Peretasan dan Penipuan Kripto Terbesar di 2026 Sejauh Ini

Peretasan, penipuan, dan eksploitasi kripto menyebabkan kerugian kotor lebih dari 1,3 miliar dolar AS selama paruh pertama 2026, dengan beberapa insiden besar mendominasi total yang tercatat. TL;DR

• Hacks, scam, dan exploits kripto menyebabkan 1,316 miliar dolar AS kerugian kotor selama paruh pertama 2026.
• Kelp DAO, Drift Protocol, dan satu korban phishing bertarget menyumbang kira-kira 65% dari total tersebut.
• Insiden terbesar mengkompromikan infrastruktur RPC, izin administratif, sistem penandatanganan, atau perangkat berhak istimewa, bukan kode kontrak pintar publik.
• Peringkat ini disusun pada 17 Juli, menyisakan 167 hari, atau 45,8% dari tahun, untuk insiden baru, pemulihan, dan atribusi yang direvisi agar mengubah daftar.

Kerugian keamanan kripto mencapai 1,316 miliar dolar AS di 344 insiden selama paruh pertama 2026, menurut laporan keamanan H1 CertiK. Sekitar 115,3 juta dolar AS dibekukan atau dikembalikan, sehingga kerugian yang disesuaikan menjadi sekitar 1,2 miliar dolar AS. Perbaikan yang terlihat dibanding 2025 perlu konteks. Total paruh pertama tahun sebelumnya mencakup pelanggaran Bybit senilai 1,45 miliar dolar AS yang luar biasa. Setelah kejadian tunggal itu dikecualikan, CertiK memperkirakan kerugian yang sebanding meningkat sekitar 28% pada 2026. Distribusi kerugian tersebut sama pentingnya dengan totalnya. Biaya rata-rata insiden sekitar 3,82 juta dolar AS, sementara kerugian median hanya 138.703 dolar AS. Rata-rata dengan demikian lebih dari 27 kali median, menunjukkan bahwa sejumlah kecil kegagalan ekstrem mendorong hasil keseluruhan. Tiga insiden saja, Kelp DAO, Drift Protocol, dan pencurian phishing bertarget senilai 284 juta dolar AS, menyumbang kira-kira 65% dari seluruh kerugian paruh pertama yang dilaporkan. Peringkat Kerugian Perlu Lebih dari Satu Angka Laporan insiden kripto sering membandingkan angka yang mengukur bentuk kerusakan yang berbeda.

Kerugian kotor

Nilai yang dihapus dari protokol atau korban sebelum pemulihan.

Ekstraksi yang terealisasi

Aset yang berhasil dikonversi penyerang menjadi nilai ekonomi yang dapat dipindahkan.

Kerugian bersih

Jumlah yang masih hilang setelah pembekuan, pengembalian, pembayaran balik, dan pemulihan.

Liabilitas pengguna

Klaim yang terutang oleh sebuah platform, yang bisa lebih besar atau lebih kecil dibandingkan hasil awal penyerang.

Eksposur notional

Nilai teoretis dari aset yang diterbitkan secara curang atau ditempatkan dalam risiko, bahkan ketika penyerang tidak bisa memonetisasi seluruh jumlah.

Peringkat di bawah terutama memakai kerugian kotor yang dilaporkan. Pemulihan, penilaian yang dipersengketakan, dan perbedaan antara hasil penyerang dan liabilitas platform dinyatakan secara terpisah. Untuk insiden yang melibatkan pembuatan token tanpa jaminan, ekstraksi yang terealisasi lebih bermakna daripada nilai wajah dari pasokan curang. Jika tidak, penyerang yang membuat 100 juta dolar AS token tidak likuid tetapi mengekstrak 1 juta dolar AS jaminan riil dapat secara keliru diperingkat seolah-olah mencuri seluruh 100 juta dolar AS. Kerugian Kripto Terbesar yang Dilaporkan pada 2026

