Laporan Keamanan Web3 Agustus: 29 Insiden Besar, Lebih dari $68,29 Juta Hilang

Berdasarkan data yang dipantau oleh platform Beosin Alert, pada Agustus 2026, total kerugian akibat berbagai insiden keamanan mencapai sekitar $76,15 juta, dengan 『29』 insiden keamanan besar yang terjadi, yang sebagian besar disebabkan oleh kerentanan kontrak. Di antaranya, 18 insiden keamanan disebabkan oleh kerentanan kontrak/jaringan, 2 insiden disebabkan oleh kebocoran kunci pribadi, sehingga keamanan kontrak cerdas dan manajemen kunci pribadi tetap menjadi titik lemah dalam keamanan Web3.

8月13日，个人用户地址0x13e3....179e因私钥泄露被盗走WBTC、cbBTC、LDO、USDS、CRV等加密资产，总损失约2560万美元，是实际损失最多的安全事件。8月30日，Cronos 网络上的借贷协议 Tectonic 因合约漏洞遭遇黑客攻击，预计损失约为 7400 万。此次攻击导致Cronos网络采取紧急措施，暂停网络并回滚交易，黑客最终通过跨链交易，成功转移约600万美元到Ethereum网络。

Selain itu, blockchain Harmony secara tambahan mencetak sekitar 4 miliar token ONE karena kerentanan, dengan kerugian nominal lebih dari $4 juta, tetapi akhirnya status token palsu dihapus melalui rollback transaksi, sehingga tidak dihitung sebagai kerugian.

Target serangan bulan ini mencakup berbagai jenis seperti blockchain publik, protokol pinjaman, aplikasi dompet, kontrak token, jembatan lintas rantai, dan pengguna biasa, di mana proyek DeFi mengalami kerugian terbesar, mencapai $33,09 juta; sementara alamat pribadi mengalami kerugian sekitar $28,40 juta akibat kebocoran kunci pribadi atau phishing. Kontrak berbasis token paling sering diserang, tercatat sebanyak 10 kali; kontrak DeFi berada di posisi kedua dengan 9 kali serangan.

Blockchain dengan kerugian terbesar pada Mei adalah Ethereum, dengan kerugian melebihi $48,58 juta dan total 15 insiden keamanan; sebagian besar protokol DeFi dan serangan phishing terhadap whale masih berfokus pada Ethereum. Blockchain dengan jumlah insiden keamanan terbanyak kedua adalah BNB Chain, tetapi target serangan terutama merupakan kontrak token dengan kerugian yang lebih kecil. Selain itu, blockchain publik seperti Cronos, Base, Harmony, Bitcoin, dan Solana juga mengalami insiden keamanan, menunjukkan tren serangan lintas blockchain.

1. Tectonic dan Moonwell: Manipulasi Harga

Tectonic dan Moonwell adalah protokol pinjaman on-chain yang diserang karena harga jaminan token dengan likuiditas rendah dimanipulasi, sehingga memungkinkan peminjam mengambil aset berlebihan berdasarkan nilai aset yang dibesar-besarkan untuk mendapatkan keuntungan. Dalam serangan terhadap Tectonic, penyerang mendorong harga token tata kelola Tectonic, $TONIC, naik 100 kali lipat, sehingga memperoleh kuota pinjaman sekitar $74 juta, lalu meminjam aset seperti USDT. Setelah insiden tersebut, jaringan Cronos segera menghentikan pembuatan blok secara keseluruhan, dan penyerang mentransfer sekitar $6 juta ke Ethereum sebelum jaringan dihentikan. Selanjutnya, jaringan Cronos melakukan rollback untuk memulihkan kerugian.

Alamat keuntungan hacker Ethereum: 0xc404160B79BD8905061a1cAecBeCa2EEab3f72DD dan aliran dana yang dicuri:

Saat ini sekitar 2659 ETH masih disimpan di 0xc4041, 140,1 ETH ditransfer ke 0x6df89c42f0abdfaa2b5b77edcdafbc945ed6ee6c, lalu terus didistribusikan ke beberapa alamat baru yang dibuat.

