Kerugian keamanan kripto mencapai $1,1 miliar dari 212 insiden terverifikasi selama paruh pertama tahun 2026, menurut laporan H1 yang diterbitkan oleh Blockaid pada 28 Juli.
Blockaid menggambarkan jumlah insiden selama enam bulan tersebut sebagai rekor dan menyatakan bahwa mereka memverifikasi lebih banyak eksploitasi selama H1 dibandingkan sepanjang tahun 2025.
Serangan keamanan operasional menyebabkan 74% dari nilai yang dicuri, sementara satu kelompok yang terkait dengan Republik Rakyat Demokratik Korea menyumbang 55%. Blockaid juga mengatakan jumlah insiden 3,4 kali total tahun 2025, meskipun perusahaan keamanan menggunakan definisi dan metode cakupan yang berbeda saat menyusun estimasi kerugian industri.
Angka-angka Blockaid menunjukkan pergeseran dari serangan yang hanya bergantung pada kode smart contract yang cacat. Perangkat yang disusupi, kredensial istimewa, private key, sistem penandatanganan, dan infrastruktur off-chain menghasilkan sebagian besar kerugian yang terukur. Serangan-serangan ini dapat menghasilkan transaksi blockchain yang terlihat valid karena kredensial yang sah menyetujuinya.
Pola tersebut mengurangi perlindungan yang ditawarkan oleh audit kode saja. Audit dapat mengidentifikasi kelemahan kontrak, tetapi tidak dapat menghentikan administrator yang disusupi untuk menandatangani transaksi berbahaya atau mencegah verifikator bridge mengandalkan infrastruktur yang disusupi. Blockaid mengatakan vektor serangan baru muncul selama H1 dan memperingatkan bahwa beberapa di antaranya dapat meluas selama paruh kedua.
Proyek-proyek terkait Ethereum kehilangan sekitar $332 juta, menurut laporan Blockaid, dengan kerentanan kode bertanggung jawab atas sebagian besar total tersebut. Kasus terkait Ethereum terbesar adalah KelpDAO, di mana penyerang melepaskan 116.500 rsETH senilai sekitar $292 juta dari kontrak bridge setelah memalsukan pesan rantai sumber.
Proyek-proyek terkait Solana kehilangan sekitar $326 juta. Lebih dari 98% berasal dari kunci yang disusupi dan infrastruktur penandatanganan daripada bug smart contract, Blockaid menemukan. Drift Protocol dan Step Finance menyumbang sebagian besar jumlah tersebut, sementara insiden terkait kode yang lebih kecil mempengaruhi proyek-proyek termasuk Raydium dan Volo.
Perbandingan jaringan tidak menetapkan bahwa satu blockchain secara inheren lebih aman. Sebaliknya, ini mencerminkan aplikasi mana yang diserang dan bagaimana tim mereka mengelola akses istimewa. Satu insiden besar juga dapat mendominasi total jaringan selama enam bulan.
Chainalysis menghubungkan serangan KelpDAO 18 April dengan Lazarus Group Korea Utara. Investigasi mereka menemukan bahwa penyerang menyusupi node RPC internal dan mengganggu node eksternal, menyebabkan sistem verifikator tunggal menerima peristiwa pembakaran palsu. Bridge sisi Ethereum kemudian melepaskan rsETH meskipun tidak ada token yang sesuai yang telah dihancurkan pada rantai sumber.
Seperti yang dilaporkan crypto.news, KelpDAO menyelesaikan fase operasional rencana pemulihannya pada 25 Mei setelah mentransfer tranche rsETH terakhir sebanyak 20.373,72 ke adapter bridge-nya. Pencetakan, penukaran, dan hadiah dilanjutkan, meskipun litigasi dan klaim yang disengketakan yang melibatkan dana yang dibekukan tetap belum terselesaikan.
Drift mengalami serangan akses istimewa terpisah pada 1 April. Chainalysis mengatakan penyerang menggunakan berbulan-bulan rekayasa sosial dan transaksi durable-nonce yang sudah ditandatangani sebelumnya untuk mendapatkan kendali administratif. Pembaruan pemulihan Drift pada 16 April menilai aset yang dicuri sebesar $295,7 juta, di atas perkiraan awal sekitar $285 juta yang digunakan oleh Blockaid dan beberapa penyelidik.
Dalam liputan terkait, crypto.news melaporkan bahwa Step Finance ditutup setelah penyerang menyusupi perangkat eksekutif dan menguras hingga $40 juta dari aset yang dikendalikan oleh treasury. Perusahaan memulihkan sekitar $4,7 juta tetapi mengatakan pembicaraan pembiayaan dan akuisisi tidak menghasilkan jalan yang berkelanjutan ke depan.
Drift mengusulkan kumpulan pemulihan yang didukung oleh pendapatan bursa, Tether, dan mitra lainnya. Rencananya mencakup dukungan yang diusulkan hingga $127,5 juta dari Tether, $20 juta dari mitra lain, dan token pemulihan yang dapat ditransfer secara terpisah. Protokol tersebut mengatakan bahwa peluncuran ulangnya akan memerlukan audit oleh OtterSec dan Asymmetric, perangkat penandatanganan khusus, timelock, dan multisig yang didesain ulang.
Pencurian tersebut tetap menjadi kasus on-chain yang aktif. Seperti yang dilaporkan sebelumnya, dompet yang terkait dengan penyerang Drift memindahkan 23.095,1 Ether, senilai sekitar $44,4 juta, ke Tornado Cash antara 23 dan 24 Juli setelah sekitar tiga bulan tidak aktif.
Blockaid berharap tim akan lebih fokus pada pemeriksaan niat transaksi, perangkat penandatanganan terisolasi, segregasi kunci, dan pemantauan di seluruh bridge dan infrastruktur. Langkah-langkah tersebut adalah rekomendasi perusahaan, bukan jaminan.
Pembaruan terverifikasi berikutnya akan datang dari ketentuan token pemulihan dan jadwal peluncuran ulang Drift, proses klaim Step Finance yang tersisa, proses pengadilan terkait dana KelpDAO yang dibekukan, dan penyitaan aset apa pun yang diumumkan oleh lembaga penegak hukum.
