Hacks dan Penipuan Crypto Terbesar di 2026 Sejauh Ini

Peretasan, penipuan, dan eksploitasi kripto menyebabkan kerugian kotor lebih dari 1,3 miliar dolar AS pada paruh pertama 2026, dengan beberapa insiden besar mendominasi total yang tercatat. TL;DR

• Peretasan, penipuan, dan eksploitasi kripto menyebabkan kerugian kotor sebesar 1,316 miliar dolar AS pada paruh pertama 2026.
• Kelp DAO, Drift Protocol, dan satu korban phishing tertarget menyumbang sekitar 65% dari total tersebut.
• Insiden terbesar tidak hanya mengkompromikan kode kontrak pintar publik, melainkan infrastruktur RPC, izin administratif, sistem penandatanganan, atau perangkat istimewa.
• Peringkat ini disusun pada 17 Juli, menyisakan 167 hari, atau 45,8% dari tahun ini, untuk insiden baru, pemulihan, dan atribusi yang direvisi agar daftar berubah.

Kerugian keamanan kripto mencapai 1,316 miliar dolar AS dari 344 insiden pada paruh pertama 2026, menurut laporan keamanan H1 CertiK. Sekitar 115,3 juta dolar AS dibekukan atau dikembalikan, sehingga kerugian yang disesuaikan menjadi sekitar 1,2 miliar dolar AS. Perbaikan yang tampak dibanding 2025 perlu konteks. Total paruh pertama tahun sebelumnya mencakup pelanggaran Bybit yang luar biasa senilai 1,45 miliar dolar AS. Setelah satu kejadian itu dikecualikan, CertiK memperkirakan kerugian yang sebanding meningkat sekitar 28% pada 2026. Distribusi kerugian itu sama pentingnya dengan totalnya. Biaya rata-rata per insiden sekitar 3,82 juta dolar AS, sementara median kerugian hanya 138.703 dolar AS. Karena itu, rata-rata lebih dari 27 kali median, menunjukkan sejumlah kecil kegagalan ekstrem mendorong hasil keseluruhan. Tiga insiden saja—Kelp DAO, Drift Protocol, dan pencurian phishing tertarget senilai 284 juta dolar AS—menyumbang sekitar 65% dari semua kerugian paruh pertama yang dilaporkan. Peringkat Kerugian Perlu Lebih dari Satu Angka Laporan insiden kripto sering membandingkan angka yang mengukur bentuk kerusakan berbeda.

Gross loss

Nilai yang dihapus dari protokol atau korban sebelum pemulihan.

Realized extraction

Aset yang berhasil dikonversi penyerang menjadi nilai ekonomi yang dapat dipindahkan.

Net loss

Jumlah yang masih hilang setelah pembekuan, pengembalian, pembayaran, dan pemulihan.

User liabilities

Klaim yang harus dibayar oleh sebuah platform, yang bisa lebih besar atau lebih kecil daripada hasil awal penyerang.

Notional exposure

Nilai teoritis aset yang diterbitkan secara fraudulens atau ditempatkan pada risiko, bahkan ketika penyerang tidak bisa menguangkan seluruh jumlah.

Peringkat di bawah ini terutama menggunakan gross loss yang dilaporkan. Pemulihan, penilaian yang disengketakan, serta perbedaan antara hasil penyerang dan liabilitas platform dinyatakan terpisah. Untuk insiden yang melibatkan pembuatan token yang tidak didukung, realized extraction lebih bermakna daripada nilai nominal dari pasokan yang fraud. Kalau tidak, penyerang yang membuat token illiquid senilai 100 juta dolar AS tetapi mengambil 1 juta dolar AS dalam jaminan riil bisa secara keliru diberi peringkat seolah mencuri seluruh 100 juta dolar AS. Kerugian Kripto Terbesar yang Dilaporkan pada 2026

