Pemantauan Kejadian Keamanan ZeroTime Bulanan telah dimulai! Menurut statistik dari berbagai platform pemantau keamanan blockchain, situasi keamanan di bidang kripto pada Juli 2026 menunjukkan ciri "perpindahan jalur serangan yang dipercepat, dengan infrastruktur off-chain menjadi target baru". Pada bulan tersebut, total kerugian akibat kejadian keamanan mencapai sekitar $97 juta, di mana kerugian terkait serangan peretas dan kerentanan kontrak pintar mencapai sekitar $94 juta, sementara serangan phishing menyebabkan kerugian sekitar $3 juta. Terjadi lebih dari 14 kejadian keamanan terkait protokol, menurun dibandingkan 67 kejadian pada Juni, namun jumlah kerugian per kejadian meningkat signifikan. Total kerugian Juli meningkat sekitar 18,7% dibandingkan $81,73 juta pada Juni. Jembatan lintas rantai tetap menjadi area paling rentan, dengan serangan terhadap AFX Trade, Verus, B² Network, dan lainnya meledak secara terkonsentrasi dalam hitungan jam, dengan total kerugian lebih dari $35 juta. Jalur serangan sedang berpindah dengan cepat dari kerentanan kode kontrak pintar menuju metode serangan non-kode seperti intrusi infrastruktur off-chain, kebocoran kunci tanda tangan, dan manipulasi pemungutan suara tata kelola.
Aspek serangan peretas
7 insiden keamanan tipikal
• Pelanggaran izin oracle off-chain Ostium
Waktu: 15 Juli
Jumlah kerugian: sekitar $23,75 juta
Detail insiden: Protokol perdagangan berkelanjutan RWA ekosistem Arbitrum, Ostium, mengalami serangan; penyerang memperoleh akses ke sistem tanda tangan harga offline, memalsukan data harga BTC/USD, memanipulasi harga BTC menjadi sekitar $5.000, dan mencuri sekitar 23,75 juta USDC dari kolam likuiditas OLP melalui siklus pembukaan dan penutupan posisi. Pihak resmi mengonfirmasi bahwa insiden ini bukan disebabkan oleh kerentanan kontrak pintar atau kompromi multi-sig tata kelola, tetapi karena infrastruktur tanda tangan harga offline yang disusupi. Insiden ini tidak memengaruhi margin pengguna, dan protokol telah pulih perdagangannya pada 23 Juli.
Serangan kebocoran kunci verifikasi jembatan lintas rantai AFX Trade
Waktu: 22 Juli
Jumlah kerugian: sekitar $24,15 juta
Detail insiden: Jembatan lintas rantai yang dioperasikan oleh AFX Trade, pertukaran kontrak berkelanjutan terdesentralisasi dari ekosistem Arbitrum, menjadi sasaran serangan. Penyerang memperoleh kunci tanda tangan validator pribadi jembatan tersebut dan memanfaatkannya untuk mengajukan penarikan. Karena kontrak pintar memverifikasi tanda tangan dan melepaskan dana sesuai desain, tidak ada kerentanan pada tingkat kontrak. Sekitar 24,15 juta USDC dicuri dari Arbitrum ke Ethereum dan ditukar menjadi 12.467,5 ETH dengan harga rata-rata sekitar $1.937, lalu dikumpulkan ke satu dompet tunggal. Jembatan asli Arbitrum tidak terpengaruh. AFX sementara menghentikan jembatan lintas rantai yang diserang dan menawarkan 30% reward kepada penyerang untuk menarik kembali dana tersebut.
• Serangan kerentanan manajemen hak serangan manipulasi voting tata kelola BonkDAO
Waktu: 6 Juli
Jumlah kerugian: sekitar $20 juta
Rincian insiden: Penyerang menghabiskan sekitar $4 juta untuk membeli cukup banyak token BONK, memanfaatkan mekanisme platform tata kelola Solana Realms yang hanya memerlukan 1% partisipasi voting untuk mengesahkan usulan, lalu mengajukan dan mengesahkan usulan jahat. Setelah usulan tersebut disetujui pada 6 Juli, penyerang mentransfer sekitar 44,26 miliar BONK (sekitar $20 juta) dari kas BonkDAO. Tidak ada kegagalan kontrak pintar selama proses ini; kerentanan bukan terletak pada kode kontrak, tetapi pada desain aturan tata kelola itu sendiri. Immunefi menunjukkan bahwa ini adalah contoh khas insiden kerugian terbesar tahun 2026—dana tidak hilang karena kelemahan kontrak, tetapi karena voting tata kelola dan desain aturan.
