Coinbase Mengatakan Laporan Bug Berpotensi Meningkat Tiga Kali Lipat Seiring AI Menambah "Gangguan" pada Sistem Keamanan

Mengapa Laporan Bug Coinbase Melonjak?

Peninjau manusia menghadapi beban penyaringan yang semakin berat karena alat AI yang murah memungkinkan peneliti keamanan memindai perangkat lunak dan menghasilkan laporan kerentanan dengan cepat. Bursa kripto Coinbase (Nasdaq: COIN) menguraikan tren tersebut pada 11 Agustus dalam pengungkapan keamanannya, melaporkan bahwa pengajuan laporan diperkirakan akan mencapai tiga kali lipat volume tahun lalu setelah meningkat dua kali lipat pada tahun sebelumnya.

Meningkatnya volume tersebut bertepatan dengan berkurangnya porsi penemuan yang kredibel. Coinbase menunjukkan bahwa porsi laporan yang valid turun dari 14% pada 2024 menjadi 4% selama paruh pertama 2026. Perusahaan mengaitkan peningkatan penggunaan AI oleh para peneliti dengan lonjakan tajam dalam laporan yang dihasilkan AI, namun tidak merinci berapa persentase dari total pengajuan yang melibatkan alat otomatis.

Pada 29 Juli, Coinbase mempersempit cakupan program bug bounty Web2-nya menjadi hanya mencakup kerentanan tingkat tinggi, kritis, dan ekstrem. Di antara laporan HackerOne yang ditutup selama paruh pertama, 44% merupakan duplikat, 37% berisi informasi tanpa celah yang dapat dieksploitasi, dan 15% tidak valid. Kerentanan ekstrem tetap memenuhi syarat untuk mendapatkan hadiah hingga $1 juta. HackerOne adalah platform eksternal tempat peneliti independen mengirimkan kerentanan perangkat lunak kepada perusahaan untuk ditinjau dan kemungkinan mendapatkan hadiah. Coinbase menggunakan label Web2 untuk situs web konvensional, aplikasi, dan layanan pendukung. Program Cantina yang terpisah mencakup kerentanan blockchain dan kontrak pintar.

Apa yang Ditemukan oleh Peneliti Independen?

Peneliti eksternal Joe Almeida dan Anh Nguyen menemukan kelemahan halus yang melibatkan proses rekonsiliasi penarikan Stellar oleh Coinbase. Mekanisme “fee-bump” Stellar memungkinkan pihak ketiga untuk membungkus transaksi yang sudah ada dan membayar biaya jaringan yang lebih tinggi tanpa memerlukan tanda tangan baru atau pengelolaan nomor urut.

Sistem Coinbase dapat menganggap transaksi asli sebagai gagal di bawah kondisi tertentu, bahkan setelah transfer yang dimaksud berhasil di blockchain. Ketidaksesuaian tersebut berpotensi menyebabkan pengeluaran dihitung dua kali secara internal. Coinbase menghentikan sementara proses yang terpengaruh, mengonfirmasi perbaikan, dan memulihkan pemrosesan normal.

Dana pelanggan tetap tidak terpengaruh, dan Coinbase tidak menemukan bukti eksploitasi di luar bukti konsep para peneliti dan pengujian internal. AI secara terpisah menandai cacat terkait yang kurang parah di sisi setoran. Temuan ini menggambarkan pembagian yang dimaksudkan oleh Coinbase antara penyaringan otomatis dan investigasi spesialis yang melibatkan aturan protokol dan akuntansi internal.

Audit keamanan Bitcoin terpisah yang dibantu AI menghasilkan 4.962 temuan potensial di 390 repositori selama peninjauan 27,5 jam. Sekitar seperlima di antaranya telah direproduksi secara independen pada saat publikasi, sehingga konfirmasi manusia tetap diperlukan sebelum peringatan yang tersisa dapat dianggap sebagai kerentanan yang telah terkonfirmasi.

Bagaimana Para Penjahat Menggunakan AI?

Para penyerang dapat menggunakan teknologi yang sama untuk mempercepat aksi phishing, peniruan identitas, dan pencurian kredensial. Biro Investigasi Federal (FBI) memperingatkan bahwa AI generatif membantu para penjahat membuat pesan yang meyakinkan dengan lebih cepat, mengotomatiskan operasi, dan memperluas jangkauan target potensial mereka.

Sebuah analisis pada 10 Agustus mengenai aktivitas Kimsuky yang terkait dengan Korea Utara mengidentifikasi platform AI dan dokumen yang dihasilkan di seluruh infrastruktur yang terkait. Para penyelidik mengamati materi phishing yang ditujukan pada aset virtual, investasi keuangan, dan target pengembangan perangkat lunak.

Sebuah laporan pada 6 Maret mengenai layanan phishing Tycoon 2FA menjelaskan teknologi yang menyadap sesi aktif dan menangkap token yang digunakan untuk melewati otentikasi multifaktor. Tindakan terkoordinasi berhasil menghapus 330 domain yang terkait dengan operasi tersebut.

Apa Arti Pergeseran Keamanan AI bagi Konsumen?

Bagi konsumen, AI dapat meningkatkan kecepatan serangan dan membuat pesan phishing lebih meyakinkan, sementara volume bug bounty terutama memengaruhi tim peninjau perusahaan. Penilaian keamanan on-chain pada 30 Juli mencatat 212 eksploitasi dan kerugian sebesar $1,1 miliar selama paruh pertama tahun 2026.

Tindakan pencegahan individu tetap relevan sementara bursa memperluas tinjauan otomatis dan mempertahankan peneliti khusus. Praktik keamanan aset digital standar meliputi pencadangan dompet yang aman, pengelolaan kata sandi yang kuat, dan otentikasi dua faktor. Program Coinbase yang direvisi mempertahankan hadiah Web3 tanpa perubahan, sementara memfokuskan pembayaran hadiah Web2 publiknya pada celah keamanan berdampak tinggi.