, rekayasa sosial, dan pelanggaran infrastruktur, sebagian besar berada di luar cakupan yang dapat diuji oleh peneliti bounty.
Industri membutuhkan struktur insentif yang setara untuk penilaian keamanan operasional. Peninjauan kode saja tidak lagi sejalan dengan sumber kerugian yang sebenarnya.
Juga Baca: Gemini Survey Reveals 51% Of Gen Z Adults Worldwide Own Crypto
Apa yang harus dilakukan pengguna, builder, dan investor secara berbeda pada 2026
Data 2025 dan 2026 memperjelas bahwa keamanan harus melampaui audit smart contract dan mencakup seluruh tumpukan operasional.
Bagi builder protokol, postur keamanan minimum yang layak sekarang mencakup:
- Dompet multisig dengan timelock pada semua fungsi administratif
- Kontrol akses berbasis peran dengan prinsip least privilege
- Penandatanganan dengan hardware wallet untuk semua operasi istimewa
- Pemantauan berkelanjutan terhadap perubahan izin, upgrade, dan transfer bernilai tinggi
- Subresource Integrity hashing untuk semua kode frontend, ditambah DNSSEC dan pertimbangan alternatif berbasis ENS terhadap registrar domain terpusat
Keamanan supply chain memerlukan pemfokusan (pinning) dependensi, membatasi ledakan jumlah paket, mengunci pipeline CI/CD dengan kredensial berumur pendek, serta memverifikasi artefak rilis. Rencana respons insiden harus diuji dengan simulasi (drill), bukan hanya ditulis lalu disimpan.
Bagi pengguna, pertahanan praktisnya cukup lugas. Hardware wallet tetap penting untuk kepemilikan bernilai signifikan. Alat simulasi transaksi seperti Pocket Universe mengklaim memiliki 180.000 pengguna dan lebih dari $1 miliar dana terlindungi.
Pencabutan rutin approval token tak terbatas, membookmark URL tepercaya daripada mengikuti tautan, dan menjaga dompet yang terpisah semuanya mengurangi radius kerusakan dari satu tanda tangan yang dikompromikan.
Pelajaran blind signing dari peretasan Bybit juga berlaku bagi individu. Selalu verifikasi detail transaksi pada perangkat penandatangan itu sendiri, bukan hanya antarmuka yang meminta tanda tangan.
Bagi investor yang mengevaluasi protokol, label "diaudit oleh X" adalah perlu tetapi sangat tidak memadai. Indikator keamanan yang bermakna mencakup beberapa audit dari firma yang beragam, program bug bounty aktif dengan imbalan signifikan, konfigurasi multisig yang transparan dengan distribusi geografis, timelock pada upgradefunctions visible on-chain, and demonstrated incident response capability.
Ketiadaan indikator-indikator ini harus berfungsi sebagai tanda bahaya eksplisit terlepas dari riwayat audit.
Also Read: From Joke To ETF? PEPE's Wall Street Moment Raises Big Questions
Conclusion
Lanskap keamanan kripto pada 2025 dan 2026 menunjukkan sebuah paradoks. Teknologinya menjadi lebih aman sementara industrinya kehilangan lebih banyak uang daripada sebelumnya.
Kerugian akibat eksploitasi smart contract telah menurun seiring peningkatan kualitas kode on-chain melalui tooling yang lebih baik, lebih banyak audit, platform tinjauan kompetitif dan desain bahasa yang berfokus pada keamanan seperti Vyper. Namun kemajuan ini tertutupi oleh eskalasi cepat dalam serangan infrastruktur dan operasional.
Model keamanan yang dibangun hanya di sekitar tinjauan kode sekarang hanya mengatasi kira-kira 12% dari eksposur kerugian yang sebenarnya. Sisanya 88% berada di laptop pengembang, kredensial AWS, registrar domain, perangkat penandatangan multisig, proses perekrutan karyawan dan pipeline deployment frontend. Ini adalah masalah Web2 yang memerlukan pertahanan Web2 yang diterapkan pada organisasi Web3 yang sering kali tidak memiliki budaya keamanan institusional untuk menerapkannya.
Protokol yang bertahan dari gelombang serangan yang disponsori negara berikutnya akan menjadi protokol yang mengamankan bukan hanya kode mereka, tetapi juga orang-orang mereka, infrastruktur mereka, dan asumsi kepercayaan mereka sebagai satu sistem yang terhubung. Selain itu hanyalah teater keamanan yang dibungkus dengan branding desentralisasi.
Read Next: The U.S. Is Redefining Stablecoins — Here's What The New Rules Do