Hacking dan Penipuan Kripto Terbesar pada 2026 Sejauh Ini

Peretasan, penipuan, dan eksploitasi kripto menyebabkan lebih dari $1,3 miliar kerugian kotor pada paruh pertama 2026, dengan beberapa insiden besar mendominasi total yang tercatat. TL;DR

• Peretasan, penipuan, dan eksploitasi kripto menyebabkan $1,316 miliar kerugian kotor pada paruh pertama 2026.
• Kelp DAO, Drift Protocol, dan satu korban phishing bertarget menyumbang sekitar 65% dari total tersebut.
• Insiden terbesar merusak infrastruktur RPC, izin administratif, sistem penandatanganan, atau perangkat istimewa, bukan kode smart contract publik.
• Pemeringkatan ini disusun pada 17 Juli, menyisakan 167 hari, atau 45,8% dari tahun ini, untuk insiden baru, pemulihan, dan atribusi yang direvisi yang dapat mengubah daftar.

Kerugian keamanan kripto mencapai $1,316 miliar dari 344 insiden pada paruh pertama 2026, menurut laporan keamanan H1 CertiK. Sekitar $115,3 juta dibekukan atau dikembalikan, sehingga kerugian yang disesuaikan menjadi sekitar $1,2 miliar. Perbaikan yang tampak dari 2025 perlu konteks. Total paruh pertama tahun sebelumnya mencakup pelanggaran Bybit senilai luar biasa $1,45 miliar. Setelah peristiwa tunggal itu dikecualikan, CertiK memperkirakan kerugian yang sebanding meningkat sekitar 28% pada 2026. Distribusi kerugian itu sama pentingnya dengan totalnya. Biaya insiden rata-rata sekitar $3,82 juta, sementara kerugian median hanya $138.703. Rata-rata karena itu lebih dari 27 kali median, menunjukkan bahwa sejumlah kecil kegagalan ekstrem mendorong hasil keseluruhan. Tiga insiden saja, Kelp DAO, Drift Protocol, dan pencurian phishing bertarget senilai $284 juta, menyumbang sekitar 65% dari seluruh kerugian yang dilaporkan pada paruh pertama. Peringkat Kerugian Perlu Lebih dari Satu Angka Laporan insiden kripto sering membandingkan angka yang mengukur bentuk kerusakan yang berbeda.

Kerugian kotor

Nilai yang dihapus dari protokol atau korban sebelum pemulihan.

Ekstraksi yang terealisasi

Aset yang berhasil dikonversi penyerang menjadi nilai ekonomi yang dapat dipindahkan.

Kerugian bersih

Jumlah yang masih hilang setelah pembekuan, pengembalian, pembayaran kembali, dan pemulihan.

Liabilitas pengguna

Klaim yang harus dibayar oleh sebuah platform, yang bisa lebih besar atau lebih kecil daripada hasil awal penyerang.

Eksposur nosional

Nilai teoritis dari aset yang dipalsukan atau dipertaruhkan secara berisiko, bahkan jika penyerang tidak dapat menguangkan seluruh jumlah.

Pemeringkatan di bawah terutama menggunakan kerugian kotor yang dilaporkan. Pemulihan, penilaian yang dipersengketakan, serta perbedaan antara hasil penyerang dan liabilitas platform dinyatakan secara terpisah. Untuk insiden yang melibatkan pembuatan token tanpa dukungan, ekstraksi yang terealisasi lebih bermakna daripada nilai nominal pasokan penipuan. Jika tidak, penyerang yang membuat token illikuid senilai $100 juta tetapi mengekstrak jaminan nyata senilai $1 juta dapat secara keliru diperingkat seolah-olah telah mencuri seluruh $100 juta. Kerugian Kripto Terbesar yang Dilaporkan pada 2026