1. Kelp DAO – 292 Juta Dolar AS Pada 18 April, penyerang membuat kontrak jembatan Ethereum Kelp DAO melepaskan sekitar 116.500 rsETH tanpa pembakaran token yang sesuai di rantai sumber. Investigasi Chainalysis menemukan bahwa penyerang mengkompromikan dua node RPC internal yang digunakan oleh Jaringan Verifier Terdesentralisasi LayerZero sambil secara bersamaan mengganggu endpoint RPC eksternal melalui serangan distributed denial-of-service. Node yang dimanipulasi melaporkan pembakaran rantai sumber yang tidak pernah terjadi. Karena konfigurasi jembatan Kelp bergantung pada satu verifier, tidak diperlukan jaringan independen kedua untuk mengonfirmasi apakah pembakaran yang dilaporkan itu nyata. Kontrak tujuan menerima pesan yang terformat dan ditandatangani dengan benar serta melepaskan aset persis seperti yang diprogram. Kegagalan terjadi pada infrastruktur yang memasok informasi ke kontrak, bukan pada eksekusi kontrak atas informasi tersebut. Kelp menjeda kontrak yang terdampak cukup cepat untuk menghentikan percobaan penarikan kedua yang melibatkan sekitar 40.000 rsETH, lalu bernilai sekitar 95 juta dolar AS. Dewan Keamanan Arbitrum kemudian membekukan 30.766 ETH yang terkait dengan aktivitas hilir penyerang. Chainalysis dan LayerZero mengatribusikan operasi tersebut kepada Grup Lazarus Korea Utara, khususnya subkelompok TraderTraitor. Atribusi dibuat oleh pihak yang terlibat langsung dalam investigasi, meski kesimpulan yang melibatkan aktor yang didukung negara mungkin masih berkembang saat bukti tambahan muncul. Jumlah yang dibekukan tidak menghapus kegagalan akuntansi jembatan yang asli. Kerugian kotor, dana yang dapat dipulihkan, hasil penyerang, dan kekurangan jaminan yang tersisa harus diperlakukan sebagai angka terpisah.
2. Drift Protocol – 285 Juta Dolar AS Drift Protocol kehilangan sekitar 285 juta dolar AS pada 1 April setelah penyerang memperoleh kendali administratif atas Security Council-nya. Menurut Chainalysis, individu yang menyamar sebagai perwakilan perusahaan perdagangan kuantitatif menghabiskan berbulan-bulan membangun relasi dengan kontributor Drift. Anggota Security Council akhirnya dibujuk untuk menandatangani transaksi menggunakan fitur durable-nonce milik Solana, yang memungkinkan transaksi yang ditandatangani secara valid ditahan dan dieksekusi pada waktu berikutnya. Transaksi tersebut mentransfer kendali administratif ke alamat yang dikendalikan penyerang. Setelah otoritas itu diperoleh, para penyerang menghapus batas penarikan, menyetujui token hampir tak bernilai bernama CVT sebagai jaminan, menetapkan valuasi artifisial, dan menyetorkan 500 juta unit. Posisi yang dihasilkan digunakan untuk menarik USDC, SOL, ETH, dan aset lain yang memiliki nilai eksternal riil. Pengambilalihan administratif terjadi melalui dua transaksi yang dieksekusi selisih satu detik, tetapi penarikan berikutnya berlanjut dalam periode yang lebih lama. Menggambarkan seluruh kerugian 285 juta dolar AS sebagai terjadi dalam 10 detik akan karena itu tidak akurat. Chainalysis mendasarkan sebagian rekonstruksinya pada investigasi Drift sendiri dan mencatat bahwa akun tersebut belum diverifikasi secara independen melalui tinjauan pihak ketiga yang selesai. Bukti awal konsisten dengan operasi Korea Utara sebelumnya, tetapi atribusi formal masih menunggu. Drift kemudian membahas sekitar 295 juta dolar AS kerugian pengguna. Angka yang lebih tinggi itu tampaknya mewakili liabilitas platform, bukan hasil awal penyerang, dan tidak boleh diperlakukan sebagai estimasi alternatif untuk jumlah yang sama.
3. Kerugian Phishing Bertarget yang Dilaporkan oleh CertiK – 284 Juta Dolar AS Satu individu kehilangan sekitar 284 juta dolar AS dalam insiden social-engineering bertarget pada Januari, menurut CertiK. Identitas korban dan rangkaian lengkap serangan belum diungkapkan secara publik. Ini membatasi kesimpulan yang bisa ditarik dengan bertanggung jawab tentang konfigurasi dompet, metode social-engineering yang tepat, dan prospek pemulihan. Namun skalanya signifikan. Satu dompet yang dikendalikan secara privat menghasilkan kerusakan finansial hampir sebesar pelanggaran Drift Protocol dan melampaui total kerugian gabungan dari sebagian besar eksploit protokol yang lebih kecil yang tercatat selama paruh pertama tahun itu. CertiK mencatat 366,3 juta dolar AS kerugian phishing di 63 insiden pada H1. Jumlah kasus phishing turun 52,3% dibanding periode yang sama pada 2025, tetapi kerugian turun hanya 10,8%. Empat insiden menyumbang kira-kira 85% dari seluruh kerugian phishing. Data menunjukkan perubahan dalam pemilihan target, bukan hilangnya phishing. Kampanye luas tetap umum, tetapi hasil finansial kini semakin ditentukan oleh sejumlah kecil operasi yang dipersiapkan dengan cermat yang diarahkan pada orang atau organisasi yang mengendalikan kekayaan onchain dalam jumlah besar.
4. Step Finance – Sekitar 40 Juta Dolar AS Step Finance mengatakan sekitar 40 juta dolar AS dikuras dari treasury pada 31 Januari setelah perangkat yang digunakan oleh anggota tim eksekutifnya dikompromikan. Dalam pembaruan insiden resminya, proyek itu mengatakan telah memulihkan sekitar 3,7 juta dolar AS dalam aset Remora dan tambahan 1 juta dolar AS dalam posisi lain.