1. Kelp DAO – 292 Juta Pada 18 April, penyerang membuat kontrak jembatan Ethereum Kelp DAO melepaskan sekitar 116.500 rsETH tanpa pembakaran token yang sesuai pada rantai sumber. Investigasi Chainalysis menemukan bahwa penyerang mengkompromikan dua node RPC internal yang digunakan oleh Decentralized Verifier Network milik LayerZero sekaligus mengganggu endpoint RPC eksternal melalui serangan distributed denial-of-service. Node yang dimanipulasi melaporkan burn pada rantai sumber yang sebenarnya tidak pernah terjadi. Karena konfigurasi jembatan Kelp mengandalkan satu verifier, tidak diperlukan jaringan independen kedua untuk mengonfirmasi apakah burn yang dilaporkan itu nyata. Kontrak tujuan menerima pesan yang diformat dan ditandatangani dengan benar, lalu melepaskan aset persis seperti yang diprogram. Kegagalan terjadi pada infrastruktur yang memasok informasi ke kontrak, bukan pada eksekusi kontrak atas informasi tersebut. Kelp menghentikan kontrak yang terdampak cukup cepat untuk menghentikan percobaan penarikan kedua yang melibatkan sekitar 40.000 rsETH, lalu bernilai sekitar 95 juta dolar AS. Arbitrum Security Council kemudian membekukan 30.766 ETH yang terkait dengan aktivitas hilir penyerang. Chainalysis dan LayerZero mengatribusikan operasi tersebut ke Lazarus Group Korea Utara, khususnya subgrup TraderTraitor. Atribusi dibuat oleh pihak yang terlibat langsung dalam investigasi, meski kesimpulan yang melibatkan aktor yang didukung negara masih bisa berkembang seiring bukti tambahan muncul. Jumlah yang dibekukan tidak menghapus kegagalan pencatatan jembatan yang asli. Gross losses, dana yang bisa dipulihkan, hasil penyerang, dan sisa kekurangan dukungan seharusnya diperlakukan sebagai angka terpisah.
2. Drift Protocol – 285 Juta Drift Protocol kehilangan sekitar 285 juta dolar AS pada 1 April setelah penyerang memperoleh kontrol administratif atas Security Council-nya. Menurut Chainalysis, individu yang menyamar sebagai perwakilan perusahaan trading kuantitatif menghabiskan berbulan-bulan membangun hubungan dengan kontributor Drift. Anggota Security Council akhirnya diyakinkan untuk menandatangani transaksi menggunakan fitur durable-nonce milik Solana, yang memungkinkan transaksi yang ditandatangani dengan valid ditahan dan dieksekusi pada waktu kemudian. Transaksi tersebut memindahkan kontrol administratif ke alamat yang dikendalikan penyerang. Setelah otoritas itu didapat, penyerang menghapus batas penarikan, menyetujui token bernilai nyaris nol bernama CVT sebagai jaminan, memberinya penilaian artifisial, dan menyetor 500 juta unit. Posisi yang dihasilkan digunakan untuk menarik USDC, SOL, ETH, dan aset lain yang membawa nilai eksternal nyata. Pengambilalihan administratif terjadi melalui dua transaksi yang dieksekusi terpaut satu detik, tetapi penarikan berikutnya berlangsung dalam periode yang lebih lama. Karena itu, mendeskripsikan seluruh kerugian 285 juta dolar AS terjadi dalam 10 detik akan tidak akurat. Chainalysis mendasarkan sebagian rekonstruksinya pada investigasi internal Drift dan mencatat bahwa akun tersebut belum diverifikasi independen melalui tinjauan pihak ketiga yang sudah selesai. Bukti awal konsisten dengan operasi Korea Utara sebelumnya, tetapi atribusi formal masih tertunda. Drift kemudian membahas sekitar 295 juta dolar AS kerugian pengguna. Angka yang lebih tinggi itu tampaknya mewakili liabilitas platform, bukan hasil awal penyerang, dan tidak boleh diperlakukan sebagai estimasi alternatif untuk jumlah yang sama.
3. Kerugian Phishing Tertarget yang Dilaporkan oleh CertiK – 284 Juta Seorang individu tunggal kehilangan sekitar 284 juta dolar AS dalam insiden social engineering tertarget pada Januari, menurut CertiK. Identitas korban dan urutan serangan lengkap belum diungkapkan secara publik. Ini membatasi kesimpulan yang bisa ditarik dengan bertanggung jawab mengenai konfigurasi dompet, metode social engineering yang tepat, dan prospek pemulihan. Namun skalanya signifikan. Satu dompet yang dikendalikan secara privat menghasilkan kerusakan finansial hampir setara dengan pelanggaran Drift Protocol dan melampaui gabungan kerugian dari sebagian besar eksploit protokol yang lebih kecil yang tercatat pada paruh pertama tahun itu. CertiK mencatat 366,3 juta dolar AS kerugian phishing di 63 insiden pada H1. Jumlah kasus phishing turun 52,3% dibanding periode yang sama di 2025, tetapi kerugian turun hanya 10,8%. Empat insiden menyumbang sekitar 85% dari semua kerugian phishing. Data menunjukkan perubahan pemilihan target daripada hilangnya phishing. Kampanye yang lebih luas tetap umum, tetapi hasil finansial kini semakin ditentukan oleh sejumlah kecil operasi yang dipersiapkan dengan cermat dan diarahkan pada orang atau organisasi yang mengendalikan kekayaan onchain yang besar.
4. Step Finance – Sekitar 40 Juta Step Finance mengatakan sekitar 40 juta dolar AS telah dikuras dari kasnya pada 31 Januari setelah perangkat yang digunakan anggota tim eksekutifnya dikompromikan. Dalam pembaruan insiden resminya, proyek tersebut mengatakan pihaknya memulihkan sekitar 3,7 juta dolar AS aset Remora dan tambahan 1 juta dolar AS pada posisi lain.