1. Kelp DAO – $292 Juta Pada 18 April, penyerang membuat kontrak jembatan Ethereum Kelp DAO merilis sekitar 116.500 rsETH tanpa pembakaran token yang sesuai di rantai sumber. Investigasi Chainalysis menemukan bahwa penyerang membobol dua node RPC internal yang digunakan oleh Decentralized Verifier Network milik LayerZero sambil secara bersamaan mengganggu endpoint RPC eksternal melalui serangan distributed denial-of-service. Node yang dimanipulasi melaporkan pembakaran rantai sumber yang tidak pernah terjadi. Karena konfigurasi jembatan Kelp bergantung pada satu verifier, tidak diperlukan jaringan independen kedua untuk mengonfirmasi apakah pembakaran yang dilaporkan itu benar. Kontrak tujuan menerima pesan yang diformat dan ditandatangani dengan benar serta merilis aset persis seperti yang diprogram. Kegagalan terjadi pada infrastruktur yang memasok informasi ke kontrak, bukan pada eksekusi kontrak atas informasi tersebut. Kelp menjeda kontrak yang terdampak cukup cepat untuk menghentikan upaya penarikan kedua yang melibatkan sekitar 40.000 rsETH, lalu bernilai sekitar $95 juta. Arbitrum Security Council kemudian membekukan 30.766 ETH yang terkait dengan aktivitas lanjutan penyerang. Chainalysis dan LayerZero mengatribusikan operasi tersebut ke Lazarus Group milik Korea Utara, khususnya subkelompok TraderTraitor. Atribusi dibuat oleh pihak yang terlibat langsung dalam investigasi, meskipun kesimpulan yang melibatkan aktor yang disponsori negara mungkin masih berkembang seiring munculnya bukti tambahan. Jumlah yang dibekukan tidak menghapus kegagalan akuntansi jembatan yang asli. Kerugian kotor, dana yang dapat dipulihkan, hasil penyerang, dan sisa kekurangan dukungan apa pun harus diperlakukan sebagai angka terpisah.
2. Drift Protocol – $285 Juta Drift Protocol kehilangan sekitar $285 juta pada 1 April setelah penyerang memperoleh kendali administratif atas Security Council-nya. Menurut Chainalysis, individu yang menyamar sebagai perwakilan perusahaan perdagangan kuantitatif menghabiskan berbulan-bulan membangun relasi dengan kontributor Drift. Anggota Security Council akhirnya diyakinkan untuk menandatangani transaksi menggunakan fitur durable-nonce milik Solana, yang memungkinkan transaksi yang ditandatangani secara valid ditahan dan dieksekusi pada waktu kemudian. Transaksi-transaksi itu memindahkan kendali administratif ke alamat yang dikendalikan penyerang. Setelah otoritas tersebut diperoleh, penyerang menghapus batas penarikan, menyetujui token senilai hampir nol bernama CVT sebagai jaminan, memberinya valuasi artifisial, dan menyetor 500 juta unit. Posisi yang dihasilkan digunakan untuk menarik USDC, SOL, ETH, dan aset lain yang membawa nilai eksternal nyata. Pengambilalihan administratif terjadi melalui dua transaksi yang dijalankan terpaut satu detik, tetapi penarikan berikutnya berlanjut selama periode yang lebih panjang. Menggambarkan seluruh kerugian $285 juta terjadi dalam 10 detik karena itu tidak akurat. Chainalysis sebagian menyusun rekonstruksinya berdasarkan investigasi internal Drift dan mencatat bahwa akun tersebut belum diverifikasi secara independen melalui peninjauan pihak ketiga yang selesai. Bukti awal konsisten dengan operasi Korea Utara sebelumnya, tetapi atribusi formal masih menunggu. Drift kemudian membahas kerugian pengguna sekitar $295 juta. Angka yang lebih tinggi ini tampaknya mewakili liabilitas platform, bukan hasil awal penyerang, dan tidak boleh diperlakukan sebagai estimasi alternatif dari jumlah yang sama.
3. Kerugian Phishing Bertarget yang Dilaporkan oleh CertiK – $284 Juta Satu individu kehilangan sekitar $284 juta dalam insiden social-engineering bertarget pada bulan Januari, menurut CertiK. Identitas korban dan urutan serangan lengkap belum diungkapkan ke publik. Ini membatasi kesimpulan yang dapat ditarik secara bertanggung jawab terkait konfigurasi wallet, metode social-engineering yang tepat, dan prospek pemulihan. Skalanya tetap signifikan. Satu wallet yang dikendalikan pribadi menghasilkan kerusakan finansial hampir sebesar pelanggaran Drift Protocol dan melampaui kerugian gabungan dari sebagian besar eksploit protokol kecil yang tercatat pada paruh pertama tahun itu. CertiK menghitung $366,3 juta kerugian phishing di 63 insiden pada H1. Jumlah kasus phishing turun 52,3% dibanding periode yang sama pada 2025, tetapi kerugian hanya turun 10,8%. Empat insiden menyumbang sekitar 85% dari semua kerugian phishing. Data menunjukkan perubahan dalam pemilihan target, bukan hilangnya phishing. Kampanye luas masih umum, tetapi hasil finansial semakin ditentukan oleh sejumlah kecil operasi yang disiapkan dengan cermat yang diarahkan pada orang atau organisasi yang mengendalikan kekayaan onchain yang besar.
4. Step Finance – Sekitar $40 Juta Step Finance mengatakan sekitar $40 juta telah dikuras dari kas mereka pada 31 Januari setelah perangkat yang digunakan oleh anggota tim eksekutifnya dibobol. Dalam pembaruan insiden resminya, proyek tersebut mengatakan mereka memulihkan sekitar $3,7 juta dalam aset Remora dan tambahan $1 juta pada posisi lainnya.

