Pergeseran Senilai $763,9 Juta: Mengapa Audit Kontrak Cerdas Tak Bisa Mencegah Kuartal Terburuk Web3

Rincian Keamanan Kuartal Kedua 2026

Kuartal kedua tahun 2026 merupakan periode terparah bagi keamanan Web3 sejak kuartal kedua tahun 2025, dengan pelaku ancaman mencuri $763,9 juta dari 67 insiden keamanan. Perubahan mendasar pada profil kerentanan menjadi ciri khas kuartal ini: Kode tidak lagi menjadi permukaan serangan utama; kontrol operasional dan manajemen kunci lah yang menjadi sasaran utama.

Lebih dari 88% total kerugian berasal dari pelanggaran operasional, bukan dari kelemahan dalam logika kontrak pintar. Modal institusional sudah mulai menyesuaikan diri, mengalihkan prioritas uji tuntas dari audit satu titik waktu ke pemantauan berkelanjutan, tata kelola akses istimewa, dan kerangka kerja otorisasi multipartisipan.

Menurut laporan keamanan dan kepatuhan triwulanan Hacken, pelanggaran terkait kunci dan infrastruktur menyumbang 88,3% dari seluruh dana yang dicuri, atau sekitar $674,5 juta. Bug kontrak pintar tetap menjadi jenis serangan paling umum — 44 dari 67 insiden — namun hanya mewakili sekitar 11% dari total kerugian. Sekitar 75,5% dari seluruh kerugian berasal dari hanya dua insiden yang dikaitkan dengan pelaku ancaman asal Korea Utara, sementara hanya 9% proyek yang dipantau yang menerapkan pemantauan berkelanjutan dan 4% yang menggabungkan audit, program hadiah bug, dan pemantauan langsung.

Temuan utama dari kuartal kedua adalah bahwa 14 protokol yang telah diaudit mengalami pelanggaran — sebuah indikator yang jelas mengenai kesenjangan yang semakin melebar antara apa yang sebenarnya dievaluasi dalam audit kontrak pintar dan di mana pelaku ancaman sebenarnya menyerang. Bagi para ahli keamanan, pelanggaran ini mengungkap kelemahan fatal dari memperlakukan tinjauan kode pada titik waktu tertentu sebagai perisai keamanan yang menyeluruh.

"Kesalahpahaman terbesar adalah bahwa audit adalah sertifikat keamanan," kata Leo Fan, pendiri Cysic. "Sebenarnya, audit adalah penilaian terbatas terhadap basis kode tertentu pada titik waktu tertentu. Audit tidak secara otomatis mencakup perangkat penandatangan, infrastruktur cloud, izin operasional, bytecode yang telah diterapkan, pembaruan di masa mendatang, ketergantungan pihak ketiga, atau kontrak lama yang masih dapat dipanggil."

Eric Swartz, mitra pendiri sekaligus penasihat hukum di Panther Hollow Ventures, sependapat bahwa menganggap audit sebagai garis finis justru membuat protokol tetap rentan. "Audit memberi tahu Anda bagaimana kondisi suatu sistem pada suatu titik waktu tertentu," kata Swartz. "Audit tidak menjamin bahwa pembaruan di masa depan, perubahan operasional, atau metode serangan baru tidak akan menimbulkan risiko. Tim yang paling tangguh memandang audit sebagai salah satu bagian dari program keamanan yang jauh lebih luas."

Samuel Videau, CTO di Genius, mencatat bahwa bagian cakupan dalam laporan audit sering kali mengungkapkan hal-hal yang tidak dievaluasi. "Hampir 90% kerugian pada kuartal kedua berasal dari kunci, penandatangan, dan infrastruktur, yang semuanya berada di luar bagian cakupan tersebut, dan 14 proyek yang telah diaudit tetap mengalami pengurasan dana," kata Videau. "Laporan audit bukanlah program keamanan itu sendiri."

Himanshu Sahay, CTO dan salah satu pendiri Arch, menekankan bahwa audit tidak dapat berdiri sendiri. "Audit adalah penilaian penting pada titik waktu tertentu terhadap kode dan arsitektur yang ditinjau, tetapi audit tidak dapat memperhitungkan setiap risiko operasional atau perubahan sistem di masa depan," kata Sahay. "Keamanan perlu diperlakukan sebagai proses yang berkelanjutan."

Melewati Kode: Titik Lemah Infrastruktur Off-Chain

Sementara itu, seiring dengan semakin matangnya pertahanan kontrak pintar dan semakin sulitnya meretas logika on-chain, pelaku ancaman telah beralih strategi secara tegas. Alih-alih menerobos pintu depan yang dijaga ketat, penyerang secara sistematis mengabaikan kode sepenuhnya untuk mengeksploitasi titik lemah infrastruktur off-chain.

"Permukaan yang paling diremehkan adalah bidang kontrol off-chain: perangkat penandatangan, prosedur pembuatan dan rotasi kunci, identitas cloud, jalur CI/CD, layanan backend, validator jembatan, dan jalur admin darurat," kata Fan. "Tim sering kali mengamankan penyimpanan kunci tetapi kurang memperhatikan bagaimana kunci tersebut sebenarnya digunakan… ketika disusupi, penyerang dapat menghasilkan transaksi yang secara teknis valid di rantai blok, sehingga pencegahan dan deteksi menjadi jauh lebih sulit."