• Serangan manipulasi oracle Bonzo Lend
Waktu: 11 Juli
Jumlah kerugian: sekitar $9,05 juta
Detail insiden: Protokol peminjaman terbesar di ekosistem Hedera, Bonzo Lend, mengalami serangan manipulasi oracle. Penyerang memanfaatkan kerentanan verifikasi tanda tangan pada penyedia oracle pihak ketiga, Supra, untuk menyuntikkan harga SAUCE yang dimanipulasi ke dalam protokol. Dengan sengaja meningkatkan nilai jaminan, penyerang meminjam aset jauh melebihi nilai jaminan sebelum oracle diperbaiki, menyebabkan kerugian sekitar $9,05 juta. Protokol telah menghentikan semua aktivitas, dan Bonzo Labs bersama Yayasan Bonzo Finance sedang berkoordinasi untuk pemulihan dan perbaikan.
• Verus - Serangan kedua terhadap jembatan lintas rantai Ethereum
Waktu: 23 Juli
Jumlah kerugian: sekitar USD 7,55 juta
Detail insiden: Verus - Jembatan lintas rantai Ethereum kembali diserang, dengan kerugian sekitar $7,55 juta. Serangan ini menggunakan jalur kontrak dan kategori kerentanan yang sama dengan serangan pada bulan Mei, menonjolkan bagaimana cacat yang belum diperbaiki dan dana yang disetorkan ulang membuat sistem rentan terhadap serangan kedua. Kerentanan ini termasuk jenis bypass verifikasi jembatan lintas rantai, di mana penyerang melakukan pencurian dana melalui jalur masuk yang sama.
• Serangan pada izin pembaruan kontrak staking B² Network
Waktu: 23 Juli
Jumlah kerugian: sekitar $3,86 juta
Rincian insiden: Hak pembaruan kontrak staking B² Network di BNB Chain direbut oleh penyerang, menyebabkan kerugian sekitar 8,591,000 token B2 (sekitar $3,86 juta). Penyerang menukar token tersebut menjadi 5.409 WBNB (sekitar $3,11 juta) dan melakukan cross-chain ke Ethereum, kini sedang mentransfer dana ke Zcash melalui NEAR Intents. Insiden ini menyoroti bahwa kunci dan izin yang dikompromikan—bukan teknologi enkripsi itu sendiri—tetap menjadi penyebab utama pencurian kripto. Tim telah menangguhkan fungsi staking dan menghubungi penyerang secara on-chain, menyatakan bahwa jika penyerang mengembalikan setidaknya 10% dana yang dicuri dalam waktu 24 jam, mereka tidak akan memulai proses hukum.
• Serangan kerentanan konfigurasi vault Summer.fi
Waktu: 6 Juli
Jumlah kerugian: sekitar USD 6,04 juta
Detail insiden: Rekening FleetCommander dari protokol pendapatan DeFi Ethereum, Summer.fi, diserang. Akar kerentanan terletak pada perhitungan totalAssets() yang masih memasukkan strategi yang telah memiliki batas setoran, siap diluncurkan, tetapi belum dihapus dari kumpulan aktif. Penyerang memanfaatkan bias perhitungan ini untuk mengakumulasi aset dan menarik keuntungan berlebih. Summer.fi sebelumnya dikenal sebagai Oasis.app, diluncurkan pada 2019 untuk pengguna MakerDAO, dan beralih ke lapisan optimasi pendapatan otomatis berbasis AI pada awal 2026.
Rug Pull / Penipuan钓鱼
4 kejadian keamanan tipikal
(1) Pada 9 Juli, korban dengan alamat yang dimulai dengan 0x8c94 menandatangani otorisasi token phishing di Ethereum, kehilangan USDT senilai $999.999.
(2) Pada 24 Juli, korban dengan alamat yang dimulai dengan 0x3e1b kehilangan $340.463 akibat serangan phishing multi-call di Ethereum.