Pernyataan tentang Insiden Keamanan Baru-baru Ini

Pada awal sore 31 Januari (APAC), sekitar $40M dikuras dari treasury Step Finance. Ini terjadi karena perangkat tim eksekutif kami dikompromikan.

Segera setelah mendeteksi pelanggaran, kami mulai bekerja…

— Step☀️ (@StepFinance_) 2 Februari 2026

Estimasi onchain sebelumnya menempatkan kerugian lebih dekat ke 27 juta dolar AS karena berfokus pada sekitar 261.854 SOL yang awalnya teridentifikasi saat meninggalkan dompet treasury. Angka Step yang kemudian mencakup kelompok aset terdampak yang lebih luas. Menggunakan estimasi kotor proyek sebesar 40 juta dolar AS sambil melaporkan jumlah yang dipulihkan secara terpisah menghasilkan gambaran yang lebih lengkap daripada memilih satu angka tanpa menjelaskan mengapa estimasinya berbeda. Konsekuensi finansial dari serangan juga dapat meluas di luar jumlah yang ditransfer ke penyerang. Pembiayaan darurat, biaya hukum, kompensasi pengguna, operasi yang terhenti, dan pendapatan yang hilang dapat membuat dampak bisnis yang akhirnya lebih besar daripada penarikan onchain awal. 5. Humanity Protocol – 36 Juta Dolar AS Humanity Protocol mengalami serangan pada 9 Juni setelah sebuah perangkat yang dikompromikan mengekspos data dompet dan kunci privat yang terkait dengan akun proyek berhak istimewa. Dalam penjelasan resminya, Humanity mengatakan penyerang menyalin kunci privat dari perangkat dan menggunakannya untuk mengeksekusi serangan onchain. Proyek itu juga mengatakan kontrak token Ethereum H dilindungi oleh clean multisig terpisah dan jembatan mainnet kanoniknya tidak dikompromikan.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 Juni 2026