Pernyataan Terkait Insiden Keamanan Terbaru

Pada awal sore hari 31 Januari (APAC), sekitar $40M dikuras dari treasury Step Finance. Ini terjadi akibat perangkat tim eksekutif kami dibobol.

Segera setelah mendeteksi pelanggaran, kami mulai bekerja…

— Step☀️ (@StepFinance_) 2 Februari 2026

Estimasi onchain sebelumnya menempatkan kerugian lebih dekat ke $27 juta karena mereka berfokus pada sekitar 261.854 SOL yang awalnya teridentifikasi keluar dari wallet treasury. Angka Step yang kemudian mencakup kelompok aset terdampak yang lebih luas. Menggunakan estimasi kerugian kotor $40 juta milik proyek sambil melaporkan jumlah yang dipulihkan secara terpisah menghasilkan gambaran yang lebih lengkap daripada memilih satu angka tanpa menjelaskan mengapa estimasinya berbeda. Dampak finansial dari serangan juga dapat meluas melampaui jumlah yang ditransfer ke penyerang. Pendanaan darurat, biaya hukum, kompensasi pengguna, operasi yang terhenti, dan pendapatan yang hilang dapat membuat dampak bisnis yang akhirnya lebih besar daripada penarikan onchain awal. 5. Humanity Protocol – $36 Juta Humanity Protocol mengalami serangan pada 9 Juni setelah perangkat yang dibobol membuka data wallet dan private key yang terkait dengan akun proyek berhak istimewa. Dalam penjelasan resminya, Humanity mengatakan penyerang menyalin private key dari perangkat tersebut dan menggunakannya untuk menjalankan serangan onchain. Proyek tersebut juga menyatakan kontrak Ethereum H token dilindungi oleh clean multisig terpisah dan jembatan mainnet kanoniknya tidak dibobol.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 Juni 2026