Pernyataan tentang Insiden Keamanan Terkini

Pada awal sore tanggal 31 Januari (APAC), sekitar $40M dikuras dari kas Step Finance. Ini terjadi akibat perangkat tim eksekutif kami dikompromikan.

Segera setelah mendeteksi pelanggaran, kami mulai bekerja…

— Step☀️ (@StepFinance_) 2 Februari 2026

Estimasi onchain sebelumnya menempatkan kerugian lebih dekat ke 27 juta dolar AS karena mereka berfokus pada sekitar 261.854 SOL yang awalnya teridentifikasi saat meninggalkan dompet kas. Angka Step kemudian mencakup kelompok aset terdampak yang lebih luas. Menggunakan estimasi gross 40 juta dolar AS dari proyek sambil melaporkan jumlah yang dipulihkan secara terpisah menghasilkan gambaran yang lebih lengkap dibanding memilih satu angka tanpa menjelaskan mengapa estimasinya berbeda. Dampak finansial dari serangan juga bisa meluas di luar jumlah yang ditransfer ke penyerang. Pendanaan darurat, biaya hukum, kompensasi pengguna, operasi yang terganggu, dan pendapatan yang hilang dapat membuat dampak bisnis akhirnya lebih besar daripada penarikan onchain awal. 5. Humanity Protocol – 36 Juta Humanity Protocol mengalami serangan pada 9 Juni setelah sebuah perangkat yang dikompromikan mengekspos data dompet dan kunci privat yang terkait dengan akun-akun proyek berhak istimewa. Dalam penjelasan resminya, Humanity mengatakan penyerang menyalin kunci privat dari perangkat tersebut dan menggunakannya untuk mengeksekusi serangan onchain. Proyek ini juga menyatakan kontrak token H milik Ethereum dilindungi oleh clean multisig yang terpisah dan jembatan mainnet kanoniknya tidak dikompromikan.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 Juni 2026