Estimasi yang dipublikasikan berkisar dari sekitar 31 juta dolar AS hingga 36 juta dolar AS, sebagian karena token H yang dicuri dinilai pada harga pasar yang berbeda dan pada tahap insiden yang berbeda. Masalah struktural yang lebih penting adalah konsentrasi beberapa kredensial berhak istimewa pada satu endpoint yang dikompromikan. Pengaturan multisignature hanya memberikan perlindungan yang bermakna ketika kuncinya dipisahkan di antara orang, perangkat, lokasi, dan lingkungan administratif. Beberapa kredensial yang disimpan di atau dapat dipulihkan dari komputer yang sama dapat memenuhi ambang tanda tangan onchain sekaligus tetap beroperasi sebagai satu titik kegagalan praktis. 6. Resolv Protocol – Sekitar 26,8 Juta Dolar AS Resolv Protocol dieksploitasi pada 22 Maret setelah seorang penyerang mengompromikan infrastruktur cloud-nya dan memperoleh akses ke kunci yang dikendalikan melalui AWS Key Management Service. Resolv menggunakan layanan offchain untuk mengotorisasi pembuatan USR setelah pengguna menyetor jaminan. Menurut analisis insiden CertiK, penyerang melakukan setoran USDC legal yang relatif kecil lalu menggunakan peran layanan yang dikompromikan untuk mengotorisasi sekitar 80 juta USR di dua transaksi. Kontrak memverifikasi bahwa otorisasi berasal dari layanan yang disetujui. Kontrak menetapkan keluaran minimum tetapi tidak menegakkan jumlah maksimum yang terkait dengan jaminan yang disetor pengguna. Setelah layanan berhak istimewa dikompromikan, penyerang dapat menghasilkan tanda tangan yang valid secara kriptografis tetapi tidak didukung secara ekonomi. Ini tidak berarti layanan key-management cloud secara inheren tidak cocok untuk infrastruktur kripto. Masalah desain yang lebih besar adalah besarnya otoritas ekonomi tanpa batas yang diberikan kepada satu peran layanan. Kunci yang dilindungi tetap bisa menjadi titik kegagalan yang katastrofik ketika kontrak yang menerima tanda tangannya tidak menegakkan secara independen rasio jaminan, batas minting, batas transaksi, atau kecepatan penarikan. 7. Truebit – 26 Juta Dolar AS Truebit dieksploitasi pada 8 Januari melalui kerentanan integer-overflow pada kontrak bonding-curve yang dideploy pada 2021. Kontrak tersebut dikompilasi dengan Solidity 0.5.3, sebelum perlindungan overflow otomatis diperkenalkan di Solidity 0.8.0. Seorang penyerang memasok nilai yang sangat besar yang menyebabkan perhitungan aritmetika berputar menjadi angka mendekati nol. Ini memungkinkan kuantitas TRU yang besar dimintal dengan hampir tanpa ETH lalu ditebus untuk ETH riil yang dipegang kontrak. Chainalysis memperkirakan kerugian utama sebesar 26,2 juta dolar AS. CertiK menempatkan jumlah gabungan lebih dekat ke 26,6 juta dolar AS, termasuk sekitar 224.000 dolar AS yang diekstrak oleh penyerang kedua. Implementasi yang rentan belum diverifikasi secara publik di Etherscan. Itu tidak mencegah penyerang untuk menelitinya. Bytecode kontrak bisa didekompilasi, perilaku kompiler lama bisa diidentifikasi, dan kerentanan yang dicurigai bisa diuji melalui simulasi atau blockchain fork. Truebit adalah pengecualian besar yang paling jelas terhadap pola luas yang terlihat pada 2026. Kerugiannya berasal dari logika eksekusi publik, bukan otoritas operasional yang dikompromikan. Ini juga menunjukkan mengapa kontrak yang menganggur harus tetap berada dalam lingkup audit, monitoring, dan bug-bounty selama masih menyimpan dana atau izin. Mengapa Echo Protocol Tidak Masuk Peringkat sebagai Pencurian 76,7 Juta Dolar AS Echo Protocol kadang digambarkan mengalami kerugian 76,7 juta dolar AS karena seorang penyerang menggunakan kunci administrator yang dikompromikan untuk mint 1.000 eBTC tanpa jaminan yang membawa nilai notional tersebut. Penyerang tidak mengekstrak 76,7 juta dolar AS dalam aset riil. Menurut Merkle Science, 45 dari eBTC curang tersebut disetor ke protokol lending Curvance. Penyerang meminjam sekitar 11,29 WBTC, senilai sekitar 867.000 dolar AS, sebelum 955 eBTC tanpa jaminan yang tersisa dibakar. Jadi angka yang akurat adalah:

• Penerbitan curang: Sekitar 76,7 juta dolar AS dalam notional eBTC.
• Aset riil yang diekstrak: Sekitar 867.000 dolar AS dalam WBTC.
• Pasokan tanpa jaminan yang tersisa: Dibakar setelah insiden.

Mengklasifikasikan seluruh jumlah notional sebagai yang dicuri akan melebih-lebihkan kerusakan yang terealisasi hampir 90 kali. Echo tetap menyingkap masalah risiko jaminan yang penting. Oracle Curvance memang mengenali nilai pasar yang ditetapkan untuk eBTC, tetapi tidak bisa menentukan bahwa token tertentu itu telah dibuat tanpa dukungan. Integritas harga tidak sama dengan integritas penerbitan. Protokol lending yang menerima jaminan yang diterbitkan secara eksternal membutuhkan kontrol untuk pembuatan pasokan yang tidak normal, perubahan otoritas minting, setoran jaminan mendadak, verifikasi dukungan, dan risiko administratif tingkat penerbit. Feed harga yang benar tidak bisa menjawab pertanyaan-pertanyaan itu sendiri. Kegagalan Umum Ada pada Control Plane Insiden terbesar 2026 tidak berbagi satu kerentanan kode. Mereka berbagi kelemahan pada sistem yang bertanggung jawab menentukan apa yang diizinkan dilakukan oleh kode tersebut. Dalam terminologi infrastruktur tradisional, lapisan eksekusi memproses aktivitas biasa, sementara control plane menentukan izin, konfigurasi, sumber data tepercaya, dan tindakan luar biasa.

Perbedaan itu selaras kuat dengan insiden terbesar:

Kelp: Sebuah verifier menerima versi aktivitas rantai sumber yang dipalsukan.

Drift: Tanda tangan yang valid mentransfer kendali administratif.

Step: Perangkat eksekutif yang dikompromikan mengekspos otoritas treasury.

Humanity: Endpoint yang dikompromikan mengekspos kunci berhak istimewa.

Resolv: Peran layanan yang dikompromikan membuat otorisasi yang valid tetapi tidak didukung secara ekonomi.

Echo: Satu kunci administrator dapat memberikan otoritas minting tanpa batas.

Truebit: Pengecualian berasal dari kekeliruan aritmetika pada kode kontrak warisan.

