Laporan Keamanan Kripto Juli 2026: Kerugian Capai US$97 Juta, Serangan Jembatan Lintas-Chain Melonjak

Rangkuman insiden keamanan bulanan Zero Hour Tech untuk Juli 2026 mencatat perubahan cepat pada pola serangan, dengan infrastruktur offchain kini menjadi titik fokus baru. Berdasarkan kompilasi data dari sejumlah platform pemantauan keamanan blockchain, total kerugian akibat insiden keamanan sepanjang Juli diperkirakan mencapai sekitar US$97 juta. Dari jumlah itu, sekitar US$94 juta terkait serangan peretas dan isu kerentanan smart contract, sementara sekitar US$3 juta berasal dari phishing. Tercatat lebih dari 14 insiden keamanan yang berhubungan dengan protokol, turun dari 67 kasus pada Juni. Meski jumlah insiden menurun, rata-rata kerugian per insiden melonjak. Secara bulanan, total kerugian Juli naik sekitar 18,7% dibanding Juni yang tercatat US$81,73 juta. Jembatan lintas-chain tetap menjadi sasaran utama. Serangkaian serangan terhadap AFX Trade, Verus, dan B² Network terjadi berdekatan dalam hitungan jam, dengan total kerugian gabungan melampaui US$35 juta. Secara umum, vektor serangan bergeser dari eksploitasi bug kode smart contract menuju metode non-kode seperti kompromi infrastruktur offchain, kebocoran kunci tanda tangan, dan manipulasi voting tata kelola. Tujuh insiden peretasan utama 1) Ostium — Kompromi hak akses oracle offchain Waktu: 15 Juli Kerugian: sekitar US$23,75 juta Rincian: Ostium, protokol perdagangan perpetual RWA di ekosistem Arbitrum, diserang setelah pelaku memperoleh akses ke sistem penandatanganan harga offchain. Pelaku memalsukan data harga BTC/USD, menekan harga BTC hingga sekitar US$5.000, lalu menguras sekitar US$23,75 juta USDC dari pool likuiditas OLP melalui pembukaan dan penutupan posisi secara berulang. Tim menyatakan insiden ini tidak disebabkan kerentanan smart contract maupun kompromi governance multisig, melainkan pelanggaran pada infrastruktur penandatanganan harga offchain. Margin pengguna tidak terdampak, dan perdagangan dibuka kembali pada 23 Juli. 2) AFX Trade — Kunci verifikasi validator jembatan lintas-chain bocor Waktu: 22 Juli Kerugian: sekitar US$24,15 juta Rincian: Jembatan lintas-chain yang dioperasikan AFX Trade, bursa perpetual futures terdesentralisasi di ekosistem Arbitrum, diretas setelah pelaku mendapatkan akses ke private key penandatanganan milik node validator jembatan. Kunci tersebut digunakan untuk mengotorisasi penarikan. Kontrak pintar memvalidasi tanda tangan dan melepas dana sesuai desain sehingga tidak ditemukan kerentanan di level kontrak. Sekitar 24,15 juta USDC dijembatani dari Arbitrum ke Ethereum dan ditukar menjadi 12.467,5 ETH pada harga rata-rata US$1.937, kemudian dikonsolidasikan ke satu dompet. Native Arbitrum bridge tidak terdampak. AFX menonaktifkan jembatan yang terkompromi dan menawarkan bounty 30% kepada pelaku untuk pengembalian dana. 3) BonkDAO — Manipulasi voting tata kelola melalui celah kontrol akses Waktu: 6 Juli Kerugian: sekitar US$20 juta Rincian: Pelaku membelanjakan sekitar US$4 juta untuk membeli BONK dalam jumlah cukup, memanfaatkan mekanisme di platform tata kelola Solana Realms yang memungkinkan proposal lolos dengan ambang voting hanya 1%. Pelaku mengajukan proposal berbahaya dan meloloskannya. Setelah disetujui pada 6 Juli, pelaku memindahkan sekitar 44,26 miliar token BONK (sekitar US$20 juta) dari treasury BonkDAO. Tidak ada kerentanan smart contract yang dieksploitasi; kelemahan berada pada desain aturan tata kelola. Immunefi menilai kasus ini sebagai contoh klasik tren kerugian besar 2026: dana hilang bukan karena cacat kontrak, melainkan lewat mekanisme voting dan desain aturan yang buruk. 