Krisis peretasan DeFi senilai $7,7 miliar menyoroti risiko yang tidak terasuransi

Mengejar yield lebih unggul daripada perlindungan di DeFi — dan hal ini meninggalkan miliaran dolar rentan terhadap serangan peretasan. Apa yang dimulai sebagai janji “DeFi Summer” tahun 2020 — sebuah sistem keuangan tanpa izin dan transparan tanpa perantara — kini mengalirkan puluhan miliar dolar melalui protokol terdesentralisasi. Namun, likuiditas ini sangat kurang diasuransikan. Menurut DeFiLlama, protokol pinjaman yang tidak diasuransikan telah kehilangan $7,7 miliar akibat eksploitasi sejak munculnya DeFi, dan bulan April 2026 saja mencatat lebih dari $600 juta kerugian keamanan, dengan insiden besar seperti serangan terhadap Drift dan Kelp DAO mendominasi bulan tersebut. Mengapa perlindungannya begitu sedikit? Asuransi DeFi sangat kecil dibandingkan sektor yang seharusnya dilindunginya. DeFiLlama mencatat 28 protokol asuransi, tetapi Nexus Mutual — pemain paling terkenal — menyumbang hampir seluruh TVL sektor ini, sekitar $123,5 juta. Jumlah itu hanya sekitar 0,14% dari pasar DeFi yang sekitar $83 miliar. Hugh Karp, pendiri Nexus Mutual, menyebut ini sebagai hambatan besar bagi adopsi massal DeFi: “Kurang dari 2% dari TVL DeFi yang dicakup atau diasuransikan,” katanya kepada CoinDesk. Sebagian tantangannya adalah risikonya telah berkembang. Produk asuransi awal menetapkan harga dan mencakup bug kontrak pintar, yang relatif mudah diaudit. Namun, penyerang semakin sering memanfaatkan kelemahan di luar rantai — kunci pribadi yang dikompromikan, phishing, dan rekayasa sosial — yang lebih sulit diukur dan dinilai oleh asuransi. “Banyak serangan terbesar berasal dari luar rantai akibat kegagalan keamanan operasional,” kata Karp. Mode kegagalan ini sulit distandarisasi dan dijamin, sehingga premi naik dan cakupan menjadi tidak terjangkau bagi banyak pengguna. Jembatan, kolateralisasi, dan batasan cakupan Eksploitasi Kelp DAO — yang menguras ratusan juta dolar dengan memanipulasi jembatan untuk mengakses aset yang kemudian digunakan ulang sebagai kolateral di platform pinjaman seperti Aave — menyoroti kesenjangan antara apa yang biasanya dicakup asuransi dan bagaimana serangan modern terjadi. Karp mencatat bahwa “kegagalan inti dalam risiko jembatan bukanlah sesuatu yang akan dicakup.” Bahkan ketika polis bisa berlaku, cakupannya seringkali tidak langsung dan bersyarat: kerugian hanya memenuhi syarat jika memicu konsekuensi turunan tertentu, seperti utang buruk di pasar pinjaman yang disebabkan oleh orakel yang dibekukan. Mengapa pengguna melewatkan asuransi Bagi banyak peserta DeFi, perhitungannya sederhana: yield lebih penting daripada perlindungan. Membayar premi asuransi 2–3% bisa merusak strategi yield ber-margin rendah, dan sebagian besar pengguna didorong oleh yield. “Sebagian besar pengguna DeFi didorong oleh yield dan tidak ingin melepaskan beberapa poin persentase pengembalian demi cakupan,” kata Dan She, mitra audit senior di CertiK. Kelemahan struktural dalam model asuransi Selain preferensi pengguna, fondasi asuransi DeFi memang rapuh. Banyak protokol asuransi dibangun di infrastruktur komposabel yang sama yang dieksploitasi penyerang — secara efektif menumpuk eksposur counterparty atas counterparty. Pertumbuhan cepat awal menyebabkan TVL asuransi melonjak dari sekitar $3 juta pada awal 2020 menjadi $1,89 miliar pada November 2021, dengan pemain seperti Nexus Mutual, Cover Protocol, InsurAce, Tidal Finance, dan Bridge Mutual memimpin gelombang ini. Namun, beberapa runtuh atau mandek: Cover Protocol diretas dan gagal, sementara Armor.fi, Bridge Mutual, dan Tidal semua stagnan atau menghilang antara 2021 dan 2024 akibat tokenomik yang tidak berkelanjutan, masalah tata kelola, dan konflik kepentingan. Dukungan modal terhadap pool asuransi juga menjadi kelemahan. “Ketika eksploitasi terjadi, modal yang mendukung cakupan sering kali terpapar risiko yang sama dengan protokol yang mereka cakup, sehingga menguap tepat ketika paling dibutuhkan,” kata Matthew Pinnock, COO di Altura. Gaspard Peduzzi, pendiri Spectra Finance, menambahkan bahwa mengasuransikan DeFi dengan protokol asli DeFi lainnya hanya menumpuk lebih banyak risiko counterparty di atas risiko yang sudah ada. Siapa yang membayar ketika semuanya salah? Karena cakupan asuransi tipis dan pool bisa habis, kerugian pada akhirnya jatuh ke pihak tertentu. Karp menggambarkan urutan pasca-eksploitasi biasa: modul keamanan protokol menyerap kerugian awal, kas treasury digunakan selanjutnya, dan jika itu tidak cukup, deposan biasa menghadapi haircuts. “Secara praktis, ketika tidak ada cakupan, biayanya jatuh secara tidak proporsional pada peserta paling tidak canggih,” katanya. Apakah industri ini beradaptasi? Ada tanda-tanda awal perubahan. Beberapa tim sedang bereksperimen dengan menyematkan asuransi langsung ke dalam produk DeFi daripada menjual polis mandiri. Yang lain menganjurkan cakupan yang lebih sempit dan disesuaikan untuk menangani risiko spesifik yang sudah dipahami dengan baik. Beberapa ahli bahkan menyarankan mengintegrasikan penyedia asuransi tradisional (di luar rantai) ke dalam ruang ini untuk membawa keahlian underwriting dan modal yang bukan berasal dari DeFi. Namun perubahan berjalan perlahan. Pasar asuransi DeFi tetap kecil bukan karena permintaan tidak ada, tetapi karena permukaan risikonya kompleks dan berkembang. Analisis DeFiLlama terhadap kerugian berdasarkan metode serangan menegaskan hal ini: kompromi kunci pribadi menyumbang porsi terbesar nilai yang dicuri, diikuti oleh serangan phishing yang menargetkan dompet multisignature. Intinya Saat serangan terus berlanjut dan kerugian bertambah, pasar menghadapi pilihan tegas: menerima trade-off saat ini antara yield tinggi dan perlindungan rendah, atau mengembangkan solusi asuransi yang lebih kuat, mungkin hibrida, yang secara realistis dapat mencakup bagaimana DeFi modern diserang. Jika yang terakhir tidak segera terjadi, kesenjangan asuransi bisa menjadi beban struktural terhadap pertumbuhan sektor ini — dan meninggalkan pengguna biasa menanggung biayanya.