Hacking dan Penipuan Kripto Terbesar pada 2026 Sejauh Ini

Peretasan, penipuan, dan eksploitasi kripto menyebabkan kerugian kotor senilai lebih dari $1,3 miliar selama paruh pertama 2026, dengan beberapa insiden besar mendominasi total yang tercatat. TL;DR

• Hacks, scams, dan exploits kripto menyebabkan kerugian kotor senilai $1,316 miliar selama paruh pertama 2026.
• Kelp DAO, Drift Protocol, dan satu korban phishing bertarget menyumbang sekitar 65% dari total tersebut.
• Insiden terbesar mengkompromikan infrastruktur RPC, izin administratif, sistem penandatangan, atau perangkat istimewa—bukan kode smart contract publik.
• Peringkat ini disusun pada 17 Juli, menyisakan 167 hari, atau 45,8% dari tahun, untuk insiden baru, pemulihan, dan atribusi yang direvisi agar bisa mengubah daftar.

Kerugian keamanan kripto mencapai $1,316 miliar dari 344 insiden pada paruh pertama 2026, menurut laporan keamanan H1 CertiK. Sekitar $115,3 juta dibekukan atau dikembalikan, sehingga kerugian yang disesuaikan menjadi sekitar $1,2 miliar. Perbaikan yang tampak dari 2025 perlu konteks. Total paruh pertama tahun sebelumnya mencakup pelanggaran Bybit yang luar biasa senilai $1,45 miliar. Setelah satu peristiwa tunggal itu dikecualikan, CertiK memperkirakan kerugian yang sebanding meningkat sekitar 28% pada 2026. Distribusi kerugian itu sama pentingnya dengan totalnya. Biaya rata-rata per insiden sekitar $3,82 juta, sementara kerugian median hanya $138.703. Rata-rata lebih dari 27 kali median, menunjukkan bahwa sejumlah kecil kegagalan ekstrem mendorong hasil keseluruhan. Tiga insiden saja—Kelp DAO, Drift Protocol, dan pencurian phishing bertarget senilai $284 juta—menyumbang sekitar 65% dari semua kerugian yang dilaporkan pada paruh pertama. Sebuah Peringkat Kerugian Perlu Lebih Dari Satu Angka Laporan insiden kripto sering membandingkan angka yang mengukur bentuk kerusakan yang berbeda.

Gross loss

Nilai yang diambil dari protokol atau korban sebelum pemulihan.

Realized extraction

Aset yang berhasil diubah penyerang menjadi nilai ekonomi yang bisa dipindahkan.

Net loss

Jumlah yang masih hilang setelah pembekuan, pengembalian, pembayaran kembali, dan pemulihan.

User liabilities

Klaim yang terutang oleh sebuah platform, yang bisa lebih besar atau lebih kecil daripada hasil awal penyerang.

Notional exposure

Nilai teoritis dari aset yang diterbitkan secara penipuan atau ditempatkan berisiko, bahkan ketika penyerang tidak bisa memonetisasi seluruh jumlah.

Peringkat di bawah terutama memakai kerugian kotor yang dilaporkan. Pemulihan, penilaian yang dipersengketakan, dan perbedaan antara hasil penyerang dan liabilitas platform dinyatakan secara terpisah. Untuk insiden yang melibatkan pembuatan token tanpa dukungan, realized extraction lebih bermakna daripada nilai nominal pasokan penipuan. Jika tidak, penyerang yang membuat token illikuid senilai $100 juta tetapi mengekstrak $1 juta kolateral nyata bisa secara keliru diperingkat seolah mencuri seluruh $100 juta. Kerugian Kripto Terbesar yang Dilaporkan pada 2026

