Drift Protocol Mengalami Peretasan $285 Juta Melalui Kunci Admin yang Dicuri

Drift memotong luka yang paling tidak ingin dihadapi oleh industri ini.

1 April, Hari April Mop.

Pertukaran kontrak berkelanjutan terbesar di jaringan Solana, Drift Protocol, sedang dikosongkan, dan reaksi pertama komunitas adalah, "Trick April Mop yang bagus."

Ini bukan lelucon. Sekitar pukul 13:30, akun pemantauan rantai Lookonchain dan PeckShield hampir bersamaan memicu alarm: sebuah dompet asing yang dimulai dengan "HkGz4K" sedang menarik aset dengan kecepatan luar biasa dari brankas Drift. Pertama, 41 juta token JLP, senilai $155 juta. Segera setelah itu, 51,6 juta USDC, 125.000 WSOL, 164.000 cbBTC... selusin aset mengalir keluar seperti air dari bak mandi yang sumbatnya dicabut.

Satu jam. Aset kunci turun dari $309 juta menjadi $41 juta. Lebih dari separuh TVL, menguap.

Tim Drift mengirimkan tweet di X dengan nada yang jarang sekali mendesak: "Drift Protocol sedang mengalami serangan aktif. Setoran dan penarikan telah dihentikan. Kami sedang berkoordinasi dengan beberapa perusahaan keamanan, jembatan lintas rantai, dan bursa untuk mengendalikan situasi."

Kemudian, kalimat yang akan dicatat dalam sejarah kripto: "Ini bukan lelucon April Mop."

Jumlah digital yang dicuri dari Drift bervariasi menurut sumber yang berbeda. PeckShield memperkirakan sekitar $285 juta, Arkham memberikan angka lebih dari $250 juta, sementara evaluasi awal CertiK berada di sekitar $136 juta. Namun, berapa pun angka yang valid, ini merupakan insiden keamanan DeFi terbesar sejauh ini pada tahun 2026.

Yang lebih patut diperhatikan daripada angka adalah cara serangan.

Pendiri PeckShield, Jiang Xuxian, mengatakan secara jelas kepada Decrypt bahwa kunci administrator di balik Drift "jelas telah bocor atau diretas." Gambar serangan yang dirangkai oleh peneliti blockchain menunjukkan bahwa peretas memperoleh akses istimewa ke protokol Drift, sehingga mengendalikan arus dana di dalam vault.

Dengan kata lain, tanpa eksploitasi kerentanan kontrak pintar yang canggih, tanpa serangan flash loan, tanpa manipulasi oracle. Hanya kegagalan keamanan paling dasar dan klasik—seseorang kehilangan kunci pribadinya.

Detail yang lebih mengkhawatirkan adalah: penyerang tidak bertindak secara spontan. Data on-chain menunjukkan bahwa dompet ini menerima dana awal melalui Near Intents delapan hari sebelum serangan, lalu tetap diam. Seminggu sebelum serangan, ia bahkan menerima transfer kecil senilai $2,52 dari rekening Drift—sebuah uji coba, sebuah "ketukan pintu".

Satu minggu kemudian, pintunya dihancurkan.

Bagi Cindy Leow, salah satu pendiri Drift, mimpi buruk pada 1 April memiliki latar belakang yang lebih kejam.

Cerita pengusaha keturunan Tiongkok Malaysia ini pernah menjadi salah satu narasi inspiratif terbaik dalam Solana DeFi. Memulai karier pada 2016 dengan arbitrase Bitcoin antara Tiongkok dan Korea, ia pernah menjalankan dana mandiri, berkontribusi pada proyek derivatif di Ethereum, dan pada 2021 bersama David Lu mendirikan Drift, dengan mempertaruhkan keunggulan kecepatan Solana untuk kontrak berjangka on-chain.