Moonwell mengalami kerugian sekitar $8,7 juta karena penyerang memanipulasi harga token MAMO yang likuiditasnya rendah untuk meminjam cbBTC:

Kedua serangan ini bukan disebabkan oleh kerentanan kontrak cerdas, tetapi karena protokol secara keliru menghitung nilai jaminan dengan menentukan harga jaminan berdasarkan likuiditas spot yang lemah. Untuk mencegah serangan semacam ini, protokol dapat mengambil data dari beberapa oracle sumber berbeda dan melakukan penilaian tambahan terhadap fluktuasi harga yang drastis.

2. Harmony: Serangan replay

Harmony adalah Layer 1 yang mendukung sharding, menjalankan empat sharding, dan mentransfer aset di antara mereka melalui mekanisme lintas-sharding asinkron berbasis receipt. Sharding sumber menghasilkan receipt terenkripsi untuk transaksi outbound, sedangkan sharding tujuan bertanggung jawab untuk memverifikasi bahwa receipt tersebut dan bukti Merkle-nya cocok dengan header blok sumber yang ditandatangani sebelum mencatat transaksi, dan setiap receipt hanya dapat digunakan sekali.

Lubang keamanan pada serangan ini terdapat pada bagian warisan dari sistem shard Harmony. Sebelumnya, Harmony memeriksa apakah tanda terima shard telah digunakan dengan melihat dua bidang CXMerkleProof.ShardID dan BlockNum,

Karena kedua bidang ini berada di luar header blok yang ditandatangani, penyerang dapat memodifikasinya tanpa merusak fungsi apa pun yang sudah ada. Dalam serangan ini, penyerang memperoleh tanda terima lintas shard dan memodifikasi ShardID dan BlockNum di dalamnya, sehingga program verifikasi mengenali sebagai tanda terima baru. Shard tujuan menerima tanda terima yang telah dimodifikasi dan mencatatnya kembali, sementara shard asli tidak mengurangi aset yang sesuai.

Ini adalah serangan replay yang sangat khas. Untuk setiap bidang yang digunakan sebagai "tanda penggunaan sekali", harus menjadi bagian dari otentikasi header yang ditandatangani. Saat memverifikasi resi, ID shard dan nomor blok harus dibaca langsung dari header blok yang telah diverifikasi, bukan mempercayai bidang yang tidak sah dalam struktur bukti.

3. Term Finance: Serangan tata kelola

Term Finance adalah protokol pinjam meminjam suku bunga tetap DeFi, di mana setiap vault merupakan ERC-4626 Vault berbasis kode Yearn V3. Namun, tata kelola vault Term Finance bukanlah voting persetujuan, melainkan voting penolakan. Ketika kurator mengajukan usulan perubahan parameter, para pengelola membuka jendela yang meminta pemegang token LP untuk mengajukan keberatan. Ada celah serius dalam ambang batas voting tata kelola:

● Tidak ada ambang batas suara mutlak atau modal minimum: Syarat untuk lolosnya usulan, isSupportThresholdReached() dan isMinParticipationReached(), hanya memeriksa proporsi relatif, bukan jumlah suara mutlak. Ini berarti bahwa usulan dapat lolos selama memenuhi mayoritas relatif, tanpa memperdulikan jumlah total peserta yang memberikan suara atau jumlah total modal yang terlibat.

● Partisipasi sangat rendah: Hampir tidak ada deposan yang mengonversi porsi gudang (tmvETH) menjadi token tata kelola (gtmvETH) untuk berpartisipasi dalam pemungutan suara. Hal ini menyebabkan total pasokan token tata kelola untuk gudang terkait sangat rendah.

Penyerang memanfaatkan kelemahan desain di atas untuk melakukan serangan tata kelola terhadap gudang dengan biaya sangat rendah:

(1) Dapatkan hak suara: Penyerang menukar sekitar 0,5 ETH menjadi sekitar 0,485 unit saham tmvETH, lalu mengemasnya 1:1 menjadi 0,485 token tata kelola gtmvETH untuk mendapatkan hak suara.