1. Kelp DAO – $292 Juta Pada 18 April, penyerang membuat kontrak jembatan Ethereum Kelp DAO melepaskan sekitar 116.500 rsETH tanpa pembakaran token yang sesuai di rantai sumber. Investigasi Chainalysis menemukan bahwa penyerang mengkompromikan dua node RPC internal yang digunakan oleh Decentralized Verifier Network milik LayerZero, sambil secara bersamaan mengganggu endpoint RPC eksternal melalui serangan distributed denial-of-service. Node yang dimanipulasi melaporkan pembakaran pada rantai sumber yang tidak pernah terjadi. Karena konfigurasi jembatan Kelp bergantung pada satu verifier, tidak diperlukan jaringan independen kedua untuk mengonfirmasi apakah pembakaran yang dilaporkan itu nyata. Kontrak tujuan menerima pesan yang diformat dengan benar dan ditandatangani, lalu melepaskan aset persis seperti yang diprogram. Kegagalan terjadi pada infrastruktur yang memasok informasi ke kontrak, bukan pada eksekusi kontrak atas informasi tersebut. Kelp menghentikan kontrak yang terdampak dengan cukup cepat untuk menghentikan penarikan percobaan kedua yang melibatkan sekitar 40.000 rsETH, lalu senilai sekitar $95 juta. Dewan Keamanan Arbitrum kemudian membekukan 30.766 ETH yang terkait dengan aktivitas hilir penyerang. Chainalysis dan LayerZero mengatribusikan operasi itu kepada Lazarus Group Korea Utara, khususnya subgrup TraderTraitor. Atribusi dibuat oleh pihak yang terlibat langsung dalam investigasi, meskipun kesimpulan yang melibatkan aktor yang didukung negara mungkin masih berkembang seiring munculnya bukti tambahan. Jumlah yang dibekukan tidak menghapus kegagalan pencatatan jembatan yang asli. Gross losses, dana yang bisa dipulihkan, hasil penyerang, dan sisa kekurangan dukungan apa pun harus diperlakukan sebagai angka yang terpisah.
2. Drift Protocol – $285 Juta Drift Protocol kehilangan sekitar $285 juta pada 1 April setelah penyerang memperoleh kendali administratif atas Security Council-nya. Menurut Chainalysis, individu yang berperan sebagai perwakilan perusahaan perdagangan kuantitatif menghabiskan berbulan-bulan membangun relasi dengan kontributor Drift. Anggota Security Council akhirnya diyakinkan untuk menandatangani transaksi menggunakan fitur durable-nonce milik Solana, yang memungkinkan transaksi yang ditandatangani secara valid untuk disimpan dan dieksekusi pada waktu berikutnya. Transaksi-transaksi itu memindahkan kendali administratif ke alamat yang dikendalikan penyerang. Setelah otoritas itu diperoleh, penyerang menghapus batas penarikan, menyetujui token bernilai nyaris nol bernama CVT sebagai kolateral, menetapkan valuasi buatan, lalu menyetor 500 juta unit. Posisi yang dihasilkan digunakan untuk menarik USDC, SOL, ETH, dan aset lain yang memiliki nilai eksternal nyata. Pengambilalihan administratif terjadi melalui dua transaksi yang dijalankan selang satu detik, tetapi penarikan berikutnya berlanjut dalam periode yang lebih lama. Menggambarkan seluruh kerugian $285 juta terjadi dalam 10 detik karena itu akan tidak akurat. Chainalysis menyandarkan sebagian rekonstruksinya pada investigasi Drift sendiri dan mencatat bahwa akun tersebut belum diverifikasi secara independen melalui tinjauan pihak ketiga yang sudah selesai. Bukti awal konsisten dengan operasi Korea Utara sebelumnya, tetapi atribusi formal masih menunggu. Drift kemudian membahas sekitar $295 juta kerugian pengguna. Angka yang lebih tinggi itu tampaknya mewakili liabilitas platform, bukan hasil awal penyerang, dan tidak boleh diperlakukan sebagai perkiraan alternatif untuk jumlah yang sama.
3. Kerugian Phishing Bertarget yang Dilaporkan oleh CertiK – $284 Juta Satu individu kehilangan sekitar $284 juta dalam insiden social-engineering bertarget pada Januari, menurut CertiK. Identitas korban dan urutan serangan yang lengkap belum diumumkan secara publik. Hal itu membatasi kesimpulan yang secara bertanggung jawab dapat diambil terkait konfigurasi dompet, metode social-engineering yang presisi, dan prospek pemulihan. Skalanya tetap signifikan. Satu dompet yang dikendalikan pribadi menghasilkan kerusakan finansial hampir sebesar pelanggaran Drift Protocol dan melampaui total kerugian gabungan dari sebagian besar eksploit protokol yang lebih kecil yang tercatat selama paruh pertama tahun ini. CertiK menghitung $366,3 juta kerugian phishing di 63 insiden pada H1. Jumlah kasus phishing turun 52,3% dibanding periode yang sama pada 2025, tetapi kerugian turun hanya 10,8%. Empat insiden menyumbang sekitar 85% dari seluruh kerugian phishing. Data menunjukkan perubahan dalam pemilihan target, bukan hilangnya phishing. Kampanye luas tetap umum, tetapi hasil finansial kini semakin ditentukan oleh sejumlah kecil operasi yang dipersiapkan dengan cermat yang ditujukan kepada orang atau organisasi yang mengendalikan kekayaan onchain dalam jumlah besar.
4. Step Finance – Sekitar $40 Juta Step Finance mengatakan sekitar $40 juta dikuras dari perbendaharaannya pada 31 Januari setelah perangkat yang digunakan anggota tim eksekutifnya dikompromikan. Dalam pembaruan insiden resminya, proyek tersebut mengatakan bahwa mereka memulihkan sekitar $3,7 juta aset Remora dan tambahan $1 juta pada posisi lain.