Estimasi yang dipublikasikan berkisar dari sekitar 31 juta dolar AS hingga 36 juta dolar AS, sebagian karena token H yang dicuri dinilai dengan harga pasar yang berbeda dan pada tahap insiden yang berbeda. Masalah struktural yang lebih penting adalah terkonsentrasinya beberapa kredensial istimewa pada satu endpoint yang dikompromikan. Pengaturan multisignature hanya memberikan perlindungan yang bermakna ketika kuncinya dipisahkan lintas orang, perangkat, lokasi, dan lingkungan administratif. Beberapa kredensial yang disimpan di atau bisa dipulihkan dari komputer yang sama bisa memenuhi ambang tanda tangan onchain sambil tetap beroperasi sebagai satu titik kegagalan praktis. 6. Resolv Protocol – Sekitar 26,8 Juta Resolv Protocol dieksploitasi pada 22 Maret setelah penyerang mengompromikan infrastruktur cloud-nya dan memperoleh akses ke kunci yang dikendalikan melalui AWS Key Management Service. Resolv menggunakan layanan offchain untuk mengotorisasi pembuatan USR setelah pengguna menyetor jaminan. Menurut analisis insiden CertiK, penyerang membuat setoran USDC yang sah namun relatif kecil, lalu menggunakan peran layanan yang dikompromikan untuk mengotorisasi sekitar 80 juta USR melalui dua transaksi. Kontrak memverifikasi bahwa otorisasi berasal dari layanan yang disetujui. Kontrak menetapkan output minimum tetapi tidak menegakkan jumlah maksimum yang terkait dengan jaminan yang disetor pengguna. Begitu layanan istimewa dikompromikan, penyerang dapat menghasilkan tanda tangan yang valid secara kriptografis namun tidak didukung secara ekonomi. Ini tidak berarti layanan manajemen kunci cloud secara inheren tidak cocok untuk infrastruktur kripto. Masalah desain yang lebih besar adalah besarnya otoritas ekonomi yang tidak dibatasi yang diberikan kepada satu peran layanan. Kunci yang dilindungi tetap bisa menjadi titik kegagalan yang katastrofik ketika kontrak yang menerima tandatangan tidak menegakkan secara independen rasio jaminan, batas pencetakan, batas transaksi, atau kecepatan penarikan. 7. Truebit – 26 Juta Truebit dieksploitasi pada 8 Januari melalui kerentanan integer-overflow dalam kontrak bonding-curve yang dideploy pada 2021. Kontrak tersebut dikompilasi dengan Solidity 0.5.3, sebelum perlindungan overflow otomatis diperkenalkan di Solidity 0.8.0. Seorang penyerang memasok nilai yang sangat besar sehingga perhitungan aritmetika berputar menjadi angka yang mendekati nol. Ini memungkinkan jumlah TRU yang besar dicetak dengan hampir tidak ada ETH, lalu ditukarkan kembali menjadi ETH riil yang dipegang kontrak. Chainalysis memperkirakan kerugian utama sebesar 26,2 juta dolar AS. CertiK menempatkan gabungan jumlah lebih dekat ke 26,6 juta dolar AS, termasuk sekitar 224.000 dolar AS yang diekstraksi oleh penyerang kedua. Implementasi yang rentan tersebut belum diverifikasi secara publik di Etherscan. Itu tidak mencegah penyerang untuk memeriksanya. Bytecode kontrak dapat didekompilasi, perilaku compiler lama bisa diidentifikasi, dan kerentanan yang diduga dapat diuji melalui simulasi atau blockchain fork. Truebit adalah pengecualian besar yang paling jelas terhadap pola lebih luas yang terlihat pada 2026. Kerugiannya berasal dari logika eksekusi publik, bukan otoritas operasional yang dikompromikan. Ini juga menunjukkan mengapa kontrak yang tidak aktif harus tetap berada dalam cakupan audit, pemantauan, dan bug-bounty selama kontrak tersebut masih mempertahankan dana atau izin. Mengapa Echo Protocol Tidak Masuk Peringkat sebagai Pencurian 76,7 Juta Echo Protocol kadang digambarkan mengalami kerugian 76,7 juta dolar AS karena seorang penyerang menggunakan kunci administrator yang dikompromikan untuk mencetak 1.000 eBTC yang tidak didukung dengan nilai notional tersebut. Penyerang tidak mengekstrak 76,7 juta dolar AS dalam aset riil. Menurut Merkle Science, 45 dari eBTC fraudulens disetor ke protokol lending Curvance. Penyerang meminjam sekitar 11,29 WBTC, senilai sekitar 867.000 dolar AS, sebelum 955 eBTC tanpa dukungan lainnya dibakar. Jadi angka yang akurat adalah:

• Penerbitan fraudulens: Sekitar 76,7 juta dolar AS dalam notional eBTC.
• Aset riil yang diekstraksi: Sekitar 867.000 dolar AS dalam WBTC.
• Pasokan tanpa dukungan yang tersisa: Dibakar setelah insiden.

Mengklasifikasikan seluruh jumlah notional sebagai yang dicuri akan melebih-lebihkan kerusakan yang terealisasi hampir 90 kali. Echo tetap menyingkap masalah risiko jaminan yang penting. Oracle milik Curvance mengenali nilai pasar yang ditetapkan untuk eBTC dengan benar, tetapi tidak bisa menentukan bahwa token-token tertentu itu telah diciptakan tanpa dukungan. Integritas harga tidak sama dengan integritas penerbitan. Protokol lending yang menerima jaminan yang diterbitkan secara eksternal memerlukan kontrol untuk pembuatan pasokan yang tidak wajar, perubahan otoritas pencetakan, setoran jaminan mendadak, verifikasi dukungan, dan risiko administratif tingkat penerbit. Feed harga yang benar tidak dapat menjawab pertanyaan-pertanyaan itu sendiri. Kegagalan yang Umum: Control Plane Insiden-insiden terbesar 2026 tidak berbagi satu kerentanan kode. Mereka berbagi kelemahan pada sistem yang menentukan apa yang kode diizinkan untuk lakukan. Dalam terminologi infrastruktur tradisional, lapisan eksekusi memproses aktivitas biasa, sementara control plane menentukan izin, konfigurasi, sumber data tepercaya, dan tindakan luar biasa.

Perbedaan ini sangat sesuai dengan insiden-insiden terbesar:

Kelp: Sebuah verifier menerima versi aktivitas rantai sumber yang dipalsukan.

Drift: Tanda tangan valid memindahkan kontrol administratif.

Step: Perangkat eksekutif yang dikompromikan mengekspos otoritas kas.

Humanity: Endpoint yang dikompromikan mengekspos kunci-kunci istimewa.

Resolv: Peran layanan yang dikompromikan menciptakan otorisasi yang valid namun tidak didukung secara ekonomi.

Echo: Satu kunci administrator bisa memberikan otoritas pencetakan tanpa batas.

Truebit: Pengecualian berasal dari cacat aritmetika pada kode kontrak lama.