CertiK mencatat 204 insiden kerentanan kode selama paruh pertama tahun ini, menghasilkan sekitar 151,6 juta dolar AS kerugian. Kompromi dompet menyebabkan 444,5 juta dolar AS kerugian hanya dalam 33 insiden. Itu menghasilkan rata-rata sekitar 743.000 dolar AS per insiden kerentanan kode dan 13,5 juta dolar AS per insiden kompromi dompet. Secara rata-rata, kompromi dompet kira-kira 18 kali lebih mahal. Perbandingan ini tidak membuat audit kontrak pintar menjadi kurang penting. Ini menunjukkan bahwa mengaudit kontrak sambil mengecualikan penandatangan, dependensi RPC, antarmuka administratif, peran cloud, dan kontrol darurat menyisakan sebagian besar sistem finansial yang belum diuji. Lima Kontrol yang Menangani Kegagalan Nyata Tegakkan Batas Ekonomi Setelah Autentikasi Tanda tangan yang valid harus membuktikan siapa yang menyetujui sebuah tindakan. Tanda tangan itu tidak boleh memberikan otoritas ekonomi tanpa batas. Minting, bridging, persetujuan jaminan, dan penarikan masih bisa dibatasi melalui ukuran transaksi maksimum, limit bergulir, rasio jaminan, penundaan waktu, batas khusus aset, dan jeda otomatis. Kontrol ini mungkin tidak mencegah kompromi kredensial, tetapi dapat menghentikan satu kunci yang dikompromikan agar tidak segera membuat liabilitas tanpa batas. Ukur Independensi, Bukan Jumlah Kunci Multisig 3-of-5 tidak terdistribusi secara bermakna jika tiga kunci dapat dipulihkan dari satu laptop atau dikendalikan melalui akun perusahaan yang sama. Panduan NIST tentang key-management menekankan kontrol siklus hidup termasuk otorisasi, pencadangan, akuntabilitas, pemisahan tugas, respons terhadap kompromi, serta perlindungan materi pembuatan kunci. Protokol harus mengidentifikasi apakah penandatangan yang diduga independen berbagi perangkat, pengelola kata sandi, tenant cloud, prosedur pemulihan, lokasi fisik, atau jalur pelaporan. Pantau Relasi, Bukan Hanya Transaksi Setiap transaksi individu dalam eksploit Kelp tampak valid. Kegagalan yang bisa dideteksi adalah hubungan yang hilang antara dua rantai: rsETH dilepaskan di Ethereum tanpa dibakar di rantai sumber. Pemantauan jembatan harus terus merekonsiliasi lock, burn, mint, dan release di setiap jaringan yang relevan. Pemeriksaan invariant serupa dapat membandingkan jaminan yang disetor dengan token yang dimintal, cadangan terhadap pasokan beredar, serta batas penarikan yang disetujui terhadap arus keluar yang benar-benar terjadi. Simulasikan Niat Administratif Sebelum Menandatangani Dompet hardware melindungi kunci privat, tetapi tidak bisa menentukan apakah pengguna yang sah menyetujui transaksi yang berbahaya. Transaksi administratif harus didekode dan disimulasikan dalam lingkungan terpisah sebelum dieksekusi. Penandatangan perlu melihat perubahan izin yang dihasilkan, aset jaminan yang baru disetujui, parameter penetapan harga, batas penarikan, upgrade kontrak, dan transfer kepemilikan, bukan hanya hash transaksi atau prompt dompet yang buram. Jaga Kontrak Warisan Tetap di Perimeter Keamanan Sebuah kontrak tidak menjadi lebih aman hanya karena telah beroperasi tanpa insiden selama beberapa tahun. Setiap deployment yang memegang aset, memproses penebusan, mengendalikan izin protokol, atau masih terhubung ke produk yang sedang berjalan harus memiliki kode sumber yang diverifikasi, asumsi kompiler yang didokumentasikan, monitoring aktif, serta dimasukkan dalam program audit dan bug-bounty. Dekomposisi Berbantuan AI Dapat Mengurangi Waktu yang Dibutuhkan Penyerang untuk Mengidentifikasi Kekeliruan Aritmetika, Akses-Kontrol, atau Validasi yang Lama. Keamanan melalui ketidakjelasan menjadi kurang efektif seiring alat-alat itu membaik. AI Sedang Memperkuat Model Penipuan yang Sudah Ada AI tidak menciptakan kerentanan inti di balik Kelp, Drift, Resolv, atau Echo. Efeknya yang lebih langsung adalah menurunkan biaya riset target, peniruan identitas, lokalisasi, dan komunikasi berkelanjutan. Laporan Kejahatan Kripto 2026 dari Chainalysis, yang menganalisis aktivitas 2025, menemukan bahwa operasi scam dengan tautan yang dapat diidentifikasi ke penyedia layanan AI sekitar 4,5 kali lebih menguntungkan daripada scam tanpa tautan tersebut. Bukti itu tidak boleh dipresentasikan sebagai bukti bahwa setiap serangan canggih pada 2026 menggunakan AI. Ini menunjukkan bahwa operasi berbantuan AI sudah menghasilkan imbal hasil yang lebih tinggi dan dapat membuat beberapa teknik yang sudah mapan lebih mudah untuk diskalakan:

Identitas Sintetis

Video dan suara deepfake untuk peniruan.