Timeline:
06:51:47 UTC — Korban menandatangani multicall() pada kontrak token alphaUSDCDeltaV2, yang berisi approve() dengan batas tak terbatas.
06:52:23 UTC — 36 detik kemudian, 332.787 alphaUSDCDeltaV2 (~$340K) habis melalui transferFrom.
(3) Serangan phishing melalui aplikasi seluler palsu yang meniru SecondFi
Jumlah kerugian: sekitar $14,2 juta
Sifat peristiwa: Pada 12 Juli, platform pemantau keamanan kripto global mengungkap tiga insiden serangan aset kripto berbahaya tinggi. Jenis pertama adalah serangan phishing melalui aplikasi seluler palsu yang meniru SecondFi, menargetkan kelompok pengembang. Ketiga serangan tersebut meledak dalam waktu 24 jam, mencakup tiga target: pengembang, ritel biasa, dan whale dengan kekayaan tinggi, yang mengungkap kelemahan keamanan sepanjang rantai ekosistem Web3.
(4) Phishing scam melalui surat fisik Ledger
Jumlah kerugian: sekitar $960.000
Jenis insiden: Dari 3 hingga 7 Juli (ledakan terkonsentrasi), kelompok penipuan mengirim surat fisik palsu resmi Ledger ke alamat pengguna, yang mencantumkan logo resmi, tanda tangan CTO, dan penjelasan pembaruan keamanan kriptografi pasca-kuantum, untuk memancing pengguna memindai kode QR dan masuk ke situs phishing palsu guna memasukkan frase pemulihan, sehingga aset dompet dicuri. Kepolisian Queensland mengonfirmasi bahwa hanya antara 3 hingga 7 Juli, total kerugian yang dilaporkan korban telah melebihi 1,47 juta dolar Australia. Kepolisian memperingatkan bahwa Ledger resmi tidak pernah meminta frase pemulihan melalui surat atau telepon.
Summary
Ciri utama insiden keamanan blockchain pada Juli 2026 dapat diringkas menjadi tiga kata kunci: pergeseran jalur serangan, jembatan lintas rantai terus gagal, dan kerentanan pada tingkat tata kelola.
Jalur serangan sedang mengalami pergeseran yang jelas: serangan di luar kode, seperti intrusi infrastruktur off-chain, kebocoran kunci tanda tangan, dan manipulasi pemungutan suara tata kelola, secara signifikan meningkat proporsinya. Dalam insiden AFX Trade, penyerang hanya perlu mendapatkan kunci tanda tangan untuk menarik $24,15 juta; insiden Ostium mengungkapkan kurangnya mekanisme perlindungan setara dengan multi-sign on-chain dalam manajemen izin off-chain; insiden BonkDAO menunjukkan bahwa mekanisme pemungutan suara tata kelola sendiri dapat menjadi titik masuk serangan.
Dalam hal penipuan phishing, bulan ini terjadi beberapa serangan dengan pola baru "peretasan akun berpopularitas tinggi + promosi token palsu", di mana kepercayaan merek langsung dijadikan alat penipuan, dan phishing berbasis otorisasi berubah dari penipuan satu kali menjadi proses pencurian dana otomatis yang dapat direplikasi.
Tim Keamanan ZeroTime menyarankan:
• Individu: Waspadai promosi token "resmi" mendadak di platform X; jangan klik tautan atau permintaan tanda tangan yang tidak dikenal; cabut otorisasi dompet secara berkala; gunakan dompet terpisah untuk aset bernilai tinggi untuk mengisolasi risiko.
• Proyek: Manajemen izin infrastruktur off-chain harus memiliki spesifikasi keamanan yang setara dengan multi-sig on-chain; kunci validator menggunakan multi-sig + tanda tangan perangkat keras; usulan tata kelola menetapkan ambang suara dan time lock yang lebih tinggi; membangun sistem pemantauan 7×24 jam dan mekanisme pemutusan otomatis; audit mencakup seluruh rantai penyimpanan kunci, izin, dan aturan tata kelola.
• Industri: Membangun standar industri untuk manajemen kunci jembatan lintas rantai; Mendorong standardisasi audit keamanan infrastruktur off-chain; Memperkuat berbagi intel ancaman APT dan pembangunan database daftar hitam; Menyarankan proyek untuk menerapkan program bounty kerentanan.