CertiK mencatat 204 insiden kerentanan kode selama paruh pertama tahun itu, menghasilkan sekitar 151,6 juta dolar AS kerugian. Kompromi dompet menyebabkan 444,5 juta dolar AS kerugian hanya dalam 33 insiden. Rinciannya: rata-rata sekitar 743.000 dolar AS per insiden kerentanan kode dan 13,5 juta dolar AS per insiden kompromi dompet. Rata-rata, kompromi dompet sekitar 18 kali lebih mahal. Perbandingan ini tidak membuat audit smart contract menjadi kurang penting. Ini menunjukkan bahwa mengaudit kontrak sambil mengecualikan penandatangan (signers), dependensi RPC, antarmuka administratif, peran cloud, dan kontrol darurat meninggalkan bagian substansial dari sistem finansial tanpa pengujian. Lima Kontrol yang Mengatasi Kegagalan Sebenarnya Tegakkan Batas Ekonomi Setelah Autentikasi Tanda tangan yang valid harus membuktikan siapa yang menyetujui sebuah tindakan. Tanda tangan itu tidak boleh memberikan otoritas ekonomi tanpa batas. Pencetakan, bridging, persetujuan jaminan, dan penarikan masih dapat dibatasi melalui ukuran transaksi maksimum, batas bergulir, rasio jaminan, penundaan waktu, kap aset-spesifik, dan jeda otomatis. Kontrol ini mungkin tidak mencegah kompromi kredensial, tetapi dapat menghentikan satu kunci yang dikompromikan agar tidak langsung menciptakan liabilitas tanpa batas. Ukur Independensi, Bukan Jumlah Kunci Multisig 3-of-5 tidak didistribusikan secara bermakna ketika tiga kunci dapat dipulihkan dari satu laptop atau dikendalikan melalui akun perusahaan yang sama. Panduan manajemen kunci NIST menekankan kontrol siklus hidup termasuk otorisasi, pencadangan, akuntabilitas, pemisahan tugas, respons terhadap kompromi, dan perlindungan material pembentukan kunci. Protokol harus mengidentifikasi apakah seharusnya signers yang independen berbagi perangkat, manajer sandi, tenant cloud, prosedur pemulihan, lokasi fisik, atau jalur pelaporan. Pantau Relasi, Bukan Hanya Transaksi Setiap transaksi dalam eksploit Kelp tampak valid. Kegagalan yang terdeteksi adalah hilangnya relasi antara dua rantai: rsETH dilepaskan di Ethereum tanpa dibakar di rantai sumber. Pemantauan jembatan harus terus menyelaraskan penguncian, pembakaran, pencetakan, dan pelepasan di setiap jaringan yang relevan. Pemeriksaan invarian serupa dapat membandingkan jaminan yang disetor dengan token yang dicetak, cadangan dengan pasokan yang beredar, dan batas penarikan yang disetujui dengan arus keluar yang benar-benar terjadi. Simulasikan Niat Administratif Sebelum Menandatangani Dompet perangkat keras melindungi kunci privat, tetapi tidak dapat menentukan apakah pengguna yang sah menyetujui transaksi yang berbahaya. Transaksi administratif harus diuraikan dan disimulasikan di lingkungan terpisah sebelum dieksekusi. Para penandatangan perlu melihat perubahan izin yang dihasilkan, aset jaminan yang baru disetujui, parameter harga, batas penarikan, peningkatan kontrak, dan transfer kepemilikan, bukan hanya hash transaksi atau prompt dompet yang samar. Jaga Kontrak Warisan Tetap di Dalam Perimeter Keamanan Sebuah kontrak tidak menjadi lebih aman hanya karena sudah beroperasi tanpa insiden selama beberapa tahun. Setiap deployment yang menahan aset, memproses penebusan, mengendalikan izin protokol, atau tetap terhubung dengan produk saat ini harus memiliki kode sumber yang diverifikasi, asumsi compiler yang didokumentasikan, pemantauan aktif, serta dimasukkan dalam program audit dan bug-bounty. Dekomilasi berbantuan AI dapat mengurangi waktu yang dibutuhkan penyerang untuk mengidentifikasi kerentanan aritmetika lama, akses-kontrol, atau validasi. Keamanan melalui kerahasiaan menjadi kurang efektif saat alat-alat tersebut membaik. AI Sedang Memperkuat Model Penipuan yang Sudah Ada AI tidak menciptakan kerentanan inti di balik Kelp, Drift, Resolv, atau Echo. Efek yang lebih langsung adalah menurunkan biaya riset target, peniruan, pelokalan, dan komunikasi berkelanjutan. Laporan Kejahatan Kripto 2026 milik Chainalysis, yang menganalisis aktivitas 2025, menemukan operasi penipuan dengan tautan yang teridentifikasi ke penyedia layanan AI sekitar 4,5 kali lebih menguntungkan dibanding penipuan tanpa tautan tersebut. Bukti ini tidak boleh diperlakukan sebagai bukti bahwa setiap serangan canggih pada 2026 menggunakan AI. Ini menunjukkan bahwa operasi berbantuan AI sebelumnya sudah menghasilkan pengembalian yang lebih tinggi dan dapat membuat beberapa teknik yang sudah mapan lebih mudah untuk diskalakan:

Identitas Sintetis

Video dan suara deepfake.