Reconnaissance Lanjutan

Riset target lintas jaringan sosial dan profesional.

Social Engineering Multibahasa

Percakapan yang berlangsung lama dalam beberapa bahasa.

Phishing Adaptif

Antarmuka yang dikloning dan halaman phishing yang dipersonalisasi.

Riset Kerentanan yang Terotomasi

Analisis otomatis kontrak dan bytecode yang didekompilasi.

Perkembangan yang mungkin adalah kombinasi metode sosial dan teknis. Social engineering memperoleh kredensial atau otorisasi; izin protokol yang sudah ada kemudian mengubah akses itu menjadi kerugian finansial. Perubahan Regulasi Mengutamakan Akuntabilitas, Bukan Mekanik Eksploit Masa transisi MiCA Uni Eropa berakhir pada 1 Juli 2026. Penyedia layanan aset kripto yang tercakup umumnya kini memerlukan otorisasi untuk terus beroperasi di UE, tergantung pada ruang lingkup regulasi dan keputusan pengawas nasional. MiCA dapat memperkuat tata kelola, custody, kontrol operasional, dan akuntabilitas. MiCA tidak bisa menentukan apakah sebuah jembatan menggunakan verifier independen, apakah kunci berhak istimewa dipisahkan dengan benar, atau apakah penandatangan yang diotorisasi memahami transaksi berbahaya. Undang-Undang GENIUS AS ditandatangani menjadi undang-undang pada 18 Juli 2025 dan menetapkan kerangka federal untuk stablecoin pembayaran. Itu bukan rezim keamanan siber umum untuk setiap jembatan, bursa, dompet, atau protokol DeFi. Regulasi menentukan siapa yang bertanggung jawab dan pengaman apa yang harus ada. Rekayasa keamanan menentukan apakah pesan yang dipalsukan, kunci yang dikompromikan, atau persetujuan berbahaya dapat mengeksekusi sebelum pengaman tersebut merespons. Yang Perlu Dipantau Sepanjang Sisa 2026 Gambaran keamanan akhir 2026 harus dinilai lewat lebih dari sekadar akumulasi kerugian headline.

Intelijen Keamanan: Indikator Utama

Konsentrasi kerugian

Apakah beberapa insiden ekstrem terus mendominasi total tahunan.

Attack surface

Apakah kompromi dompet, administratif, cloud, dan infrastruktur tetap lebih mahal dibanding eksploit kode.

Kerusakan yang Disesuaikan dengan Pemulihan

Seberapa banyak yang masih hilang setelah pembekuan, pembayaran balik, dan pengembalian yang dinegosiasikan.

Kualitas atribusi

Apakah tautan awal ke kelompok yang didukung negara didukung oleh investigasi yang selesai.

Adopsi kontrol

Apakah protokol memperkenalkan verifikasi independen, simulasi transaksi, pemisahan kunci, dan batas ekonomi yang bisa ditegakkan sebelum serangan besar berikutnya.

Peringkat ini adalah snapshot yang disiapkan pada 17 Juli, bukan catatan final untuk setahun. Hampir 46% dari 2026 masih tersisa, dan angka kerugian historis dapat terus berubah melalui pemulihan aset, revisi harga token, dompet yang baru teridentifikasi, serta perbedaan yang lebih jelas antara eksposur notional dan pencurian yang terealisasi. Bukti mendukung kesimpulan yang lebih sempit: insiden dengan nilai tertinggi semakin menargetkan sistem control di sekitar smart contract, penandatangan, perangkat, infrastruktur RPC, layanan berhak istimewa, dan jaringan verifikasi, bukan sekadar logika kontrak.

Artikel ini hanya untuk tujuan edukasi. Penilaian insiden dapat berubah karena pergerakan harga aset, pemulihan, atribusi yang direvisi, dan perbedaan antara eksposur kotor, ekstraksi yang terealisasi, dan kerugian bersih.