4) Bonzo Lend — Manipulasi oracle Waktu: 11 Juli Kerugian: sekitar US$9,05 juta Rincian: Bonzo Lend, protokol pinjaman terbesar di ekosistem Hedera, terkena serangan manipulasi oracle. Pelaku memanfaatkan kerentanan validasi tanda tangan pada Supra, penyedia oracle pihak ketiga, untuk menyuntikkan data harga token SAUCE yang telah dimanipulasi. Dengan menggelembungkan nilai jaminan, pelaku meminjam aset jauh melampaui nilai jaminan sebenarnya sebelum oracle mengoreksi data, memicu kerugian sekitar US$9,05 juta. Protokol menghentikan seluruh aktivitas, dan Bonzo Labs bersama Bonzo Finance Foundation melakukan koordinasi pemulihan dan perbaikan. 5) Verus — Serangan kedua pada jembatan Ethereum Waktu: 23 Juli Kerugian: sekitar US$7,55 juta Rincian: Jembatan lintas-chain Verus-Ethereum kembali diserang, menimbulkan kerugian sekitar US$7,55 juta. Serangan ini memanfaatkan jalur kontrak dan kelas kerentanan yang sama seperti insiden Mei, menegaskan risiko serangan berulang ketika celah belum ditambal dan dana kembali disetor. Kerentanan dikategorikan sebagai bypass verifikasi jembatan lintas-chain, dengan pencurian lewat titik masuk yang sama. 6) B² Network — Penyalahgunaan izin upgrade kontrak staking Waktu: 23 Juli Kerugian: sekitar US$3,86 juta Rincian: Pelaku mengambil alih otoritas upgrade kontrak staking B² Network di BNB Chain, menyebabkan hilangnya sekitar 8,591 juta token B2 (sekitar US$3,86 juta). Token ditukar menjadi 5.409 WBNB (sekitar US$3,11 juta), dijembatani ke Ethereum, dan saat ini digunakan melalui NEAR Intents untuk memindahkan dana ke Zcash. Insiden ini menegaskan bahwa kunci dan izin yang terkompromi—bukan teknologi kriptografinya—masih menjadi penyebab utama pencurian aset kripto bernilai besar. Tim menghentikan fungsi staking dan menghubungi pelaku onchain, menyatakan tidak akan menempuh langkah hukum bila minimal 10% dana yang dicuri dikembalikan dalam 24 jam. 7) Summer.fi — Celah konfigurasi vault Waktu: 6 Juli Kerugian: sekitar US$6,04 juta Rincian: Vault FleetCommander milik protokol yield DeFi Ethereum Summer.fi diretas. Akar masalah berasal dari perhitungan totalAssets() yang memasukkan komponen strategi yang sudah diberi deposit cap dan dijadwalkan dinonaktifkan, tetapi belum dihapus dari pool aktif. Pelaku mengeksploitasi perbedaan perhitungan tersebut untuk mengakumulasi aset dan menarik imbal hasil berlebih. Summer.fi (sebelumnya Oasis.app) diluncurkan pada 2019 untuk pengguna MakerDAO dan beralih menjadi lapisan optimasi yield otomatis berbasis AI pada awal 2026. Rug pull / phishing: empat insiden menonjol 1) 9 Juli: Korban dengan alamat berawalan 0x8c94 menandatangani persetujuan (approval) token phishing di Ethereum, kehilangan US$999.999 dalam USDT. 2) 24 Juli: Korban dengan alamat berawalan 0x3e1b kehilangan US$340.463 akibat phishing multicall di Ethereum. Linimasa: 06:51:47 UTC — korban menandatangani multicall() pada kontrak token alphaUSDCDeltaV2 yang memuat approve() tanpa batas. 