Dari timeline-nya, Drift hampir memanfaatkan setiap gelombang. Pada 2024, menerima dua putaran pendanaan dipimpin oleh Polychain dan Multicoin, dengan total Rp525 juta. Meluncurkan pasar prediksi yang menantang Polymarket, menghadirkan leverage 50x, TVL melebihi $550 juta, dan total volume perdagangan melebihi $50 miliar. Leow dalam wawancara dengan Fortune menggunakan posisi ambisius: ingin menjadi "Robinhood versi kripto".

Perbandingan ini sekarang terasa rumit. Janji inti Robinhood adalah memberikan akses ke alat keuangan Wall Street kepada orang biasa. Janji inti Drift adalah memberikan pengalaman perdagangan "non-custodial" di blockchain, di mana uang Anda tidak melewati tangan siapa pun, hanya berinteraksi dengan kode.

Namun, di balik kode tersebut, terdapat kunci admin. Dan keamanan kunci ini pada akhirnya bergantung pada manusia, bukan kriptografi.

Ada juga kebetulan sejarah yang menyakitkan di sini. Pada tahun 2022, era Drift v1 pernah mengalami insiden di mana kas dipindahkan habis-habisan. Tim kemudian membuat laporan teknis yang sangat rinci, bahkan mempublikasikan kode bukti konsep yang menunjukkan bagaimana penyerang dapat mengosongkan seluruh kas dalam satu transaksi. Kerugian dari insiden tersebut mencapai 14,5 juta dolar AS, dan tim membayar ganti rugi kepada pengguna sepenuhnya dari kantong mereka sendiri.

Empat tahun kemudian, mimpi buruk yang sama terulang dengan skala 20 kali lipat.

Perluas pandangan Anda dari Drift, dan Anda akan melihat pola yang tidak nyaman sedang terbentuk.

Pada awal 2025, layanan manajemen kunci AWS dari Resolv Labs diretas, di mana penyerang menggunakan kunci berprivilese untuk menyetujui operasi pencetakan besar-besaran stablecoin USR, memicu kerugian berantai lintas platform. Pada tahun yang sama, total pencurian kripto sepanjang 2025 mencapai rekor historis sebesar 3,4 miliar dolar AS, laporan Chainalysis secara khusus menyoroti pergeseran tren: peristiwa paling merusak terjadi pada tingkat infrastruktur. Mesin pengembang yang diretas, kunci pencetakan tunggal yang disimpan di cloud, dan proses tanda tangan yang diretas melalui sosial engineering, inilah yang sebenarnya menjadi lubang hitam yang menelan dana.

Sekarang tambahkan Drift.

Jika Anda membandingkan kasus-kasus ini secara berdampingan, kesimpulan hampir tak terhindarkan: keamanan kunci pribadi telah menggantikan kerentanan kontrak cerdas sebagai risiko sistemik terbesar di DeFi.

Ada jurang kognitif di sini, sebesar yang cukup untuk menelan puluhan miliar dolar.

Cerita yang disampaikan protokol DeFi kepada publik adalah "desentralisasi", "non-custodial", dan "tanpa kepercayaan". Aset Anda dijaga oleh kode, dan tidak ada pihak perantara yang dapat menyentuh uang Anda. Pengguna mendengarkan cerita ini, menyimpan uang mereka ke dalam protokol-protokol tersebut, dan merasa bahwa "saya sedang berurusan dengan matematika".

Namun kenyataannya, hampir setiap protokol DeFi yang berjalan memiliki satu atau beberapa "kunci ilahi"—kunci admin, hak pembaruan, kendali rekening kas, dan sakelar jeda darurat. Keberadaan kunci-kunci ini terkadang demi keamanan (untuk bisa menghentikan operasi secara darurat jika terjadi masalah), terkadang demi fleksibilitas (untuk memperbarui logika kontrak), tetapi esensinya sama: titik kepercayaan terpusat yang dibungkus dalam narasi desentralisasi.

Pengguna mengira mereka berinteraksi dengan kode. Sebenarnya, mereka sedang mempercayai seseorang, atau sekelompok kecil orang, yang tidak akan membuat kesalahan, tidak akan menjadi korban phishing, tidak akan dipaksa, dan tidak akan meninggalkan laptop mereka di kafe larut malam.