Estimasi yang dipublikasikan berkisar dari sekitar $31 juta hingga $36 juta, sebagian karena token H yang dicuri dinilai dengan harga pasar yang berbeda dan pada tahap kejadian yang berbeda. Masalah struktural yang lebih penting adalah terkonsentrasinya beberapa kredensial istimewa pada satu endpoint yang dibobol. Penataan multisignature hanya memberikan perlindungan yang berarti ketika kuncinya dipisahkan di antara orang, perangkat, lokasi, dan lingkungan administratif. Beberapa kredensial yang disimpan di atau bisa dipulihkan dari komputer yang sama dapat memenuhi ambang tanda tangan onchain sambil tetap beroperasi sebagai satu titik kegagalan praktis. 6. Resolv Protocol – Sekitar $26,8 Juta Resolv Protocol dieksploitasi pada 22 Maret setelah penyerang membobol infrastruktur cloud-nya dan mendapatkan akses ke kunci yang dikendalikan melalui AWS Key Management Service. Resolv menggunakan layanan offchain untuk mengotorisasi pembuatan USR setelah pengguna menyetor jaminan. Menurut analisis insiden CertiK, penyerang membuat setoran USDC yang sah namun relatif kecil, lalu menggunakan peran layanan yang dibobol untuk mengotorisasi sekitar 80 juta USR melalui dua transaksi. Kontrak memverifikasi bahwa otorisasi berasal dari layanan yang disetujui. Kontrak itu menetapkan output minimum tetapi tidak menegakkan jumlah maksimum yang terkait dengan jaminan yang disetor oleh pengguna. Setelah layanan istimewa dibobol, penyerang dapat menghasilkan tanda tangan yang valid secara kriptografis tetapi tidak didukung secara ekonomi. Ini tidak berarti layanan manajemen kunci cloud secara inheren tidak cocok untuk infrastruktur kripto. Masalah desain yang lebih besar adalah besarnya otoritas ekonomi tanpa batas yang diberikan kepada satu peran layanan. Kunci yang dilindungi tetap dapat menjadi titik kegagalan bencana ketika kontrak yang menerima tandatangannya tidak secara independen menegakkan rasio jaminan, batas pencetakan, batas transaksi, atau kecepatan penarikan. 7. Truebit – $26 Juta Truebit dieksploitasi pada 8 Januari melalui kerentanan integer-overflow dalam kontrak bonding-curve yang dideploy pada 2021. Kontrak itu dikompilasi dengan Solidity 0.5.3, sebelum perlindungan otomatis dari overflow diperkenalkan di Solidity 0.8.0. Seorang penyerang memasok nilai yang sangat besar sehingga perhitungan aritmetika melingkar menjadi angka mendekati nol. Ini memungkinkan kuantitas TRU yang besar dicetak dengan hampir tanpa ETH lalu ditukarkan untuk ETH nyata yang disimpan oleh kontrak. Chainalysis memperkirakan kerugian utama sebesar $26,2 juta. CertiK menempatkan jumlah gabungan lebih dekat ke $26,6 juta, termasuk sekitar $224.000 yang diekstrak oleh penyerang kedua. Implementasi yang rentan belum diverifikasi secara publik di Etherscan. Itu tidak mencegah penyerang untuk menelajahnya. Bytecode kontrak dapat didekompilasi, perilaku kompiler lama dapat diidentifikasi, dan kerentanan yang dicurigai dapat diuji melalui simulasi atau blockchain fork. Truebit adalah pengecualian utama yang paling jelas terhadap pola umum yang terlihat pada 2026. Kerugiannya berasal dari logika eksekusi publik, bukan otoritas operasional yang dibobol. Ini juga menunjukkan mengapa kontrak yang dorman harus tetap berada dalam lingkup audit, monitoring, dan bug-bounty selama mereka masih memegang dana atau izin. Mengapa Echo Protocol Tidak Masuk Peringkat sebagai Pencurian $76,7 Juta Echo Protocol kadang digambarkan mengalami kerugian $76,7 juta karena seorang penyerang menggunakan kunci administrator yang dibobol untuk mencetak 1.000 eBTC tanpa dukungan yang membawa nilai nosional tersebut. Penyerang tidak mengekstrak aset nyata senilai $76,7 juta. Menurut Merkle Science, 45 dari eBTC fiktif tersebut disetor ke protokol lending Curvance. Penyerang meminjam sekitar 11,29 WBTC, senilai sekitar $867.000, sebelum 955 eBTC tanpa dukungan yang tersisa dibakar. Angka yang akurat karenanya adalah:

• Penerbitan fiktif: Sekitar $76,7 juta dalam eBTC nosional.
• Aset nyata yang diekstrak: Sekitar $867.000 dalam WBTC.
• Pasokan tanpa dukungan yang tersisa: Dibakar setelah insiden.

Mengklasifikasikan seluruh jumlah nosional sebagai yang dicuri akan melebih-lebihkan kerusakan yang terealisasi hampir 90 kali lipat. Echo tetap menyingkap masalah risiko jaminan yang penting. Oracle Curvance mengenali nilai pasar yang diberikan ke eBTC, tetapi ia tidak dapat menentukan bahwa token-token tertentu itu dibuat tanpa dukungan. Integritas harga tidak sama dengan integritas penerbitan. Protokol lending yang menerima kolateral yang diterbitkan secara eksternal membutuhkan kontrol untuk pembuatan pasokan yang abnormal, perubahan otoritas minting, setoran kolateral mendadak, verifikasi backing, dan risiko administratif di tingkat penerbit. Feed harga yang benar tidak dapat menjawab pertanyaan-pertanyaan itu sendirian. Kegagalan Umum Ada pada Control Plane Insiden 2026 terbesar tidak berbagi satu kerentanan kode. Mereka berbagi kelemahan pada sistem yang bertanggung jawab untuk menentukan apa yang diizinkan dilakukan oleh kode tersebut. Dalam terminologi infrastruktur tradisional, lapisan eksekusi menangani aktivitas biasa, sementara control plane menentukan izin, konfigurasi, sumber data tepercaya, dan tindakan luar biasa.

Perbedaan itu selaras dengan insiden-insiden terbesar:

Kelp: Seorang verifier menerima versi aktivitas rantai sumber yang dipalsukan.

Drift: Tanda tangan yang valid memindahkan kendali administratif.

Step: Perangkat eksekutif yang dibobol mengekspos otoritas treasury.

Humanity: Endpoint yang dibobol mengekspos kunci istimewa.

Resolv: Peran layanan yang dibobol membuat otorisasi yang valid tetapi tidak didukung secara ekonomi.

Echo: Satu kunci administrator dapat memberi otoritas minting tanpa batas.

Truebit: Pengecualian berasal dari cacat aritmetika pada kode kontrak lama.

