Eksploitasi Jembatan Taiko: Kunci GitHub Bocor Raup $1,7 Juta, Rencana Empat Langkah Pemulihan

Pada 21 Juni 2026, proyek Ethereum Layer 2 Taiko mengalami eksploitasi pada jembatan (bridge) yang menguras sekitar $1,7 juta (perkiraan kemudian naik hingga ~$2,2 juta) setelah seorang peretas memanfaatkan kunci penandatanganan Raiko Intel SGX enclave yang bocor di GitHub . Tim telah mengumumkan rencana restart bertahap empat langkah, mengonfirmasi bahwa tidak ada dana pengguna yang hilang, dan menerapkan langkah keamanan, hukum, serta anti-phishing tambahan.

Bagaimana Serangan Dilakukan

Penyebab utama eksploitasi ini adalah kunci pribadi RSA — kunci penandatanganan Raiko SGX enclave — yang secara tidak sengaja terekspos di GitHub . Kunci ini, yang digunakan oleh Raiko prover untuk menandatangani secara kriptografis bukti verifikasi blok yang benar, telah dipublikasikan di repositori taikoxyz/raiko selama sekitar dua tahun . Seorang peretas menggunakan kunci yang bocor tersebut untuk mendaftarkan provoker palsu dan memalsukan bukti penarikan pada jembatan lintas rantai Taiko . Secara spesifik, mereka membuat bukti pesan palsu yang diterima di Ethereum L1 tanpa adanya peristiwa sah yang dihasilkan di rantai sumber, memungkinkan mereka menguras aset dari ERC-20 Vault . Eksploitasi ini pertama kali terdeteksi oleh firma keamanan BlockSec, yang mengidentifikasi kunci penandatanganan Raiko yang terekspos di GitHub sebagai akar penyebabnya . Aset yang dicuri sebagian besar adalah USDC dan ETH .

Rencana Restart Empat Langkah

Setelah tinjauan keamanan independen mengonfirmasi bahwa jalur serangan telah ditutup, Taiko menguraikan restart bertahap :

Langkah 1 — Pulihkan aktivitas rantai. Kembalikan jaringan Taiko L2 online dan lanjutkan produksi blok normal setelah menerapkan tambalan keamanan .

Langkah 2 — Pastikan aset jembatan didukung penuh 1:1. Sebelum jembatan dibuka kembali, tim akan mengisi penuh semua aset jembatan yang undercollateralized, memastikan saldo pengguna didukung 100% .

Langkah 3 — Buka kembali aktivitas L2 sepenuhnya. Izinkan transaksi L2 normal dilanjutkan dengan infrastruktur yang telah ditambal .

Langkah 4 — Buka kembali penarikan jembatan dengan kuota konservatif. Penarikan dari jembatan akan diperkenalkan kembali secara bertahap dengan kuota untuk menjaga keamanan selama periode awal .

Perlindungan Dana Pengguna dan Pengisian Ulang Jaminan

Taiko secara eksplisit menyatakan bahwa "insiden ini tidak akan mengakibatkan hilangnya dana pengguna" . Eksploitasi tersebut membuat jembatan untuk sementara waktu undercollateralized. Taiko berkomitmen untuk mengisi penuh jaminan yang hilang sebelum membuka kembali jembatan, memastikan semua saldo pengguna didukung 1:1 . Tim berkolaborasi dengan Dewan DAO Taiko dan Dewan Keamanan untuk mengoordinasikan pemulihan . Laporan resmi juga telah diserahkan kepada otoritas Singapura sebagai bagian dari proses kerja sama .

Tindakan Hukum dan Pencegahan Serangan Phishing

Taiko bekerja sama erat dengan Dewan Keamanan dan mitra ekosistem dalam penyelidikan dan telah berkoordinasi dengan bursa terpusat untuk memblokir deposit TAIKO sebagai tindakan pencegahan . Tim mengimbau pengguna untuk segera menarik dana dari semua jembatan yang digunakan di jaringan Taiko dan memperingatkan bahwa asumsi keamanan di balik jembatan tersebut tidak dapat lagi diandalkan selama insiden . Taiko juga telah memperingatkan publik untuk waspada terhadap serangan phishing dan upaya peniruan identitas yang sering mengikuti eksploitasi besar, menyarankan pengguna untuk hanya memercayai komunikasi dari saluran media sosial resmi Taiko . Proyek ini sedang menempuh jalur hukum dan investigasi dengan penegak hukum dan mitra keamanan untuk melacak dan berpotensi memulihkan dana yang dicuri, meskipun detail kasus spesifik tidak diungkapkan ke publik .