Fokus insiden keamanan kripto kini dengan cepat bergeser dari kerentanan pada tingkat kode ke lapisan kepercayaan manusia.
Pada 1 April 2026, Drift Protocol—platform derivatif terdesentralisasi terkemuka di ekosistem Solana—mengalami serangan yang menyebabkan kerugian sekitar $285 juta. Total nilai terkunci (TVL) platform ini anjlok dari sekitar $550 juta sebelum insiden menjadi kurang lebih $230 juta setelahnya. Investigasi awal Drift mengonfirmasi bahwa operasi ini diatur oleh UNC4736, sebuah kelompok peretas yang dikaitkan dengan pemerintah Korea Utara, dan menggambarkannya sebagai "operasi intelijen terstruktur selama enam bulan."
Kesimpulan ini menandai sebuah transformasi yang jauh melampaui satu pelanggaran keamanan. Ketika peretas negara mulai beralih dari eksploitasi kerentanan kode ke infiltrasi kepercayaan antar-manusia dalam jangka waktu berbulan-bulan, paradigma keamanan seluruh industri DeFi sedang ditulis ulang secara sistematis. Serangan kini tidak lagi membutuhkan eksploitasi smart contract yang rumit atau pencurian private key—mereka hanya memerlukan hubungan yang sabar, identitas yang dirancang dengan cermat, dan waktu yang cukup.
Bagaimana Cara Kerja Serangan Ini?
Operasi UNC4736 menunjukkan tingkat organisasi dan komitmen sumber daya yang jauh melampaui kelompok peretas pada umumnya. Dimulai pada musim gugur 2025, individu yang mengaku sebagai perwakilan firma trading kuantitatif secara proaktif mendekati kontributor Drift di berbagai konferensi kripto internasional. Individu-individu ini memiliki keahlian teknis, latar belakang profesional yang dapat diverifikasi, dan memahami operasi Drift dengan baik. Menariknya, mereka yang melakukan kontak secara langsung bukan warga negara Korea Utara, melainkan perantara pihak ketiga yang dikerahkan oleh aktor ancaman Korea Utara.
Setelah membangun kepercayaan, kelompok ini bergabung dengan kas ekosistem Drift antara Desember 2025 dan Januari 2026, dengan menyetor lebih dari $1 juta dana mereka sendiri untuk membangun kredibilitas. Selama periode ini, mereka terlibat dalam diskusi profesional yang mendalam mengenai isu produk dengan beberapa kontributor.
Pelanggaran teknis terjadi melalui dua vektor. Salah satu kontributor terkompromi setelah mengkloning repository kode berbahaya yang mengeksploitasi kerentanan yang sudah diketahui di editor VSCode dan Cursor—kerentanan yang telah berulang kali diperingatkan oleh komunitas keamanan. Hanya dengan membuka file, folder, atau repository di editor, kode arbitrer dapat dieksekusi secara diam-diam tanpa adanya prompt atau klik dari pengguna. Kontributor lain tertipu untuk mengunduh aplikasi wallet palsu melalui platform TestFlight milik Apple. Setelah akses internal diperoleh, penyerang menggunakan fitur Durable Nonce asli Solana untuk melakukan pra-tanda tangan transaksi, lalu langsung menguras dana setelah persetujuan multisig.
Apa Saja Biaya dari Paradigma Serangan Ini?
Insiden Drift mengungkap biaya di berbagai aspek, jauh melampaui kerugian langsung sebesar $285 juta.
Dampak paling langsung adalah kerugian finansial dan guncangan pasar. Ini merupakan insiden keamanan DeFi terbesar pada 2026 sejauh ini dan yang kedua terbesar dalam sejarah Solana. Setelah serangan, harga token DRIFT anjlok lebih dari 90% dari titik tertinggi sepanjang masa.
Yang lebih mengkhawatirkan adalah efek penularan. Jumlah protokol yang terdampak oleh eksploitasi Drift meningkat dari 11 pada awalnya menjadi lebih dari 20, termasuk korban baru seperti PiggyBank, Perena, Vectis, dan Prime Numbers Fi. Beberapa protokol telah menangguhkan fungsi minting, redemption, atau deposit/penarikan. Protokol pinjaman terdesentralisasi Project 0 menghentikan operasi dan memulai proses deleveraging, yang menghasilkan write-down rata-rata 2,61% bagi para pemberi pinjaman.
