Hariankripto – Tiga serangan DeFi menghebohkan pasar kripto dalam waktu kurang dari 12 jam. Penyerang menargetkan AFX Trade, Verus-Ethereum Bridge dan layanan staking B² Network dengan total kerugian sekitar US$35,55 juta. AFX Trade menanggung kerugian terbesar dengan nilai US$24,15 juta. Selanjutnya, penyerang mengambil aset senilai sekitar US$7,54 juta dari Verus-Ethereum Bridge. B² Network juga kehilangan token senilai kurang lebih US$3,86 juta.
Is today Hackers' Day?
— Lookonchain (@lookonchain) July 23, 2026
Three exploits have already happened today, with total losses of $35.55M.
AFX Trade(@AFX_XYZ) was exploited for $24.15M.
Verus(@VerusCoin) Ethereum bridge was exploited for $7.55M.
B² Network(@BSquaredNetwork) was exploited for $3.86M. pic.twitter.com/9v1KxWtaHV
Meskipun tiga insiden tersebut terjadi secara beruntun, para pelaku tidak membobol blockchain utama Arbitrum, Ethereum, Verus maupun BNB Chain. Sebaliknya, mereka mengeksploitasi pengelolaan kunci validator, pemeriksaan transaksi yang lemah dan kewenangan administrator kontrak.
Penyerang Menguras US$24,15 Juta dari AFX Trade
AFX Trade menghadapi serangan pada bridge USDC yang protokol tersebut operasikan di jaringan Arbitrum. Perusahaan keamanan blockchain Blockaid mendeteksi insiden itu pada 22 Juli 2026 pukul 21.30 UTC.
Menurut hasil pemeriksaan awal, penyerang menguasai lima kunci hot validator. Selanjutnya, pelaku memakai kunci tersebut untuk menghasilkan tanda tangan yang memenuhi batas persetujuan transaksi bridge.
Sistem kemudian mengizinkan penarikan sekitar 24,15 juta USDC. Setelah itu, penyerang memindahkan seluruh aset dari Arbitrum menuju Ethereum.
Lookonchain mencatat bahwa pelaku menukar 24,15 juta USDC menjadi sekitar 12.467 ETH dengan harga rata-rata US$1.937 per ETH. Nilai tersebut menjadikan AFX Trade sebagai korban terbesar dalam rangkaian serangan kali ini.
Insiden tersebut langsung memunculkan kekhawatiran terhadap keamanan Arbitrum. Namun, CEO Offchain Labs Steven Goldfeder menegaskan bahwa transaksi berasal dari protokol pihak ketiga.
Goldfeder juga memastikan bahwa penyerang tidak menyentuh bridge bawaan Arbitrum. Tim Arbitrum lalu bekerja sama dengan AFX Trade dan sejumlah perusahaan keamanan untuk melacak dana serta menyelidiki sumber kebocoran kunci.
Dengan demikian, serangan AFX Trade tidak menunjukkan kelemahan pada jaringan inti Arbitrum. Insiden ini justru menyoroti risiko besar dari penyimpanan kunci validator dalam sistem yang terhubung langsung dengan internet.
Celah Lama Kembali Menghantam Verus
Tidak lama setelah insiden AFX Trade, seorang penyerang mengambil aset senilai sekitar US$7,54 juta dari Verus-Ethereum Bridge. Pelaku mengeksploitasi mekanisme impor lintas jaringan untuk memperoleh pembayaran tanpa menyediakan aset pendukung dengan jumlah setara.
Penyerang memasukkan data transaksi yang melewati pemeriksaan kriptografi. Namun, sistem tidak membandingkan nilai aset pada jaringan Verus dengan jumlah pembayaran pada jaringan Ethereum.
Akibatnya, pelaku dapat mengeluarkan ETH, tBTC, USDC, USDT, EURC, MKR dan scrvUSD dari cadangan bridge. Penyerang hanya memerlukan nilai transaksi sumber yang sangat kecil untuk memperoleh pembayaran bernilai jutaan dolar.
Lebih lanjut, metode tersebut menyerupai serangan yang menimpa Verus-Ethereum Bridge pada Mei 2026. Dalam insiden sebelumnya, seorang pelaku mengambil aset senilai sekitar US$11,58 juta setelah memanfaatkan pemeriksaan jumlah sumber yang tidak lengkap.
Pengulangan celah tersebut menunjukkan bahwa tim belum menutup seluruh jalur serangan. Selain itu, penambahan dana baru ke dalam bridge memberikan kesempatan lain bagi pelaku untuk menggunakan metode yang sama.
Kasus Verus pun membawa pelajaran penting bagi pengembang. Audit kontrak tidak cukup hanya memeriksa validitas tanda tangan dan pesan lintas jaringan. Pengembang juga harus memastikan kesamaan jumlah, jenis token, jaringan asal dan penerima sebelum kontrak mengeluarkan dana.
B² Network Menanggung Serangan pada Kontrak Staking
Sementara itu, B² Network menghadapi insiden pada layanan staking token B2 di BNB Chain. Penyerang memperoleh akses tanpa izin terhadap kewenangan upgrade kontrak staking.
Akses tersebut memberikan kemampuan kepada pelaku untuk mengubah logika kontrak. Setelah mengambil alih kendali, penyerang meraih sekitar 8,591 juta token B2 dengan nilai kurang lebih US$3,86 juta.
Pelaku kemudian menjual token B2 dan memperoleh sekitar 5.409 BNB. Setelah itu, penyerang memindahkan hasil penjualan menuju Ethereum serta membagi aset menjadi ETH dan stablecoin.
Sebagai langkah pencegahan, tim B² Network langsung menghentikan layanan staking B2. Tim juga memulai pemeriksaan keamanan bersama perusahaan terkait dan memastikan bahwa insiden tidak akan menimbulkan dampak tambahan.
Selain itu, B² Network berjanji mengganti seluruh kerugian pengguna. Pengguna yang ingin menarik token B2 dapat membuka tiket melalui Discord resmi B² Network. Tim akan memeriksa bukti kepemilikan dan memproses permintaan penarikan dalam satu hari kerja.
Rangkaian serangan ini menunjukkan bahwa ancaman DeFi tidak selalu berasal dari kesalahan kode blockchain. Pelaku juga dapat menargetkan kunci pribadi, hak upgrade kontrak dan prosedur operasional yang lemah.
Oleh karena itu, proyek DeFi perlu menerapkan penyimpanan kunci secara offline, persetujuan multisignature, jeda waktu untuk upgrade kontrak dan pembatasan penarikan. Tim keamanan juga harus memantau setiap perubahan hak administrator secara langsung.
Pada akhirnya, tiga serangan DeFi tersebut menegaskan bahwa kekuatan blockchain tidak dapat menutup kelemahan pada lapisan operasional. Proyek harus melindungi kode, kunci dan hak akses dengan standar keamanan yang sama ketatnya.