Pernyataan tentang Insiden Keamanan Baru

Pada awal sore tanggal 31 Januari (APAC), sekitar $40M dikuras dari treasury Step Finance. Ini terjadi akibat perangkat milik tim eksekutif kami yang dikompromikan.

Segera setelah mendeteksi pelanggaran, kami mulai bekerja…

— Step☀️ (@StepFinance_) 2 Februari 2026

Perkiraan onchain sebelumnya menempatkan kerugian lebih dekat ke $27 juta karena berfokus pada sekitar 261.854 SOL yang mula-mula teridentifikasi keluar dari dompet treasury. Angka Step kemudian mencakup kelompok aset terdampak yang lebih luas. Menggunakan estimasi kotor proyek sebesar $40 juta sambil melaporkan jumlah yang dipulihkan secara terpisah menghasilkan gambaran yang lebih lengkap dibanding memilih satu angka tanpa menjelaskan mengapa estimasinya berbeda. Konsekuensi finansial dari sebuah serangan juga bisa meluas melampaui jumlah yang ditransfer ke penyerang. Pendanaan darurat, biaya hukum, kompensasi pengguna, operasi yang terhenti, dan pendapatan yang hilang dapat membuat dampak bisnis pada akhirnya lebih besar daripada penarikan onchain awal. 5. Humanity Protocol – $36 Juta Humanity Protocol mengalami serangan pada 9 Juni setelah sebuah perangkat yang dikompromikan membuka data dompet dan kunci privat yang terkait dengan akun proyek berhak istimewa. Dalam penjelasan resminya, Humanity mengatakan penyerang menyalin kunci privat dari perangkat dan memakainya untuk menjalankan serangan onchain. Proyek itu juga mengatakan kontrak token Ethereum H dilindungi oleh clean multisig terpisah dan jembatan mainnet kanoniknya tidak dikompromikan.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 Juni 2026