Biaya terdalam dan paling sulit diukur adalah terkikisnya kepercayaan yang menjadi fondasi keamanan DeFi. Drift menekankan bahwa semua anggota multisig menggunakan wallet dingin, namun serangan tetap berhasil. Hal ini menunjukkan bahwa ketika penyerang menargetkan lapisan manusia, bahkan kontrol perangkat keras yang ketat pun bisa dilewati. Jika penyerang beroperasi sebagai organisasi sah selama berbulan-bulan—menginvestasikan dana dan berpartisipasi dalam ekosistem—sistem keamanan yang ada hampir tidak berdaya untuk mendeteksi mereka.
Apa Implikasinya bagi Lanskap DeFi?
Insiden Drift memaksa industri untuk meninjau ulang pertanyaan mendasar: Apakah asumsi inti keamanan keuangan terdesentralisasi masih berlaku?
Salah satu area refleksi utama industri berpusat pada kerentanan struktural sistem kepercayaan pihak ketiga. Jalur serangan UNC4736 mengungkapkan bahwa ekosistem DeFi saat ini tidak memiliki proses pemeriksaan keamanan sistematis dan pemantauan berkelanjutan untuk mitra baru. Aktivitas yang dianggap praktik bisnis standar—networking di konferensi, pesan instan, bergabung dengan kas ekosistem—justru menjadi kedok yang dibutuhkan peretas negara untuk infiltrasi.
Perdebatan penting lainnya menyangkut celah kepatuhan dalam pemulihan dana. Investigator on-chain mencatat bahwa penyerang menjembatkan sekitar $232 juta USDC dari Solana ke Ethereum menggunakan protokol lintas-rantai. Penerbit stablecoin memiliki jendela waktu enam jam untuk membekukan dana tersebut namun tidak mengambil tindakan. Hal ini menimbulkan isu sistemik yang lebih dalam: Ketika pertahanan protokol DeFi gagal, apakah dapat diandalkan untuk mengandalkan penerbit stablecoin terpusat dalam intervensi berbasis kepatuhan? Di mana batas tindakan bagi entitas patuh ketika menghadapi aliran dana berskala besar?
Apa Langkah Selanjutnya?
Berdasarkan investigasi saat ini dan respons industri, beberapa tren mulai muncul.
Anggaran keamanan akan dievaluasi ulang secara sistematis. Pada 2025, kerugian keamanan kripto global melebihi $3,4 miliar, dengan 89 insiden keamanan terkonfirmasi di ruang Web3 yang menyebabkan total kerugian $2,54 miliar. Seiring serangan negara menjadi rutin, mengandalkan audit kode dan pengujian keamanan saja tidak lagi cukup. Diharapkan lebih banyak protokol akan berinvestasi dalam pelatihan keamanan operasional, simulasi pertahanan rekayasa sosial, dan pemeriksaan latar belakang yang diperketat.
Risiko penularan lintas-protokol akan menjadi fokus baru. Efek domino insiden Drift pada lebih dari 20 protokol menunjukkan bahwa komposabilitas DeFi adalah pedang bermata dua bagi keamanan. Respons di masa depan bisa meliputi: (1) isolasi ketergantungan di tingkat protokol dan pengelompokan keamanan, serta (2) mekanisme respons insiden dan berbagi informasi di tingkat industri.
Batas regulasi dan kepatuhan akan mengalami negosiasi lebih lanjut. Standar tindakan penerbit stablecoin dalam insiden semacam ini akan menjadi titik fokus debat regulasi, yang berpotensi menghasilkan kerangka darurat untuk aliran aset kripto lintas negara.
Risiko Apa yang Masih Perlu Diwaspadai?
Meskipun Drift telah membekukan semua fungsi protokol dan menghapus wallet yang terkompromi dari multisig, beberapa dimensi risiko tetap memerlukan perhatian.
