Protokol terkait Bitcoin dan Ethereum kehilangan $35 juta dalam serangan beruntun dengan jarak beberapa jam

Jembatan dan protokol lintas-rantai kripto sedang mengalami hari yang berat.

Setidaknya tiga dompet dikuras secara berurutan dalam periode 6 jam dengan total gabungan melebihi $35 juta, menurut data blockchain yang dianalisis oleh CoinDesk dan dilaporkan oleh perusahaan keamanan BlockAid dan Peckshield.

Rangkaian serangan tersebut memiliki benang merah yang sama. Tidak ada yang berhasil menembus kriptografi dasar — masing-masing merupakan cacat logika, di mana kode berjalan sesuai tulisan tetapi aturan tetap memungkinkan uang keluar, atau kunci yang dikompromikan yang memberikan kontrol kepada penyerang yang seharusnya tidak pernah dimilikinya.

Yang paling merusak adalah jaringan blockchain Verus. Blockaid terdeteksi sebuah eksploit pada jembatan Verus-Ethereum awal hari Kamis yang menguras sekitar $7,54 juta dalam bentuk ether, bitcoin tokenisasi, dan berbagai stablecoin.

Perusahaan tersebut menandai bahwa serangan tersebut menggunakan kembali kontrak jembatan yang sama dan jalur masuk yang sama seperti peretasan sebelumnya, dengan mengeksploitasi kelas bug yang identik. CoinDesk melaporkan insiden sebelumnya tersebut, kerugian sebesar $11,5 juta, pada bulan Mei.

Jembatan adalah alat berbasis blockchain yang memungkinkan aset bergerak antara dua jaringan yang seharusnya tidak dapat berinteraksi satu sama lain. Alat ini memegang token nyata di satu sisi dan mengeluarkan klaim terhadap token tersebut di sisi lain, dan keamanannya sepenuhnya bergantung pada verifikasi yang benar bahwa setiap penarikan benar-benar didukung oleh aset yang terkunci di rantai lain.

Kelemahan pada Verus memungkinkan seorang aktor jahat memicu pembayaran di sisi Ethereum yang sebenarnya tidak didukung dengan tepat di sisi Verus, sehingga jembatan tersebut melepaskan uang nyata terhadap klaim yang hampir tidak bernilai.

Pelaku serangan mengembalikan sebagian besar dana sebagai imbalan atas hadiah setelah serangan pada bulan Mei. Verus kemudian menyetorkan kembali dana yang berhasil dipulihkan tersebut ke jembatan yang sama pada tanggal 8 Juli, menurut catatan onchain disusun oleh para peneliti keamanan, dan jembatan tersebut kembali dikuras dua minggu kemudian.

Biaya kepercayaan tersebut terlihat dalam angka protokol itu sendiri. Verus memegang nilai terkunci total hampir $100 juta pada awal tahun 2025, menurut DefiLlama. Asetnya sekitar $9 juta per Kamis, sebuah penurunan bertahap yang diselingi oleh penurunan tajam minggu ini ketika peretasan terbaru terjadi.

Kegagalan yang berulang seperti ini tidak hanya menyebabkan hilangnya uang yang dicuri dalam setiap serangan, tetapi juga menguras kepercayaan yang menjaga aset tetap berada di platform tersebut.

Serangan lain yang dikonfirmasi adalah B² Network, sebuah jaringan penskalaan yang dibangun untuk membuat transaksi Bitcoin lebih murah dan lebih cepat.

B² mengatakan pada jam pagi di Asia hari Kamis, seorang penyerang berhasil mendapatkan akses tidak sah ke otoritas peningkatan dari kontrak staking tokennya, yaitu izin administratif yang mengontrol bagaimana kontrak tersebut beroperasi.

Perusahaan keamanan Lookonchain melacak sekitar $3,86 juta dalam token B2 yang dijual, dikonversi menjadi ether dan stablecoin, kemudian dipindahkan. B² menyatakan telah menangani insiden tersebut, menangguhkan staking, dan akan memberikan kompensasi penuh kepada pengguna yang terdampak.

Kontrak pintar hanya seaman kunci dan izin yang mengendalikannya. Jika seorang penyerang mengambil alih wewenang untuk mengubah cara kerja kontrak, kode tersebut tidak perlu memiliki celah, karena penyerang dapat dengan mudah menulis ulang aturan atau menguras dana secara langsung.

Ini adalah modus kegagalan di balik pencurian terbesar dalam sejarah kripto, dari peretasan jembatan Wormhole dan Nomad pada tahun 2022 hingga kerugian sekitar $290 juta yang dialami KelpDAO awal tahun ini.

Dan akan menjadi lebih sulit untuk dipertahankan. Dalam sebuah analisis yang dipublikasikan minggu ini, OpenAI mengungkapkan bahwa selama evaluasi internal, model AI-nya keluar dari lingkungan pengujian dan mengompromikan server Hugging Face, menggabungkan kredensial yang dicuri dan celah perangkat lunak yang sebelumnya tidak diketahui untuk melakukannya.

Model-model tersebut memiliki batas keselamatan yang diturunkan untuk pengujian ini, sehingga ini bukanlah sistem yang bertindak sendiri. Namun, ini merupakan demonstrasi konkret bahwa AI kini dapat melakukan pekerjaan intrusi yang sabar dan bertahap yang hingga saat ini memerlukan tim manusia yang terampil.

Dalam sebagian besar industri, pelanggaran berarti respons insiden dan, akhirnya, pemulihan. Dalam kripto, di mana kontrak yang terkuras bersifat final dan tidak ada pengembalian dana, kemampuan yang sama menunjukkan ancaman tanpa tombol batalkan.

Dalam periode 24 jam, empat tim — Verus, B², AFX, dan Balance — mengalami kerugian dengan alasan mendasar yang sama. Tidak ada yang jatuh akibat kode yang rusak. Masing-masing kehilangan kendali yang terpercaya, dan alat untuk menemukan kendali tersebut semakin menjadi lebih tajam.