Estimasi yang diterbitkan berkisar dari sekitar $31 juta hingga $36 juta, sebagian karena token H yang dicuri dinilai dengan harga pasar yang berbeda dan pada tahap kejadian yang berbeda. Masalah struktural yang lebih penting adalah terkonsentrasinya beberapa kredensial istimewa pada satu endpoint yang dikompromikan. Pengaturan multisignature hanya memberikan perlindungan yang bermakna ketika kuncinya dipisahkan di antara orang, perangkat, lokasi, dan lingkungan administratif. Beberapa kredensial yang disimpan di atau dapat dipulihkan dari komputer yang sama bisa memenuhi ambang tanda tangan onchain sementara tetap beroperasi sebagai satu titik kegagalan praktis. 6. Resolv Protocol – Sekitar $26,8 Juta Resolv Protocol dieksploitasi pada 22 Maret setelah penyerang mengkompromikan infrastruktur cloud-nya dan mendapatkan akses ke kunci yang dikendalikan melalui AWS Key Management Service. Resolv menggunakan layanan offchain untuk mengotorisasi pembuatan USR setelah pengguna menyetor kolateral. Menurut analisis insiden CertiK, penyerang membuat setoran USDC legal yang relatif kecil, lalu memakai peran layanan yang dikompromikan untuk mengotorisasi sekitar 80 juta USR di dua transaksi. Kontrak memverifikasi bahwa otorisasi berasal dari layanan yang disetujui. Kontrak itu menetapkan output minimum, tetapi tidak menerapkan jumlah maksimum yang terikat dengan kolateral yang disetor pengguna. Setelah layanan istimewa dikompromikan, penyerang bisa menghasilkan tanda tangan yang valid secara kriptografis tetapi tidak didukung secara ekonomi. Ini tidak berarti layanan manajemen kunci cloud secara inheren tidak cocok untuk infrastruktur kripto. Masalah desain yang lebih besar adalah besarnya otoritas ekonomi tanpa batas yang diberikan kepada satu peran layanan. Kunci yang dilindungi tetap bisa menjadi titik kegagalan bencana ketika kontrak yang menerima tanda tangannya tidak secara independen menegakkan rasio kolateral, batas pencetakan, batas transaksi, atau kecepatan penarikan. 7. Truebit – $26 Juta Truebit dieksploitasi pada 8 Januari melalui kerentanan integer-overflow pada kontrak bonding-curve yang dideploy pada 2021. Kontrak tersebut dikompilasi dengan Solidity 0.5.3, sebelum perlindungan overflow otomatis diperkenalkan di Solidity 0.8.0. Seorang penyerang memasok nilai yang luar biasa besar sehingga perhitungan aritmetika melingkar menjadi angka mendekati nol. Hal itu memungkinkan kuantitas besar TRU dicetak dengan hampir tanpa ETH, lalu ditebus menjadi ETH nyata yang dipegang kontrak. Chainalysis memperkirakan kerugian utama sebesar $26,2 juta. CertiK menempatkan total yang lebih dekat ke $26,6 juta, termasuk sekitar $224.000 yang diekstrak oleh penyerang kedua. Implementasi yang rentan belum diverifikasi secara publik di Etherscan. Itu tidak mencegah penyerang untuk menelaahnya. Bytecode kontrak dapat didekompilasi, perilaku kompiler lama bisa diidentifikasi, dan kerentanan yang diduga bisa diuji melalui simulasi atau blockchain fork. Truebit adalah pengecualian besar yang paling jelas dari pola luas yang terlihat pada 2026. Kerugiannya berasal dari logika eksekusi yang dipublikasikan, bukan otoritas operasional yang dikompromikan. Ini juga menunjukkan mengapa kontrak yang menganggur harus tetap berada dalam ruang lingkup audit, monitoring, dan bug-bounty selama masih menyimpan dana atau izin. Mengapa Echo Protocol Tidak Masuk sebagai Pencurian Senilai $76,7 Juta Echo Protocol kadang digambarkan mengalami kerugian $76,7 juta karena penyerang memakai kunci administrator yang dikompromikan untuk mencetak 1.000 eBTC tanpa dukungan yang membawa nilai nominal tersebut. Penyerang tidak mengekstrak $76,7 juta dalam aset nyata. Menurut Merkle Science, 45 dari eBTC palsu tersebut disetor ke protokol lending Curvance. Penyerang meminjam sekitar 11,29 WBTC, senilai sekitar $867.000, sebelum 955 eBTC tanpa dukungan sisanya dibakar. Jadi angka yang akurat adalah:

• Penerbitan penipuan: Sekitar $76,7 juta dalam notional eBTC.
• Aset nyata yang diekstrak: Sekitar $867.000 dalam WBTC.
• Pasokan tanpa dukungan yang tersisa: Dibakar setelah insiden.

Mengklasifikasikan seluruh jumlah notional sebagai yang dicuri akan melebih-lebihkan kerusakan yang terealisasi hampir 90 kali. Echo tetap mengungkap masalah risiko kolateral yang penting. Oracle Curvance memang mengenali nilai pasar yang ditetapkan untuk eBTC, tetapi tidak dapat menentukan bahwa token tertentu tersebut dibuat tanpa dukungan. Integritas harga tidak sama dengan integritas penerbitan. Protokol lending yang menerima kolateral yang diterbitkan secara eksternal memerlukan kontrol untuk pembuatan pasokan yang tidak normal, perubahan otoritas pencetakan, setoran kolateral mendadak, verifikasi dukungan, dan risiko administratif tingkat penerbit. Feeds harga yang benar tidak bisa menjawab pertanyaan-pertanyaan itu sendirian. Kegagalan Umum Ada pada Control Plane Insiden terbesar pada 2026 tidak berbagi satu kerentanan kode. Mereka berbagi kelemahan pada sistem yang bertanggung jawab untuk menentukan apa yang kode diizinkan untuk lakukan. Dalam istilah infrastruktur tradisional, lapisan eksekusi memproses aktivitas biasa, sementara control plane menentukan izin, konfigurasi, sumber data tepercaya, dan tindakan luar biasa.

Perbedaan itu sangat sejalan dengan insiden terbesar:

Kelp: Sebuah verifier menerima versi aktivitas rantai sumber yang dipalsukan.

Drift: Tanda tangan yang valid memindahkan kendali administratif.

Step: Perangkat eksekutif yang dikompromikan membuka otoritas treasury.

