Jembatan dan protokol lintas rantai kripto sedang mengalami hari yang berat.
Setidaknya tiga diambil secara berturut-turut dalam periode 6 jam dengan total gabungan melebihi $35 juta, menurut data blockchain yang dinilai oleh CoinDesk dan dilaporkan oleh perusahaan keamanan BlockAid dan Peckshield.
Rangkaian serangan tersebut memiliki benang merah yang sama. Tidak ada yang berhasil membobol kriptografi dasarnya — masing-masing merupakan kelemahan logika, di mana kode berjalan sesuai tulisannya tetapi aturan tetap memungkinkan uang keluar, atau kunci yang dikompromikan yang memberikan kendali kepada penyerang yang seharusnya tidak pernah dimilikinya.
Yang paling merugikan adalah jaringan blockchain Verus. Blockaid Mendeteksi eksploitasi pada jembatan Verus-Ethereum pada hari Kamis pagi yang menguras sekitar $7,54 juta dalam ether, bitcoin yang ditokenisasi, dan berbagai stablecoin.
🚨 Blockaid mendeteksi eksploitasi Jembatan Ethereum @VerusCoin di Ethereum.
Seorang penyerang menggunakan jalur impor jembatan untuk memicu pembayaran di sisi Ethereum yang tidak didukung, menguras sekitar $7,54 juta dalam ETH, tBTC, USDC, USDT, EURC, MKR, dan scrvUSD dari cadangan jembatan.
Lebih banyak detail di 🧵
Perusahaan tersebut menyoroti bahwa serangan ini menggunakan kontrak jembatan dan jalur masuk yang sama seperti serangan sebelumnya, memanfaatkan kelas kerentanan yang identik. CoinDesk melaporkan insiden sebelumnya, kerugian senilai $11,5 juta, pada bulan Mei.
Sebuah jembatan adalah alat berbasis blockchain yang memungkinkan aset bergerak antara dua jaringan yang secara normal tidak dapat berinteraksi satu sama lain. Jembatan tersebut menyimpan token asli di satu sisi dan mengeluarkan klaim terhadapnya di sisi lain, dan keamanannya sepenuhnya bergantung pada verifikasi yang benar bahwa setiap penarikan benar-benar didukung oleh aset yang dikunci di blockchain lain.
Kelemahan Verus memungkinkan penyerang memicu pembayaran di sisi Ethereum yang tidak pernah didukung dengan benar di sisi Verus, sehingga jembatan tersebut melepaskan uang sungguhan melawan klaim yang hampir tidak bernilai.
Penyerang mengembalikan sebagian besar dana sebagai imbalan hadiah setelah serangan pada Mei. Verus kemudian menyetor kembali dana yang dipulihkan ke jembatan yang sama pada 8 Juli, menurut onchain records yang disusun oleh para peneliti keamanan, dan jembatan tersebut kembali dikosongkan dua minggu kemudian.
Biaya kepercayaan itu terlihat dalam angka-angka protokol itu sendiri. Verus memegang hampir $100 juta dalam total nilai yang terkunci pada awal 2025, menurut DefiLlama. Saat ini, ia memegang sekitar $9 juta per Kamis, penurunan perlahan yang diperparah oleh penurunan baru minggu ini menyusul peretasan terbaru.
Kegagalan berulang seperti ini tidak hanya menghabiskan uang yang dicuri dalam satu serangan saja, tetapi juga menggerus kepercayaan yang membuat aset tetap berada di platform.
Serangan lain yang dikonfirmasi adalah B² Network, jaringan penskalaan yang dibangun untuk membuat bitcoin lebih murah dan lebih cepat dalam transaksi.
B² mengatakan pada jam pagi Asia hari Kamis, seorang penyerang mendapatkan akses tidak sah ke otoritas pembaruan kontrak staking token-nya, izin administratif yang mengendalikan bagaimana kontrak tersebut berperilaku.
Perusahaan keamanan Lookonchain melacak sekitar $3,86 juta dalam token B2 yang dijual, dikonversi menjadi ether dan stablecoin, lalu dipindahkan. B² menyatakan telah menangani insiden tersebut, menangguhkan staking, dan akan mengganti seluruh kerugian pengguna yang terdampak.
Kontrak pintar hanya seaman kunci dan izin yang mengendalikannya. Jika penyerang merebut wewenang untuk mengubah cara kerja kontrak, kode tidak perlu memiliki bug, karena penyerang dapat langsung menulis ulang aturan atau menarik dana secara langsung.
Ini adalah mode kegagalan di balik pencurian terbesar dalam sejarah kripto, dari serangan jembatan Wormhole dan Nomad pada 2022 hingga kerugian KelpDAO sekitar $290 juta lebih awal tahun ini.
Dan akan semakin sulit untuk dipertahankan. Dalam analisis yang diterbitkan minggu ini, OpenAI mengungkapkan bahwa selama evaluasi internal, model AI-nya berhasil keluar dari lingkungan pengujian dan mengompromikan server Hugging Face, dengan menggabungkan kredensial yang dicuri dan kerentanan perangkat lunak yang sebelumnya tidak diketahui untuk melakukannya.
Model-model tersebut memiliki batas keamanan mereka diturunkan untuk pengujian, jadi ini bukanlah sistem yang bertindak sendiri. Tetapi ini merupakan demonstrasi nyata bahwa AI sekarang dapat melakukan pekerjaan intrusi berulang dan bertahap yang sampai baru-baru ini memerlukan tim manusia yang terampil.
Di sebagian besar industri, pelanggaran berarti respons insiden dan, pada akhirnya, pemulihan. Di dunia kripto, di mana kontrak yang dikosongkan bersifat final dan tidak ada chargeback, kemampuan yang sama menunjukkan ancaman tanpa tombol undo.
Dalam periode 24 jam, empat tim — Verus, B², AFX, dan Balance — telah dikosongkan karena alasan yang sama. Tidak ada yang jatuh karena cipher yang rusak. Masing-masing kehilangan kendali yang dipercaya, dan alat untuk menemukan kendali tersebut semakin tajam.