CertiK mencatat 204 insiden kerentanan kode pada paruh pertama tahun ini, menghasilkan sekitar $151,6 juta kerugian. Pembobolan wallet menyebabkan $444,5 juta kerugian hanya di 33 insiden. Itu menghasilkan rata-rata sekitar $743.000 per insiden kerentanan kode dan $13,5 juta per insiden pembobolan wallet. Secara rata-rata, pembobolan wallet sekitar 18 kali lebih mahal. Perbandingan ini tidak membuat audit smart contract jadi kurang penting. Ini menunjukkan bahwa mengaudit kontrak sambil mengecualikan para penandatangan, dependensi RPC, antarmuka administratif, peran cloud, dan kontrol darurat menyisakan sebagian besar sistem finansial yang belum diuji. Lima Kontrol yang Mengatasi Kegagalan Aktual Tegakkan Batas Ekonomi Setelah Autentikasi Tanda tangan yang valid harus membuktikan siapa yang menyetujui suatu tindakan. Tanda tangan itu tidak boleh memberikan otoritas ekonomi tanpa batas. Minting, bridging, persetujuan jaminan, dan penarikan masih dapat dibatasi melalui ukuran transaksi maksimum, limit bergulir, rasio jaminan, penundaan waktu, batas khusus aset, dan pause otomatis. Kontrol ini mungkin tidak mencegah pembobolan kredensial, tetapi dapat menghentikan satu kunci yang dibobol agar tidak segera menciptakan kewajiban tanpa batas. Ukur Independensi, Bukan Jumlah Kunci Multisig 3-of-5 tidak didistribusikan secara berarti ketika tiga kunci bisa dipulihkan dari satu laptop atau dikendalikan melalui akun perusahaan yang sama. Panduan manajemen kunci NIST menekankan kontrol lifecycle termasuk otorisasi, pencadangan, akuntabilitas, pemisahan tugas, respons terhadap kompromi, dan perlindungan materi pembuatan kunci. Protokol harus mengidentifikasi apakah supposed signers independen berbagi perangkat, password manager, cloud tenant, prosedur pemulihan, lokasi fisik, atau jalur pelaporan. Pantau Relasi, Bukan Hanya Transaksi Setiap transaksi individual dalam eksploit Kelp tampak valid. Kegagalan yang terdeteksi adalah hilangnya relasi antara dua rantai: rsETH dirilis di Ethereum tanpa dibakar di rantai sumber. Pemantauan jembatan harus terus melakukan rekonsiliasi lock, burn, mint, dan release di setiap jaringan yang relevan. Pemeriksaan invarian serupa dapat membandingkan jaminan yang disetor dengan token yang dicetak, cadangan terhadap pasokan yang beredar, dan limit penarikan yang disetujui terhadap arus keluar aktual. Simulasikan Niat Administratif Sebelum Menandatangani Wallet hardware melindungi private key, tetapi tidak bisa menentukan apakah pengguna yang sah menyetujui transaksi yang berbahaya. Transaksi administratif harus didekode dan disimulasikan di lingkungan terpisah sebelum dieksekusi. Para penandatangan perlu melihat perubahan izin yang dihasilkan, aset jaminan yang baru disetujui, parameter harga, batas penarikan, upgrade kontrak, dan transfer kepemilikan, bukan hanya hash transaksi atau prompt wallet yang buram. Tetap Masukkan Kontrak Warisan di Perimeter Keamanan Sebuah kontrak tidak menjadi lebih aman hanya karena telah beroperasi tanpa insiden selama beberapa tahun. Setiap deployment yang menyimpan aset, memproses penebusan, mengontrol izin protokol, atau tetap terhubung ke produk yang masih digunakan saat ini harus memiliki verifikasi source code, dokumentasi asumsi kompiler, monitoring aktif, serta masuk dalam program audit dan bug-bounty. Dekompilasi berbantu AI dapat mengurangi waktu yang dibutuhkan penyerang untuk mengidentifikasi cacat aritmetika lama, access-control, atau validasi. Keamanan melalui obscurity menjadi kurang efektif seiring peningkatan alat-alat tersebut. AI Sedang Memperkuat Model Penipuan yang Sudah Ada AI tidak menciptakan kerentanan inti di balik Kelp, Drift, Resolv, atau Echo. Efeknya yang paling langsung adalah menurunkan biaya riset target, peniruan identitas, lokalisasi, dan komunikasi berkelanjutan. Laporan Kejahatan Kripto 2026 Chainalysis, yang menganalisis aktivitas 2025, menemukan bahwa operasi scam dengan tautan yang dapat diidentifikasi ke penyedia layanan AI sekitar 4,5 kali lebih menguntungkan dibanding scam tanpa tautan tersebut. Bukti ini tidak boleh disajikan sebagai bukti bahwa setiap serangan canggih pada 2026 menggunakan AI. Ini menunjukkan bahwa operasi berbantu AI sudah menghasilkan imbal hasil yang lebih tinggi dan dapat membuat beberapa teknik yang sudah mapan lebih mudah untuk diskalakan:

Identitas Sintetis

Impersonasi video dan suara deepfake.

