Tiga Jembatan DeFi Dibobol dalam 24 Jam, Total Kerugian Capai $35,55 Juta

AFX Trade — $24,15 Juta (22 Juli)

Serangan terbesar menargetkan AFX Trade, sebuah bursa derivatif terdesentralisasi (perpetuals exchange) yang berjalan di atas Arbitrum . Perusahaan keamanan Blockaid mendeteksi serangan ini sekitar pukul 21:30 UTC pada tanggal 22 Juli 2026 .

Pelaku berhasil membobol lima dari tujuh kunci penandatangan (hot-signing keys) milik validator jembatan. Logika kontrak pintar di rantai (on-chain smart contract logic) tidak dilewati — lima tanda tangan valid dari validator resmi tetap digunakan untuk mengotorisasi penarikan. Dengan kata lain, kontrak pintar berjalan persis seperti yang dirancang . Pelaku menguras sekitar $24,15 juta dalam bentuk USDC dari jembatan lintas rantai milik AFX, kemudian menjembatani dana tersebut ke Ethereum dan menukarnya menjadi sekitar 12.467,5 ETH, yang kemudian digabungkan dalam satu dompet .

AFX Trade merespons dengan menghentikan operasi jembatan, meluncurkan investigasi bersama pakar keamanan eksternal, dan secara terbuka menawarkan hadiah 30% (sekitar $7,2 juta) kepada peretas jika 70% sisanya dikembalikan . Protokol tersebut menegaskan bahwa infrastruktur perdagangan, jaringan utama (mainnet), dan komponen lainnya tidak terpengaruh . Offchain Labs, pengembang Arbitrum, mengonfirmasi bahwa jembatan asli Arbitrum tidak dibobol — hanya jembatan pihak ketiga yang dioperasikan oleh AFX yang menjadi sasaran .

Jembatan Verus-Ethereum — $7,54 Juta (23 Juli)

Jembatan lintas rantai Verus-Ethereum diserang sekitar pukul 03:45 UTC pada tanggal 23 Juli 2026 . Vektor serangannya adalah pemalsuan bukti lintas rantai (forged cross-chain proof): pelaku mengeksploitasi "jalur impor" (import path) jembatan untuk memicu pembayaran di sisi Ethereum yang tidak didukung oleh aset yang terkunci di sisi Verus .

Yang lebih krusial, ini adalah celah yang sama yang digunakan dalam serangan senilai $11,58 juta pada Mei 2026 — sebuah kerentanan yang belum sepenuhnya diperbaiki . Setelah serangan Mei, Verus berhasil memulihkan sebagian besar dana melalui hadiah, lalu menyetorkan kembali dana tersebut ke jembatan yang sama pada 8 Juli 2026 — hanya dua minggu sebelum serangan berulang terjadi .

Pelaku menguras sekitar $7,54 juta dalam berbagai aset, termasuk sekitar 1.137 ETH, tBTC, USDC, USDT, EURC, MKR, dan scrvUSD . Aset curian kemudian diubah menjadi sekitar 3.916,1 ETH dan dikirim ke Tornado Cash untuk dicampur . Perusahaan keamanan Blockaid dan PeckShield menyelidiki insiden ini, yang menuai kritik tajam karena kerentanan yang tidak kunjung diperbaiki .

B² Network — $3,86 Juta (23 Juli)

B² Network, sebuah proyek Layer 2 Bitcoin yang berjalan di BNB Chain, kehilangan sekitar $3,86 juta dalam sebuah serangan yang dideteksi oleh analis rantai Specter pada 23 Juli (UTC+8) . Tidak seperti dua insiden lainnya, ini bukanlah pembobolan kriptografi pada jembatan, melainkan pembobolan kunci administratif: pelaku mendapatkan akses tidak sah ke otoritas peningkatan kontrak (contract upgrade authority), yang memungkinkannya menguras token B2 .

Pelaku menguras sekitar 8,591 juta token B2, menukarnya menjadi 5.409 WBNB (~$3,11 juta), menjembatani dana ke Ethereum, dan dilaporkan mengarahkannya ke Zcash melalui NEAR Intents . Tekanan jual dari aksi dumping ini membuat harga B2 turun tajam . B² Network merespons dengan menghentikan staking token setelah akses tidak sah terdeteksi .

Pencucian Dana oleh Pelaku Serangan AFX Trade Melalui THORChain

Pada 25 Juli 2026 — sekitar tiga hari setelah serangan awal — peretas AFX Trade mulai secara aktif mencuci dana curian . Pelaku menggunakan THORChain, sebuah protokol likuiditas lintas rantai terdesentralisasi, untuk menukar ETH menjadi BTC . Metode ini melewati persyaratan KYC bursa terpusat dan umum digunakan untuk mengaburkan jejak.

Pada saat laporan diterbitkan pada 25 Juli, sekitar 655 ETH (dari total ~12.467,5 ETH) telah diubah menjadi sekitar 18,86 BTC . Analis rantai Ash dan EmberCN melaporkan bahwa peretas memulai penukaran sekitar satu jam sebelum laporan diterbitkan . Sebagian besar dari sekitar 12.467 ETH masih tersimpan di dompet peretas saat itu, dengan proses konversi ke BTC melalui THORChain masih berlangsung .

Poin Penting

• Tidak satu pun dari ketiga serangan ini melibatkan pemecahan kriptografi — semuanya bermula dari kunci pribadi yang dibobol atau celah logika kontrak pintar yang belum diperbaiki .
• Eksploitasi jembatan Verus-Ethereum adalah pengulangan dari kerentanan yang sudah diketahui sejak Mei 2026, menyoroti risiko perbaikan yang tidak memadai setelah serangan awal .
• Ketiga pelaku mengikuti pola yang sama: dengan cepat mengonversi aset curian menjadi ETH atau BTC, lalu mengarahkan dana melalui alat yang berfokus pada privasi (Tornado Cash, THORChain, NEAR Intents) untuk mengaburkan jejak .
• Total kerugian gabungan sebesar ~$35,55 juta mendorong kerugian terkait jembatan pada Juli 2026 menjadi hampir $100 juta, melampaui total kerugian pada Juni .