Dua Peretasan Crypto Bridge dalam 7 Jam, Dana US$31,6 Juta Terkuras

Masalah keamanan cross-chain kembali menekan pasar kripto setelah penyelidik melaporkan dua insiden eksploitasi bridge yang terjadi terpisah hanya dalam hitungan jam. Perusahaan analitik on-chain Blockaid menyebut total kerugian gabungan melampaui US$31,6 juta, dengan dana dicuri dari infrastruktur bridge yang digunakan oleh decentralized perpetual exchange AFX serta Verus Ethereum Bridge. Blockaid mengatakan bridge milik AFX kehilangan US$24,15 juta pada Rabu. Tak lama berselang, serangan lain yang menargetkan Verus Ethereum Bridge menguras sekitar US$7,5 juta dari cadangan bridge. Dua kejadian beruntun ini menegaskan bahwa operator bridge dan protokol yang mengintegrasikannya tetap rentan, meski eksploit tidak selalu terkait kelemahan pada level satu blockchain tertentu. Poin utama yang dilaporkan Blockaid Blockaid mencatat kerugian US$24,15 juta dari bridge yang dioperasikan AFX di Arbitrum dan sekitar US$7,5 juta yang terkuras dari Verus Ethereum Bridge dalam rentang waktu beberapa jam. Co-founder Offchain Labs, Stephen Goldfeder, menegaskan native bridge Arbitrum tidak diretas. Ia menyebut aktivitas yang dipermasalahkan berasal dari protokol pihak ketiga. Peneliti keamanan menilai insiden AFX kemungkinan terkait kompromi kunci (keys) alih-alih cacat logika smart contract. Blockaid menyebut eksploit Verus terlihat mirip dengan insiden pada Mei, memakai metode serupa tetapi melibatkan dompet penyerang yang berbeda. Kedua kasus memperlihatkan bridge tetap menjadi target bernilai tinggi karena menampung pool aset besar dan memindahkan nilai lintas ekosistem. Eksploit bridge AFX di Arbitrum: sasaran serangan Blockaid mengatakan pihaknya mendeteksi eksploit pada pukul 21:30 UTC yang mengincar sebuah bridge yang dioperasikan AFX, bursa perpetual terdesentralisasi yang berjalan di Arbitrum. Temuan awal menggambarkan kejadian ini sebagai kompromi bridge yang terkait integrasi pihak ketiga, bukan pelanggaran terhadap infrastruktur bridging inti milik Arbitrum. Goldfeder menyatakan laporan peretasan bridge yang beredar di internet berkaitan dengan sebuah transaksi yang bersumber dari protokol pihak ketiga, dan native bridge Arbitrum sendiri tidak dieksploitasi. Ia menekankan bahwa native bridge Arbitrum "tidak diretas atau dieksploitasi dengan cara apa pun". Analisis tambahan dari SunSec, pendiri komunitas keamanan DeFi DeFiHackLabs dan kontributor SEAL, mengindikasikan bukti lebih mengarah pada kompromi kunci dibanding kelemahan logika smart contract. Perbedaan ini penting untuk respons insiden—kompromi kunci umumnya menuntut rotasi kredensial segera dan peninjauan akses yang lebih luas—serta menunjukkan titik terlemah tidak selalu berada pada kontrak bridge itu sendiri. Cointelegraph dilaporkan meminta komentar dari AFX terkait insiden tersebut. Informasi yang tersedia berfokus pada apa yang diamati Blockaid dan investigator terkait selama kejadian. Serangan Verus Ethereum Bridge: pola mirip insiden Mei Dalam insiden terpisah, Blockaid melaporkan eksploit yang menargetkan Verus Ethereum Bridge dan menguras sekitar US$7,5 juta dari berbagai aset yang disimpan dalam cadangan bridge. Token yang disebut antara lain Ether (ETH), tBTC, USDC, USDt, EURC, MKR, dan scrvUSD. Blockaid menilai metode serangan tampak serupa dengan insiden Verus Ethereum Bridge pada Mei yang mengakibatkan pencurian US$11,58 juta. Pada kasus sebelumnya, pendekatan secara umum dinilai sama, tetapi dilakukan oleh dompet penyerang yang berbeda. Menurut Blockaid, penyerang memanfaatkan "import path" bridge untuk memicu "payout di sisi Ethereum tanpa dukungan (unbacked)". Secara praktis, ini mengarah pada kelemahan di level alur kerja: penyerang diduga dapat memaksa bridge melepaskan aset di satu sisi tanpa adanya backing yang sepadan di sisi lain, sehingga cadangan dapat terkuras langsung. Bagi pengguna dan pihak yang mengintegrasikan bridge, berulangnya taktik ini menggarisbawahi risiko yang menetap. Perbaikan satu celah belum tentu menutup peluang eksploit jika asumsi dasar dalam mekanisme import dan payout tidak ditangani sepenuhnya. Mengapa kegagalan bridge terus berulang Eksploit bridge sulit dihilangkan sepenuhnya karena infrastruktur cross-chain umumnya menggabungkan banyak komponen: kustodi aset, message passing atau mekanisme import/ekspor, serta perizinan untuk memicu alur penyelesaian (settlement). Ketika penyerang menemukan celah di antara elemen-elemen ini—baik melalui kompromi kredensial, otorisasi yang keliru, maupun kelemahan dalam validasi state lintas chain—hasilnya sering berupa pengurasan dana yang cepat. Penyelidik on-chain TheCrypticWolf merangkum isu ini dalam unggahan di X dengan menyatakan bridge akan tetap menjadi titik lemah hingga "keamanan ditingkatkan". Pernyataan tersebut bersifat umum, tetapi dua serangan yang dilaporkan pada hari yang sama memberi konteks nyata: cadangan bridge yang besar menarik minat penyerang, sementara kompleksitas sistem membuat penguatan menyeluruh menjadi sulit. Terdapat perbedaan penting antara dua kasus ini. Pada insiden AFX, klarifikasi Goldfeder bahwa native bridge Arbitrum tidak terdampak mengarah pada masalah integrasi pihak ketiga atau kontrol bridge yang terkait protokol tertentu. Pada insiden Verus, penjelasan Blockaid menekankan bagaimana mekanisme import dapat memicu payout di sisi Ethereum yang tidak didukung dengan benar—isu yang berpotensi lebih dekat dengan logika settlement dan asumsi state. Hal yang perlu dipantau selanjutnya Insiden terkait bridge biasanya diikuti langkah darurat seperti pengaktifan kontrol jeda (pause), peningkatan pemantauan, serta perubahan alur kustodi atau otorisasi. Pembaca dapat memantau pengungkapan lanjutan dari AFX dan ekosistem Verus, terutama soal temuan akar masalah dari Blockaid dan peneliti lain—apakah berupa kompromi kunci, kegagalan otorisasi, atau kelemahan berulang pada mekanisme settlement import/ekspor. Lebih luas lagi, kejadian ini menegaskan eksposur cross-chain tidak hanya menjadi tanggung jawab operator bridge. Aplikasi terdesentralisasi dan trader yang mengandalkan bridge untuk likuiditas dan settlement perlu memperlakukan keamanan bridge sebagai risiko yang terus berkembang, bukan sekadar checklist satu kali. Artikel ini awalnya diterbitkan dengan judul "Hackers Drain $31.6M After Two Crypto Bridge Breaches in 7 Hours" di Crypto Breaking News.