06:52:23 UTC — 36 detik kemudian, 332.787 alphaUSDCDeltaV2 (~US$340 ribu) terkuras melalui transferFrom. 3) Phishing lewat aplikasi seluler palsu yang menyamar sebagai SecondFi Kerugian: sekitar US$14,2 juta Tipe insiden: Pada 12 Juli, sebuah platform pemantauan keamanan kripto global mengungkap tiga serangan berkeparahan tinggi yang menarget aset kripto. Salah satunya berupa phishing melalui aplikasi seluler tiruan yang mengatasnamakan SecondFi, terutama menyasar pengembang. Ketiga serangan terjadi dalam rentang 24 jam, menimpa pengembang, pengguna ritel, hingga whale, dan menyoroti kerentanan sistemik di ekosistem Web3. 4) Modus surat fisik palsu mengatasnamakan Ledger Kerugian: sekitar US$960.000 Tipe insiden: Pada periode puncak 3–7 Juli, kelompok penipu mengirim surat palsu yang menyerupai komunikasi resmi Ledger ke alamat pengguna. Surat menampilkan logo Ledger, tanda tangan CTO, serta narasi pembaruan keamanan pasca-kuantum, lalu meminta penerima memindai QR code yang mengarah ke situs phishing yang sangat meyakinkan. Korban kemudian diminta memasukkan recovery phrase, sehingga aset dompet dicuri. Polisi Queensland mengonfirmasi bahwa pada periode tersebut saja, kerugian yang dilaporkan melampaui AUD 1,47 juta. Otoritas menegaskan Ledger tidak pernah meminta recovery phrase lewat surat atau telepon. Rangkuman dan rekomendasi Insiden keamanan blockchain pada Juli 2026 ditandai oleh tiga kata kunci: pergeseran vektor serangan, kompromi jembatan lintas-chain yang terus berulang, dan meningkatnya kerentanan tata kelola. Permukaan serangan bergerak menuju metode non-kode—kompromi infrastruktur offchain, kebocoran kunci tanda tangan, dan manipulasi voting—yang semakin sering muncul. Kasus AFX Trade menunjukkan dana US$24,15 juta dapat ditarik cukup dengan menguasai kunci tanda tangan. Insiden Ostium menyoroti kontrol akses offchain yang belum setara dengan proteksi multisig onchain. Kasus BonkDAO memperlihatkan mekanisme voting tata kelola bisa menjadi pintu masuk serangan. Pada ranah phishing, pola baru terlihat jelas: pengambilalihan akun berprofil tinggi lalu digunakan untuk mempromosikan token palsu, mengubah kepercayaan merek menjadi alat penipuan. Phishing berbasis otorisasi berevolusi dari modus sekali jalan menjadi proses yang dapat direplikasi dan diotomatisasi untuk menguras dana. Rekomendasi tim keamanan Zero Time Technology • Individu: Waspadai promosi token yang tiba-tiba mengatasnamakan "resmi" di Platform X; hindari tautan tak dikenal atau permintaan tanda tangan; cabut otorisasi dompet secara berkala; gunakan dompet terpisah untuk mengisolasi risiko aset bernilai tinggi. • Tim proyek: Kontrol akses infrastruktur offchain harus setara dengan standar keamanan multisig onchain; kunci validator perlu multisig dan hardware signing; proposal tata kelola memerlukan ambang voting lebih tinggi dan time lock; siapkan pemantauan 24/7 serta mekanisme circuit breaker; audit harus mencakup rantai penuh penyimpanan kunci, izin, dan aturan tata kelola. • Industri: Susun standar pengelolaan kunci untuk jembatan lintas-chain; dorong standardisasi audit keamanan infrastruktur offchain; perkuat berbagi intelijen ancaman APT dan pengembangan database blacklist; anjurkan proyek menjalankan program bug bounty.