Serangkaian serangan dalam hitungan jam, protokol terkait Bitcoin dan Ethereum rugi lebih dari US$35 juta

Hari ini menjadi periode yang sangat buruk bagi jembatan (bridge) kripto dan protokol lintas-chain. Dalam rentang sekitar enam jam, sedikitnya tiga layanan terkuras beruntun dengan total kerugian gabungan melampaui US$35 juta, berdasarkan data on-chain yang ditelaah CoinDesk serta laporan firma keamanan BlockAid dan PeckShield. Pola serangannya serupa: tidak ada yang mematahkan kriptografi inti. Kebocoran dana terjadi karena celah logika—kode berjalan sesuai rancangan tetapi aturannya tetap memungkinkan dana keluar—atau karena kunci/otoritas administratif yang disusupi sehingga penyerang memperoleh kendali yang semestinya tidak dimiliki. Kasus yang paling menonjol datang dari jaringan blockchain Verus. BlockAid mendeteksi eksploit pada jembatan Verus–Ethereum pada Kamis dini hari yang menguras sekitar US$7,54 juta dalam ETH, tokenized bitcoin, serta sejumlah stablecoin. Menurut BlockAid, penyerang memanfaatkan jalur "import" pada bridge untuk memicu pembayaran di sisi Ethereum tanpa dukungan aset yang memadai, sehingga cadangan bridge terkuras sekitar US$7,54 juta dalam ETH, tBTC, USDC, USDT, EURC, MKR, dan scrvUSD. BlockAid juga menilai serangan ini menggunakan kontrak bridge dan jalur masuk yang sama seperti peretasan sebelumnya, dengan kelas bug yang identik. CoinDesk melaporkan insiden terdahulu itu pada Mei, ketika Verus mengalami kerugian US$11,5 juta. Bridge adalah perangkat berbasis blockchain yang memungkinkan aset berpindah antarjaringan yang tidak saling kompatibel. Mekanismenya menahan token asli di satu jaringan dan menerbitkan klaim atas token tersebut di jaringan lain; keamanannya bergantung pada verifikasi yang tepat bahwa setiap penarikan benar-benar didukung aset yang dikunci di rantai seberang. Pada Verus, kelemahan tersebut memungkinkan penyerang memicu payout di sisi Ethereum tanpa dukungan yang benar di sisi Verus, sehingga bridge melepaskan dana riil untuk klaim yang nilainya nyaris tidak ada. Pada serangan Mei, penyerang mengembalikan sebagian besar dana sebagai imbalan bounty. Berdasarkan catatan on-chain yang dihimpun peneliti keamanan, Verus kemudian menyetor kembali dana yang dipulihkan itu ke bridge yang sama pada 8 Juli. Dua pekan kemudian, bridge tersebut terkuras lagi. Dampaknya tercermin pada metrik protokol. Menurut DefiLlama, Verus sempat memiliki total value locked (TVL) mendekati US$100 juta di awal 2025. Per Kamis, TVL-nya sekitar US$9 juta, menyusut bertahap dan kembali turun pekan ini saat peretasan terbaru terjadi. Kegagalan berulang bukan hanya menambah kerugian per insiden, tetapi juga mengikis kepercayaan yang membuat aset bertahan di platform. Serangan lain yang telah dikonfirmasi menimpa B² Network, jaringan penskalaan yang dirancang agar transaksi Bitcoin lebih murah dan cepat. B² menyatakan pada Kamis pagi waktu Asia bahwa penyerang memperoleh akses tanpa izin ke otoritas upgrade pada kontrak staking tokennya—izin administratif yang menentukan bagaimana kontrak beroperasi. Firma keamanan Lookonchain melacak sekitar US$3,86 juta token B2 yang dijual, dikonversi menjadi ETH dan stablecoin, lalu dipindahkan. B² menyebut insiden telah ditangani, staking dihentikan sementara, dan pengguna terdampak akan diganti sepenuhnya. Pelajaran utamanya: keamanan smart contract bergantung pada kunci dan izin yang mengendalikannya. Jika penyerang merebut otoritas untuk mengubah perilaku kontrak, mereka tidak memerlukan bug—aturan bisa ditulis ulang atau dana dikuras langsung. Mode kegagalan ini berada di balik pencurian terbesar dalam sejarah kripto, mulai dari peretasan bridge Wormhole dan Nomad pada 2022 hingga kerugian KelpDAO sekitar US$290 juta awal tahun ini. Risiko itu dinilai makin sulit ditekan. Dalam analisis yang dipublikasikan pekan ini, OpenAI mengungkapkan bahwa dalam evaluasi internal, model AI mereka berhasil keluar dari lingkungan uji dan mengompromikan server Hugging Face dengan merangkai kredensial yang dicuri serta celah perangkat lunak yang sebelumnya tidak diketahui. Batas keselamatan model diturunkan untuk pengujian, sehingga ini bukan sistem yang bertindak sendiri. Meski begitu, uji tersebut menunjukkan secara nyata bahwa AI kini mampu melakukan intrusi bertahap dan sabar yang hingga baru-baru ini menuntut tim manusia terampil. Di banyak industri, pelanggaran berarti respons insiden dan pemulihan. Di kripto, ketika kontrak sudah terkuras, hasilnya final dan tidak ada mekanisme chargeback. Dalam 24 jam, empat tim—Verus, B², AFX, dan Balance—mengalami pengurasan dana dengan akar masalah yang sama. Tidak ada yang tumbang karena sandi yang jebol; masing-masing kehilangan kendali yang dipercaya, dan alat untuk menemukan serta mengeksploitasi titik kendali itu terus makin tajam.