Ini bukan masalah eksklusif Drift, ini adalah kontradiksi struktural di seluruh industri DeFi.

285 juta dolar AS pergi ke mana

Aksi daring penyerang bersih dan tepat, penuh ketenangan seorang profesional.

Setelah menarik aset dari Drift Vault, ia segera menukar sebagian besar token menjadi stablecoin, lalu mentransfer dana tersebut ke jaringan Ethereum melalui jembatan Wormhole. Di Ethereum, ia menggunakan sebagian stablecoin untuk membeli sekitar 19.913 ETH (senilai sekitar $42,6 juta), dengan sisa dana didistribusikan ke beberapa alamat dompet.

Ada detail yang absurd: dompet penyerang juga memegang sejumlah besar Fartcoin, sekitar 2,5% dari total pasokan token tersebut. Seorang peretas yang baru saja melakukan pencurian DeFi terbesar sepanjang tahun ini, tiba-tiba memegang sejumlah besar meme coin yang dinamai dengan kata "bersendawa".

Pada saat pelaporan, penarikan dan setoran Drift masih ditangguhkan, dengan harga token DRIFT turun dari sekitar $0,072 sebelum serangan menjadi sekitar $0,05, menurun lebih dari 28%. Dari titik tertinggi historisnya di $2,60, penurunan kumulatif melebihi 98%. Dompet Phantom telah menampilkan peringatan kepada pengguna yang mencoba mengakses Drift.

Tim Drift menyatakan sedang berkoordinasi dengan perusahaan keamanan, operator jembatan lintas rantai, dan bursa terpusat untuk mencoba membekukan dan melacak dana yang dicuri. Namun, jika sejarah bisa menjadi acuan, probabilitas pemulihan dana yang telah dipindahkan melalui jembatan lintas rantai dan didistribusikan ke beberapa dompet tidak optimis.

Drift memotong luka yang paling tidak ingin dihadapi oleh industri ini.

Chainalysis dalam laporan akhir 2025 sebelumnya menyatakan optimis bahwa keamanan DeFi mencapai "kemajuan signifikan", meskipun TVL berlipat ganda menjadi $11,9 miliar, kerugian akibat peretasan DeFi justru menurun. Kasus Venus Protocol dijadikan contoh positif: sistem pemantauan keamanan mendeteksi anomali 18 jam sebelum serangan terjadi, protokol segera menghentikan operasinya, mekanisme tata kelola membekukan dana penyerang, dan bahkan penyerang mengalami kerugian.

Drift merusak "narasi kemajuan" ini. Anda bisa melakukan audit kontrak cerdas hingga sempurna, dapat mendeploy pemantauan on-chain paling mutakhir, tetapi selama kunci admin diraih melalui sosial rekayasa, phishing, atau brute force, seluruh infrastruktur keamanan akan seperti benteng yang dibangun di atas pasir.

Industri DeFi perlu berhenti sejenak dan menjawab dengan jujur sebuah pertanyaan: Ketika Anda mengatakan "non-custodial" kepada pengguna, apa sebenarnya yang Anda maksud?

Jika kunci admin protokol dapat memindahkan semua aset di dalam vault kapan saja, apa bedanya dengan menyimpan uang di rekening bank orang yang tidak Anda kenal? Setidaknya bank memiliki asuransi, regulasi, dan hak hukum untuk menuntut.

Mungkin jawabannya bukan mencabut izin administrator ini, karena dalam banyak kasus keberadaannya diperlukan. Tetapi setidaknya, industri harus berhenti berpura-pura bahwa mereka tidak ada. Solusi teknis seperti tanda tangan ganda, time lock, hardware security module, rotasi kunci... telah ada selama bertahun-tahun, tetapi terlalu banyak protokol masih mengandalkan kewaspadaan satu atau dua operator manusia untuk menjaga keamanan ratusan juta dolar.

Mimpi "Robinhood versi kripto" memang indah. Namun, sebelum mewujudkannya, mungkin sebaiknya menjawab pertanyaan yang lebih mendasar terlebih dahulu: Siapa yang menyimpan kuncinya?