Perimeter cloud itu sendiri memberikan rasa aman yang palsu bagi banyak pengembang Web3.

"Asumsi terbesar adalah bahwa menggunakan penyedia cloud besar membuat aplikasi aman secara default," kata Jerald David, CEO Lynq. "Penyedia cloud memang mengamankan infrastruktur dasarnya, tetapi tim tetap bertanggung jawab atas konfigurasi sistem, pengelolaan kredensial, dan siapa yang memiliki akses."

Sementara itu, Videau memperingatkan bahwa arsitektur yang tidak tepat dapat meniadakan perlindungan multisig. "Seluruh operasi berjalan pada peran layanan dengan izin berlebihan dan pipa CI/CD yang dapat mengakses kunci produksi, dan jika satu akun layanan dapat membaca kunci penandatanganan Anda, multisig Anda hanyalah sandiwara," kata Videau. "Kontrak yang sudah tidak digunakan lagi namun masih memegang hak admin merupakan vektor serangan lain: Kode yang Anda rilis dua tahun lalu adalah pintu terbuka, dan penyerang tidak peduli apa yang Anda anggap dalam cakupan."

Seiring para alokator institusional menyesuaikan kembali model risiko mereka, standar untuk penempatan modal telah meningkat secara signifikan. Istilah “siap untuk institusi” tidak lagi didefinisikan oleh laporan audit yang bersih, melainkan oleh bukti kematangan operasional, tata kelola tingkat perusahaan, dan kontrol manajemen kunci yang tangguh.

“Saya pertama-tama melihat kematangan operasional,” kata David. “Apakah tim dapat menjelaskan dengan jelas bagaimana modal mengalir melalui sistem, di mana titik-titik kontrol utama berada, dan bagaimana risiko dipantau? Institusi membutuhkan prediktabilitas dan transparansi.”

Sahay mencatat bahwa tidak ada satu kontrol pun yang dapat menjamin dukungan institusional sendirian. “Institusi ingin memahami bagaimana sistem kritis diakses, bagaimana izin dikelola, bagaimana aktivitas dipantau, dan proses apa yang ada jika terjadi masalah,” kata Sahay. “Kombinasi antara kontrol yang kuat, transparansi, dan disiplin operasionallah yang pada akhirnya membangun kepercayaan.”

Saat mengevaluasi protokol, Fan berfokus pada peta hak istimewa: siapa yang dapat memindahkan aset, mengganti penandatangan, atau mengubah pengamanan. "Jika saya harus mengidentifikasi satu kontrol yang paling terkait dengan kepercayaan institusi, itu adalah otorisasi multipihak di setiap jalur pemindahan aset dan peningkatan," kata Fan. "Institusi menginginkan bukti bahwa tindakan sepihak tidak mungkin dilakukan."

Swartz menambahkan bahwa institusi memprioritaskan cara tim menangani kesulitan. "Institusi tahu bahwa tidak ada protokol yang sepenuhnya bebas risiko," kata Swartz. "Yang penting adalah apakah tim memiliki tata kelola yang baik, kontrol internal yang kuat, transparansi seputar risiko, dan rencana yang jelas untuk merespons ketika terjadi masalah."

Kelima pakar tersebut sepakat bahwa Web3 harus mengadopsi tumpukan pertahanan berlapis yang menggabungkan pemantauan real-time, pengelolaan kunci yang disiplin, dan program bug bounty yang responsif untuk melindungi dari ancaman yang terus berkembang.

"Aset digital beroperasi sepanjang waktu, tetapi sebagian infrastruktur yang mendukungnya masih beroperasi sesuai dengan jadwal keuangan tradisional," kata David. "Seiring pasar menjadi semakin institusional, infrastruktur yang mendukung pergerakan dan penyelesaian modal juga perlu menjadi lebih tangguh."

Menatap Paruh Kedua 2026: Menyesuaikan Kembali Lapisan Pertahanan

Sementara itu, para ahli memperingatkan bahwa paruh kedua tahun 2026 akan menghadirkan situasi yang serupa. Alih-alih menghabiskan waktu untuk mencoba merekayasa balik kontrak pintar yang telah diaudit, pelaku ancaman diperkirakan akan terus menargetkan jalur perlawanan terendah: kontrol operasional, target manusia, dan infrastruktur kunci.

"Saya memperkirakan serangan terhadap kontrol akses operasional akan terus mendominasi kerugian: rekayasa sosial, pencurian kredensial, kompromi penandatangan, intrusi ke cloud atau CI/CD, serta serangan terhadap infrastruktur validator off-chain," prediksi Fan. "Bug kontrak pintar individu akan terus terjadi, tetapi penyerang akan terus menargetkan jalur terpendek menuju otoritas."

Videau menyimpulkan dengan seruan untuk menyesuaikan kembali pengeluaran keamanan dengan risiko yang sebenarnya: "Alokasikan anggaran di tempat kerugian terjadi. Hampir 90% dana yang dicuri mengalir melalui kunci, penandatangan, dan infrastruktur, namun anggaran masih mengalir ke audit kontrak. Serangan terburuk adalah yang tidak diprediksi oleh siapa pun, jadi bangun sistem seolah-olah pertahanan perbatasan Anda sudah runtuh."