Reconnaissance Lanjutan

Riset target di jejaring sosial dan profesional.

Social Engineering Multibahasa

Percakapan yang berlangsung lama dalam beberapa bahasa.

Phishing Adaptif

Antarmuka yang dikloning dan halaman phishing yang dipersonalisasi.

Riset Kerentanan yang Diotomatisasi

Analisis otomatis kontrak dan bytecode hasil dekompilasi.

Perkembangan yang kemungkinan adalah kombinasi metode sosial dan teknis. Social engineering mendapatkan kredensial atau otorisasi; izin protokol yang sudah ada mengubah akses itu menjadi kerugian finansial. Perubahan Regulasi: Akuntabilitas, Bukan Mekanik Eksploit Masa transisi MiCA Uni Eropa berakhir pada 1 Juli 2026. Penyedia layanan aset kripto yang tercakup umumnya kini memerlukan otorisasi untuk terus beroperasi di UE, dengan tunduk pada cakupan regulasi dan keputusan pengawasan nasional. MiCA dapat memperkuat tata kelola, custody, kontrol operasional, dan akuntabilitas. Namun MiCA tidak dapat menentukan apakah sebuah jembatan menggunakan verifier independen, apakah kunci istimewa dipisahkan dengan benar, atau apakah penandatangan yang diotorisasi memahami transaksi berbahaya. Undang-Undang GENIUS AS ditandatangani menjadi hukum pada 18 Juli 2025 dan membentuk kerangka federal untuk stablecoin pembayaran. Ini bukan rezim keamanan siber umum untuk setiap jembatan, bursa, dompet, atau protokol DeFi. Regulasi menentukan siapa yang bertanggung jawab dan safeguards apa yang harus ada. Engineering keamanan menentukan apakah pesan palsu, kunci yang dikompromikan, atau persetujuan berbahaya dapat dieksekusi sebelum safeguards tersebut merespons. Apa yang Perlu Dipantau Sepanjang Sisa 2026 Gambaran keamanan akhir 2026 harus dinilai lewat lebih dari sekadar akumulasi kerugian headline.

Security Intelligence: Indikator Kunci

Konsentrasi kerugian

Apakah beberapa insiden ekstrem terus mendominasi total tahunan.

Attack surface

Apakah kompromi dompet, administratif, cloud, dan infrastruktur tetap lebih mahal daripada eksploit kode.

Kerusakan setelah penyesuaian pemulihan

Seberapa banyak yang masih hilang setelah pembekuan, pembayaran kembali, dan pengembalian yang dinegosiasikan.

Kualitas atribusi

Apakah tautan awal ke kelompok yang didukung negara didukung oleh investigasi yang selesai.

Adopsi kontrol

Apakah protokol memperkenalkan verifikasi independen, simulasi transaksi, pemisahan kunci, dan batas ekonomi yang dapat ditegakkan sebelum serangan besar berikutnya.

Peringkat ini adalah snapshot yang disiapkan pada 17 Juli, bukan catatan final untuk setahun penuh. Hampir 46% dari 2026 masih tersisa, dan angka kerugian historis dapat terus berubah melalui pemulihan aset, revisi harga token, dompet yang baru teridentifikasi, dan pembeda yang lebih jelas antara notional exposure dan pencurian yang terealisasi. Bukti mendukung kesimpulan yang lebih sempit: insiden bernilai tertinggi semakin menargetkan sistem control di sekitar smart contract, signers, perangkat, infrastruktur RPC, layanan istimewa, dan jaringan verifikasi, bukan sekadar logika kontrak saja.

Artikel ini hanya untuk tujuan edukasi. Penilaian insiden dapat berubah karena pergerakan harga aset, pemulihan, atribusi yang direvisi, dan perbedaan antara gross exposure, realized extraction, dan net losses.