Platform kripto kehilangan $3,63 miliar dari 245 insiden keamanan terdokumentasi antara Januari 2025 dan Juli 2026, menurut Laporan Keamanan Kripto CoinGecko yang diterbitkan pada 27 Agustus.

Kerugian sangat terkonsentrasi. Sepuluh serangan terbesar menyumbang lebih dari 72,5% dari total nilai yang dicuri, sementara kompromi infrastruktur dan rantai pasokan menyebabkan kerugian lebih dari $1,8 miliar.

CoinGecko mengidentifikasi kompromi kunci pribadi sebagai risiko utama bagi bursa terpusat. Aplikasi terdesentralisasi kehilangan sekitar $546 juta melalui eksploitasi smart contract, sementara kedua kategori platform juga menghadapi manipulasi oracle dan kegagalan mekanisme internal.

Angka-angka tersebut mewakili kumpulan data insiden CoinGecko. Ringkasan yang diterbitkan tidak secara jelas menyatakan apakah setiap aset yang dipulihkan atau dibekukan telah dikurangi, sehingga $3,63 miliar harus diperlakukan sebagai estimasi kerugian yang dilaporkan daripada total kerugian bersih akhir.

Kerugian keamanan kripto terkonsentrasi pada serangan besar

Pelanggaran Bybit pada Februari 2025 adalah insiden terbesar yang termasuk, menyumbang sekitar $1,44 miliar. Serangan tersebut melibatkan infrastruktur penandatanganan transaksi yang disusupi daripada cacat pada smart contract bursa.

Insiden besar lainnya termasuk pelanggaran KelpDAO senilai $292 juta, serangan Drift Protocol senilai $285 juta, dan eksploitasi Cetus senilai $223 juta. Metode yang berbeda ini menunjukkan mengapa satu kontrol keamanan tidak dapat mencakup seluruh permukaan serangan industri.

Serangan infrastruktur dapat menargetkan kunci pribadi, perangkat karyawan, antarmuka front-end, dependensi perangkat lunak, dan operator bridge. Komponen-komponen ini sering kali berada di luar smart contract yang ditinjau selama audit konvensional.

Kelompok yang didukung negara juga telah mengadopsi operasi yang lebih panjang dan kompleks. Seperti yang dilaporkan sebelumnya, dua serangan yang terkait dengan Korea Utara menguras sekitar $577 juta melalui rekayasa sosial dan kompromi infrastruktur bridge daripada cacat kontrak biasa.

Audit hanya mencakup sebagian kecil dari kelemahan yang dieksploitasi

CoinGecko menemukan bahwa 147 dari 245 platform yang terpengaruh, atau sekitar 60%, telah menyelesaikan audit keamanan independen sebelum mereka diserang. Platform-platform tersebut menyumbang 88,44% dari kerugian yang tercatat.

Temuan tersebut tidak membuktikan bahwa auditor menyetujui komponen yang rentan. CoinGecko mengatakan hanya sekitar 11% dari insiden yang melibatkan kelemahan yang termasuk dalam ruang lingkup audit smart contract rutin.

Kegagalan dalam ruang lingkup tersebut masih menyebabkan kerugian sekitar $396 juta. Sebagian besar insiden lainnya melibatkan infrastruktur eksternal, pembaruan perangkat lunak yang tidak diaudit, kredensial yang disusupi, atau mekanisme tata kelola yang tidak dinilai oleh audit.

Audit juga merupakan gambaran sesaat dari versi kode tertentu. Perubahan yang dilakukan setelah peninjauan dapat memperkenalkan kerentanan baru. Efektivitasnya tergantung pada ruang lingkup, metodologi, pengalaman auditor, dan apakah pengembang menyelesaikan temuan tersebut.

Dalam liputan terkait, tinjauan keamanan Ripple mengidentifikasi 96 masalah sebelum kode yang terpengaruh mencapai pengguna, menunjukkan bahwa audit dapat mencegah kerugian ketika temuan tiba sebelum aktivasi. Audit tidak dapat menggantikan pemantauan berkelanjutan dan keamanan operasional.

Kapasitas asuransi on-chain menurun seiring dengan peningkatan serangan

Cakupan aktif di seluruh protokol asuransi on-chain terkemuka menurun 20,2%, dari $163,2 juta menjadi $130,2 juta. Pembayaran kumulatif tetap sekitar $33 juta, menurut CoinGecko.

Lima dari sembilan protokol yang dilacak telah menjadi tidak aktif atau beralih ke area bisnis lain pada Agustus 2026. CoinGecko mengaitkan kemunduran ini sebagian karena risiko yang meningkat, premi yang mahal, dan kesulitan menarik penyedia modal.

Angka cakupan $130,2 juta tidak boleh dibandingkan secara langsung dengan $3,63 miliar sebagai rasio cakupan formal. Yang pertama adalah pengukuran pada satu titik waktu, sedangkan yang kedua mencakup insiden kumulatif selama 19 bulan.

Polis juga mengandung definisi yang sempit. Beberapa mencakup kegagalan smart contract yang terverifikasi tetapi mengecualikan phishing, pencurian kunci pribadi, kesalahan karyawan, volatilitas pasar, dan kerugian yang melibatkan rantai yang tidak didukung.

Bursa semakin mengandalkan cadangan yang didanai sendiri

Bursa terpusat semakin banyak mendirikan dana perlindungan investor daripada membeli asuransi eksternal penuh. Cadangan ini dapat memberikan penggantian yang lebih cepat setelah pelanggaran.

Namun, dana perlindungan tidak secara otomatis setara dengan asuransi yang diatur. Cakupan tergantung pada ketentuan bursa, kustodi cadangan, komposisi aset, dan diskresi atas peristiwa yang memenuhi syarat.

Atetasi bukti cadangan mengatasi masalah lain dengan menunjukkan bahwa bursa mengontrol aset yang sesuai dengan saldo pelanggan. Mereka tidak menetapkan manajemen kunci yang aman atau membuktikan bahwa semua kewajiban telah diungkapkan.

Uji berikutnya dari laporan ini adalah apakah platform akan memperluas audit di luar smart contract ke sistem operasional, bridge, dan dependensi perangkat lunak. Penyedia asuransi juga harus menentukan apakah perlindungan yang lebih luas dapat ditawarkan tanpa membuat premi tidak terjangkau.