Humanity: Endpoint yang dikompromikan membuka kunci-kunci istimewa.

Resolv: Peran layanan yang dikompromikan menciptakan otorisasi yang valid tetapi tidak didukung secara ekonomi.

Echo: Satu kunci administrator bisa memberi otoritas pencetakan tanpa batas.

Truebit: Pengecualian adalah cacat aritmetika pada kode kontrak lama.

CertiK mencatat 204 insiden kerentanan kode pada paruh pertama tahun, menghasilkan sekitar $151,6 juta kerugian. Kompromi dompet menyebabkan $444,5 juta hanya dari 33 insiden. Itu menghasilkan rata-rata sekitar $743.000 per insiden kerentanan kode dan $13,5 juta per insiden kompromi dompet. Secara rata-rata, kompromi dompet sekitar 18 kali lebih mahal. Perbandingan ini tidak membuat audit smart contract menjadi kurang penting. Audit kontrak yang dilakukan sambil mengecualikan signernya, dependensi RPC, antarmuka administratif, peran cloud, dan kontrol darurat justru meninggalkan sebagian besar sistem finansial yang tidak diuji. Lima Kontrol yang Menangani Kegagalan yang Sebenarnya Tegakkan Batas Ekonomi Setelah Autentikasi Tanda tangan yang valid harus membuktikan siapa yang menyetujui suatu tindakan. Tanda tangan tidak boleh memberi otoritas ekonomi tanpa batas. Pencetakan, bridging, persetujuan kolateral, dan penarikan masih dapat dibatasi melalui ukuran transaksi maksimum, limit bergulir, rasio kolateral, penundaan waktu, batas khusus aset, dan jeda otomatis. Kontrol ini mungkin tidak mencegah kompromi kredensial, tetapi bisa menghentikan satu kunci yang dikompromikan agar tidak langsung menciptakan liabilitas tanpa batas. Ukur Independensi, Bukan Jumlah Kunci Multisig 3-of-5 tidak didistribusikan secara bermakna ketika tiga kunci bisa dipulihkan dari satu laptop atau dikendalikan melalui akun perusahaan yang sama. Panduan manajemen kunci NIST menekankan kontrol siklus hidup termasuk otorisasi, pencadangan, akuntabilitas, pemisahan tugas, respons saat kompromi, serta perlindungan materi pembangkitan kunci. Protokol harus mengidentifikasi apakah supposedly independent signers berbagi perangkat, password manager, cloud tenant, prosedur pemulihan, lokasi fisik, atau jalur pelaporan. Pantau Relasi, Bukan Hanya Transaksi Setiap transaksi individu dalam eksploit Kelp tampak valid. Kegagalan yang terdeteksi adalah hilangnya relasi antara dua rantai: rsETH dilepaskan di Ethereum tanpa dibakar di rantai sumber. Pemantauan jembatan harus terus melakukan rekonsiliasi penguncian, pembakaran, pencetakan, dan pelepasan di setiap jaringan yang relevan. Pemeriksaan invariant serupa dapat membandingkan kolateral yang disetor dengan token yang dicetak, cadangan terhadap pasokan beredar, serta batas penarikan yang disetujui terhadap arus keluar aktual. Simulasikan Niat Administratif Sebelum Menandatangani Dompet hardware melindungi kunci privat, tetapi tidak bisa menentukan apakah pengguna yang sah sedang menyetujui transaksi yang berbahaya. Transaksi administratif harus didekode dan disimulasikan di lingkungan terpisah sebelum dieksekusi. Signer perlu melihat perubahan izin yang dihasilkan, aset kolateral yang baru disetujui, parameter penetapan harga, batas penarikan, upgrade kontrak, dan transfer kepemilikan—bukan hanya hash transaksi atau prompt dompet yang tidak transparan. Jaga Kontrak Warisan Tetap di Dalam Perimeter Keamanan Kontrak tidak menjadi lebih aman hanya karena sudah beroperasi tanpa insiden selama beberapa tahun. Setiap deployment yang memegang aset, memproses penebusan, mengendalikan izin protokol, atau masih terhubung ke produk yang berjalan saat ini harus memiliki verifikasi source code, dokumentasi asumsi kompiler, monitoring aktif, serta masuk dalam program audit dan bug-bounty. Dekomposisi berbantuan AI Menguatkan Model Penipuan yang Ada AI tidak menciptakan kerentanan inti di balik Kelp, Drift, Resolv, atau Echo. Efeknya yang lebih langsung adalah menurunkan biaya untuk riset target, peniruan identitas, lokalisasi, dan komunikasi yang berkelanjutan. Laporan Kejahatan Kripto Chainalysis 2026, yang menganalisis aktivitas 2025, menemukan operasi scam dengan tautan yang teridentifikasi ke penyedia layanan AI sekitar 4,5 kali lebih menguntungkan dibanding scam tanpa tautan tersebut. Bukti itu tidak boleh disajikan sebagai bukti bahwa setiap serangan canggih pada 2026 memakai AI. Ini menunjukkan bahwa operasi berbantuan AI sudah menghasilkan imbal hasil yang lebih tinggi dan dapat membuat beberapa teknik mapan lebih mudah untuk diskalakan:

Synthetic Identity

Impersonasi video dan suara deepfake.

Advanced Reconnaissance

Riset target di jejaring sosial dan profesional.

Multilingual Social Engineering

Percakapan yang berlangsung lama dalam beberapa bahasa.

Adaptive Phishing

Antarmuka yang dikloning dan halaman phishing yang dipersonalisasi.

Automated Vulnerability Research

Riset otomatis terhadap kontrak dan bytecode yang didekompilasi.

Perkembangan yang mungkin adalah kombinasi metode sosial dan teknis. Social engineering memperoleh kredensial atau otorisasi; izin protokol yang sudah ada mengubah akses itu menjadi kerugian finansial. Perubahan Regulasi Mengutamakan Akuntabilitas, Bukan Mekanika Eksploit Masa transisi MiCA Uni Eropa berakhir pada 1 Juli 2026. Penyedia layanan aset kripto yang tercakup umumnya kini memerlukan otorisasi untuk terus beroperasi di UE, dengan tunduk pada cakupan regulasi dan keputusan pengawasan nasional. MiCA bisa memperkuat tata kelola, kustodi, kontrol operasional, dan akuntabilitas. MiCA tidak bisa menentukan apakah sebuah jembatan memakai verifier independen, apakah kunci istimewa dipisahkan dengan benar, atau apakah signer yang berwenang memahami transaksi yang berbahaya. Undang-Undang US GENIUS ditandatangani menjadi undang-undang pada 18 Juli 2025 dan menetapkan kerangka federal untuk payment stablecoins. Itu bukan rezim keamanan siber umum untuk setiap bridge, exchange, wallet, atau protokol DeFi. Regulasi menentukan siapa yang bertanggung jawab dan pengamanan mana yang harus ada. Rekayasa keamanan menentukan apakah pesan palsu, kunci yang dikompromikan, atau persetujuan yang berbahaya bisa dieksekusi sebelum pengamanan itu merespons. Yang Perlu Dipantau Sepanjang Sisa 2026 Gambaran keamanan akhir 2026 harus dinilai lebih dari sekadar total headline kumulatif.

Security Intelligence: Indikator Utama

Konsentrasi kerugian

Apakah beberapa insiden ekstrem terus mendominasi total tahunan.

Attack surface

Apakah kompromi wallet, administratif, cloud, dan infrastruktur tetap lebih mahal daripada eksploit kode.

Kerusakan yang Disesuaikan Pemulihan

Seberapa banyak yang masih hilang setelah pembekuan, pembayaran kembali, dan pengembalian yang dinegosiasikan.

Kualitas atribusi

Apakah tautan awal ke kelompok yang didukung negara didukung oleh investigasi yang sudah selesai.

Adopsi kontrol

Apakah protokol memperkenalkan verifikasi independen, simulasi transaksi, pemisahan kunci, dan batas ekonomi yang bisa ditegakkan sebelum serangan besar berikutnya.

Peringkat ini adalah cuplikan yang disiapkan pada 17 Juli, bukan catatan final untuk tahun ini. Hampir 46% dari 2026 masih tersisa, dan angka kerugian historis bisa terus berubah melalui pemulihan aset, revisi harga token, dompet yang baru teridentifikasi, dan pembedaan yang lebih jelas antara notional exposure dan pencurian yang terealisasi. Bukti mendukung kesimpulan yang lebih sempit: insiden bernilai tertinggi semakin menargetkan sistem control di sekitar smart contract, signer, perangkat, infrastruktur RPC, layanan istimewa, dan jaringan verifikasi, bukan hanya logika kontrak.

Artikel ini hanya untuk tujuan edukasi. Penilaian insiden dapat berubah karena pergerakan harga aset, pemulihan, atribusi yang direvisi, dan perbedaan antara gross exposure, realized extraction, dan net loss.