Firma keamanan onchain Blockaid memverifikasi 212 eksploitasi blockchain pada paruh pertama 2026, dengan total kerugian senilai $1,1 miliar. Jumlah insiden tersebut setara 3,4 kali jumlah eksploitasi berambang tinggi yang tercatat di seluruh 2025. Aktor yang terkait DPRK, terutama sub-grup TraderTraitor dari Grup Lazarus Korea Utara, menyebabkan kerusakan sekitar $609 juta — 55% dari total kerugian paruh tahunan. Kompromi kunci pribadi mendorong sebagian besar kerugian, mencapai hampir $789 juta atau 74% dari seluruh kerugian H1 dalam kira-kira sepuluh insiden. Eskalasi ini mencerminkan pergeseran struktural lanskap ancaman, dengan kampanye rekayasa sosial yang menargetkan karyawan pada protokol termasuk Drift dan KelpDAO untuk memperoleh kendali atas multisig signer serta infrastruktur verifier bridge.
Empat Insiden Menyumbang 64% Kerugian H1 2026
Empat insiden terbesar secara kolektif menyumbang kira-kira 64% dari seluruh kerugian H1. KelpDAO mencatat kerugian $292 juta, Drift Protocol $285 juta, Resolv $80 juta, dan CowSwap $50,4 juta. Dua di antaranya — KelpDAO dan Drift — secara langsung dikaitkan dengan TraderTraitor, sub-grup dari Grup Lazarus Korea Utara. Jika digabungkan dengan pelanggaran Humanity Protocol yang secara terpisah dikaitkan senilai $32 juta, aktor yang terkait DPRK bertanggung jawab atas kira-kira $609 juta. Kedua serangan kelas atas ini berawal dari rekayasa sosial: operator DPRK menargetkan karyawan di Drift dan KelpDAO melalui manipulasi bergaya LinkedIn, yang akhirnya memperoleh kendali atas multisig signer dan infrastruktur bridge verifier. Pelanggaran KelpDAO mengeksploitasi konfigurasi single-DVN di bridge LayerZero untuk memalsukan attestation cross-chain dan menguras $292 juta dari escrow Ethereum.
Kompromi Kunci Pribadi Mendorong 74% dari Total Kerusakan
Kunci pribadi yang dikompromikan muncul sebagai pendorong kerugian utama dengan selisih lebar, bertanggung jawab atas hampir $789 juta — sekitar 74% dari seluruh kerugian H1 — dalam kira-kira sepuluh insiden. Eksploitasi kode, meskipun secara total jauh lebih kecil di $203 juta, didominasi oleh jumlah insiden, mencakup hampir 80% dari seluruh kasus. Mint tanpa jaminan Resolv senilai $80 juta merupakan yang terbesar dalam kategori exploitasi kode. Hasil pemulihan terbukti sangat tidak seimbang: exploitasi kode kadang menghasilkan pemulihan dana parsial melalui fungsi emergency pause atau koordinasi onchain, sedangkan kompromi kunci hampir tidak menghasilkan pengembalian, dengan aset yang dicuri biasanya dialirkan melalui mixer dalam hitungan jam.
Kontrak Warisan dan Tiga Vektor Serangan Baru Memperluas Permukaan Ancaman
Pola yang berulang melibatkan kontrak warisan atau yang sudah didepresiasi yang sebelumnya sudah ditinggalkan tim, tetapi tidak sepenuhnya dinonaktifkan. Lima insiden semacam itu pada Mei dan Juni — termasuk dua serangan terpisah pada rollup Aztec Connect dan exploit validasi pada Raydium AMM V3 yang sudah didepresiasi — totalnya sekitar $5,7 juta. Tiga vektor serangan novel mulai muncul pertama kali pada H1. Delegasi wallet EIP-7702, yang diperkenalkan oleh standar Ethereum baru, disalahgunakan di empat insiden. Serangan AI prompt injection pada agen Bankr pada Mei — yang pertama kali sejenis — mengekstraksi $216.000 dengan menipu sistem otonom agar mengotorisasi transaksi yang tidak diotorisasi. Infrastruktur bridge prover off-chain juga menjadi target baru, dengan KelpDAO dan Taiko keduanya mengalami pelanggaran melalui bukti palsu yang diterima oleh destination chains.
Hasil Pemulihan Menunjukkan Ketidakseimbangan Tajam Antar Jenis Serangan
Penahanan periode yang paling berhasil terjadi di Stellar, ketika pengelompokan wallet secara real-time oleh Blockaid memungkinkan validator mengarantina $7,3 juta — 73% dari pengurasan oracle senilai $10,2 juta — dalam hitungan menit setelah serangan. Eksploitasi kode kadang menghasilkan pemulihan dana parsial melalui fungsi emergency pause atau koordinasi onchain. Sebaliknya, kompromi kunci hampir tidak menghasilkan pengembalian, dengan aset yang dicuri biasanya dialirkan melalui mixer dalam hitungan jam.
FAQ
Apa yang terjadi pada paruh pertama 2026 dalam keamanan blockchain?
Firma keamanan onchain Blockaid memverifikasi 212 eksploitasi blockchain pada paruh pertama 2026, dengan total kerugian senilai $1,1 miliar. Jumlah insiden tersebut setara 3,4 kali jumlah eksploitasi berambang tinggi yang tercatat di seluruh 2025.
Mengapa aktor yang terkait DPRK menyebabkan sebagian besar kerusakan pada H1 2026?
Aktor yang terkait DPRK, terutama sub-grup TraderTraitor dari Grup Lazarus Korea Utara, menyebabkan kerusakan sekitar $609 juta — 55% dari total kerugian paruh tahun. Kedua serangan kelas atas terhadap KelpDAO dan Drift dimulai dengan kampanye rekayasa sosial yang menargetkan karyawan melalui manipulasi bergaya LinkedIn, yang pada akhirnya memperoleh kendali atas multisig signer dan infrastruktur bridge verifier.
Vektor serangan baru apa yang muncul pada H1 2026?
Tiga vektor serangan novel muncul pertama kali pada H1 2026: delegasi wallet EIP-7702 disalahgunakan di empat insiden, serangan AI prompt injection pada agen Bankr mengekstraksi $216.000, serta infrastruktur bridge prover off-chain ditargetkan, dengan KelpDAO dan Taiko keduanya mengalami pelanggaran melalui bukti palsu yang diterima oleh destination chains.