(2) Mengajukan proposal jahat: Saat penyerang membuat proposal, kontrak mencatat total pasokan token tata kelola pada saat itu hanya 0,535 gtmvETH. Ini berarti 0,485 gtmvETH yang dimiliki penyerang telah menyumbang 90,66% dari total jumlah.

(3) Voting and Execution: The attacker, as the sole voter, cast a yes vote. With no opposing votes, their support rate far exceeded the 50% threshold; at the same time, their individual voting power also surpassed the minimum participation threshold (minVotingPower) calculated based on the extremely low total supply.

(4) Penarikan aset: Setelah usulan disetujui, operasi jahat dilakukan untuk menarik aset dari gudang (WETH)

Penyerang menggunakan metode yang sama, berhasil menyerang 6 rekening Term Finance, menyebabkan kerugian sekitar $8,5 juta.

Serangan ini juga merupakan serangan tata kelola protokol on-chain yang sangat khas. Untuk tata kelola on-chain, proyek harus menetapkan titik pemeriksaan berikut untuk pencegahan:

● Tetapkan jumlah suara absolut atau batas modal minimum: Usulan tata kelola tidak boleh hanya bergantung pada proporsi relatif. Harus ditetapkan ambang batas keras berdasarkan jumlah absolut, misalnya memerlukan suara setuju mencapai jumlah tertentu (seperti 1 juta dolar AS) atau jumlah alamat independen.

● Tetapkan penjaga atau jalur pembatalan untuk time lock: Meskipun pelaksanaan tata kelola biasanya memiliki penundaan, ini hanya memberikan waktu respons tertentu. Proyek harus menyediakan mekanisme penjaga (Guardian) yang efektif atau jalur pembatalan proposal selama periode penundaan. Jika proposal jahat ditemukan selama periode penundaan, penjaga dapat segera mengintervensi dan membatalkannya.

● Pantau partisipasi tata kelola: Protokol harus membangun pemantauan real-time terhadap partisipasi tata kelola masing-masing treasury. Ketika ditemukan bahwa total pasokan token tata kelola atau tingkat partisipasi pemungutan suara pada suatu treasury sangat rendah, segera kirimkan peringatan, bahkan secara otomatis memicu langkah-langkah perlindungan.

Tren ancaman keamanan Web3

Tren paling mendalam yang ditampilkan oleh keamanan Web3 pada tahun 2026 adalah perluasan sistematis permukaan serangan. Kerentanan muncul secara bersamaan di tingkat kode, operasional sehari-hari, dan interaksi, sehingga hanya mengandalkan beberapa audit keamanan atau alat tidak cukup untuk menutupi keamanan operasional, tata kelola on-chain, dan kerentanan logika bisnis. Ini menimbulkan tantangan baru bagi proyek Web3 dalam membangun sistem pertahanan keamanan.

Selain itu, serangan terhadap kontrak DeFi dan pengguna pribadi sering terjadi. Kerentanan kontrak atau otorisasi mudah dimanfaatkan oleh penyerang; pengembang atau operator kontrak harus memeriksa kembali keamanan kontrak, dan untuk kontrak yang menangani bisnis inti, sebaiknya dilakukan audit keamanan berulang kali oleh berbagai pihak. Bagi pengguna pribadi, disarankan untuk secara berkala memeriksa dan mencabut otorisasi kontrak yang tidak lagi digunakan melalui blockchain explorer atau alat pencabutan otorisasi, serta memperdalam pemahaman tentang teknik phising umum dan baru untuk meningkatkan kesadaran keamanan.

Artikel ini disusun oleh tim keamanan Beosin dengan menggabungkan sistem peringatan keamanan Beosin Alert, data on-chain, dan analisis pasca-insiden yang dipublikasikan oleh tim proyek. Jika ada pertanyaan, silakan berkomunikasi atau memberikan umpan balik kepada kami.