Ketidakberbalikan pemulihan dana. Penyerang dengan cepat menghapus rekaman pesan instan dan malware setelah pencurian, dan dana yang dicuri telah dijembatkan ke Ethereum. Kelompok peretas Korea Utara memiliki jaringan pencucian uang dan mixing lintas-rantai yang matang, sehingga mayoritas dana yang dicuri kemungkinan besar tidak dapat dipulihkan.
Asimetri kemampuan keamanan. Organisasi peretas negara memiliki sumber daya organisasi, pendanaan berkelanjutan, dan peran spesialis, sementara sebagian besar protokol DeFi beroperasi dengan tim kecil dan sumber daya keamanan terbatas. Penyerang secara sistematis mengeksploitasi asimetri ini. Identitas yang digunakan oleh penyerang memiliki resume profesional lengkap, kredensial publik, dan jaringan sosial profesional, sehingga memungkinkan mereka lolos dari pemeriksaan bisnis standar.
Fatigue kepercayaan menghambat inovasi industri. Jika setiap mitra baru membutuhkan pemeriksaan keamanan yang ketat dan pemantauan berkelanjutan, kekuatan inti DeFi—keterbukaan dan komposabilitas—berisiko terkikis. Menemukan keseimbangan antara pertahanan keamanan dan efisiensi operasional akan menjadi tantangan krusial bagi industri.
Kesimpulan
Peretasan Drift mengungkap realitas yang lama diabaikan: Ancaman keamanan di DeFi telah mengalami lompatan generasi. Dari bug smart contract ke pencurian private key, dan kini ke infiltrasi rekayasa sosial negara selama enam bulan, penyerang berevolusi jauh lebih cepat daripada sistem pertahanan. Ketika penyerang tidak lagi perlu meretas kode, melainkan hanya perlu merusak kepercayaan seseorang, efektivitas multisig, wallet dingin, dan isolasi perangkat keras harus dievaluasi ulang.
Industri membutuhkan lebih dari sekadar audit kode yang lebih baik dan kontrol akses yang lebih ketat—dibutuhkan pola pikir keamanan baru: memperlakukan "kepercayaan manusia" sebagai permukaan serangan yang setara dengan "kode smart contract." Setiap rantai—dari pemeriksaan latar belakang dan budaya keamanan operasional, hingga pemantauan berkelanjutan terhadap mitra ekosistem dan respons darurat lintas-protokol—harus didefinisikan ulang. Dalam era baru aktor negara memasuki keamanan kripto, tidak ada protokol yang bisa berdiri sendiri—rantai keamanan hanya sekuat mata rantai terlemahnya.
FAQ
T: Apakah UNC4736 sama dengan Lazarus?
UNC4736 adalah nama kode yang digunakan firma keamanan untuk melacak aktor ancaman yang terkait Korea Utara. Meskipun ada tumpang tindih dengan Lazarus Group yang lebih dikenal luas, keduanya tidak persis sama. UNC4736 diyakini fokus pada operasi pendapatan dasar berkelanjutan di ruang kripto, menargetkan entitas kecil hingga menengah dengan infiltrasi persisten.
T: Mengapa multisig tidak melindungi Drift dari serangan?
Penyerang tidak langsung mencuri private key multisig. Sebaliknya, mereka memperoleh hak persetujuan multisig melalui rekayasa sosial, lalu menggunakan fitur Durable Nonce Solana untuk melakukan pra-tanda tangan transaksi dan mengeksekusinya secara instan setelah memiliki izin yang cukup. Hal ini menunjukkan bahwa keamanan multisig bergantung pada penandatangan yang tidak terkompromi melalui rekayasa sosial.
T: Apakah serangan ini melibatkan kerentanan smart contract?
Tidak. Drift telah mengonfirmasi bahwa inti serangan ini adalah rekayasa sosial dan penyalahgunaan fitur Durable Nonce—bukan eksploitasi kode smart contract tradisional.
T: Tindakan apa yang diambil Drift setelah insiden?
Drift membekukan semua fungsi protokol, menghapus wallet yang terkompromi dari multisig, dan mengundang firma keamanan untuk melakukan investigasi forensik menyeluruh. Tim protokol menyatakan mereka bekerja sama dengan lembaga penegak hukum untuk melacak dana yang dicuri.