Penjajakan Lanjutan

Riset target di jejaring sosial dan profesional.

Social Engineering Multibahasa

Percakapan yang berlangsung lama dalam beberapa bahasa.

Phishing Adaptif

Antarmuka yang dikloning dan halaman phishing yang dipersonalisasi.

Riset Kerentanan yang Terotomasi

Analisis otomatis kontrak dan bytecode hasil dekompilasi.

Kemungkinan pengembangannya adalah kombinasi metode sosial dan teknis. Social engineering mendapatkan kredensial atau otorisasi; izin protokol yang sudah ada mengubah akses itu menjadi kerugian finansial. Perubahan Regulasi Menuntut Akuntabilitas, Bukan Mekanika Eksploitasi Periode transisi MiCA Uni Eropa berakhir pada 1 Juli 2026. Penyedia layanan aset kripto yang dicakupkan umumnya kini memerlukan otorisasi untuk melanjutkan operasinya di UE, dengan tunduk pada cakupan regulasi dan keputusan pengawasan nasional. MiCA dapat memperkuat tata kelola, custody, kontrol operasional, dan akuntabilitas. MiCA tidak dapat menentukan apakah sebuah jembatan menggunakan verifier independen, apakah kunci istimewa dipisahkan dengan benar, atau apakah penandatangan yang diotorisasi memahami transaksi yang berbahaya. Undang-Undang AS GENIUS Act ditandatangani menjadi undang-undang pada 18 Juli 2025 dan menetapkan kerangka federal untuk payment stablecoins. Itu bukan rezim keamanan siber umum untuk setiap jembatan, bursa, wallet, atau protokol DeFi. Regulasi menentukan siapa yang bertanggung jawab dan safeguard mana yang harus ada. Rekayasa keamanan menentukan apakah pesan yang dipalsukan, kunci yang dibobol, atau persetujuan berbahaya bisa dieksekusi sebelum safeguard tersebut merespons. Hal yang Perlu Dipantau Sepanjang Sisa 2026 Gambaran keamanan akhir 2026 harus dinilai melalui lebih dari akumulasi kerugian headline.

Intelijen Keamanan: Indikator Kunci

Konsentrasi kerugian

Apakah beberapa insiden ekstrem terus mendominasi total tahunan.

Permukaan serangan

Apakah kompromi wallet, administratif, cloud, dan infrastruktur tetap lebih mahal daripada eksploit kode.

Kerusakan yang disesuaikan pemulihan

Seberapa banyak yang masih hilang setelah pembekuan, pembayaran kembali, dan pengembalian yang dinegosiasikan.

Kualitas atribusi

Apakah tautan awal ke kelompok yang disponsori negara didukung oleh investigasi yang selesai.

Adopsi kontrol

Apakah protokol memperkenalkan verifikasi independen, simulasi transaksi, pemisahan kunci, dan batas ekonomi yang dapat ditegakkan sebelum serangan besar berikutnya.

Pemeringkatan ini adalah snapshot yang disiapkan pada 17 Juli, bukan catatan final untuk tahun tersebut. Hampir 46% dari 2026 masih tersisa, dan angka kerugian historis mungkin terus berubah melalui pemulihan aset, revisi harga token, wallet yang baru teridentifikasi, dan pembedaan yang lebih jelas antara eksposur nosional dan pencurian yang terealisasi. Bukti mendukung kesimpulan yang lebih sempit: insiden bernilai tertinggi semakin menargetkan sistem kontrol yang mengelilingi smart contract, penandatangan, perangkat, infrastruktur RPC, layanan istimewa, dan jaringan verifikasi, bukan hanya logika kontraknya saja.

Artikel ini hanya untuk tujuan edukasi. Penilaian insiden dapat berubah karena pergerakan harga aset, pemulihan, atribusi yang direvisi, dan perbedaan antara eksposur kotor, ekstraksi yang terealisasi, dan kerugian bersih.