Hacken melaporkan $763,9 juta yang diekstraksi dari 67 insiden keamanan Web3 pada Q2 2026, menandai periode terparah untuk keamanan Web3 sejak Q2 2025. Lebih dari 88% dari total kerugian berasal dari kompromi operasional dan kegagalan manajemen kunci, bukan kerentanan kode smart contract, yang menandakan pergeseran mendasar pada permukaan serangan Web3. Kuartal ini mencatat 14 protokol yang telah diaudit mengalami pelanggaran, dengan kompromi kunci dan infrastruktur menyumbang $674,5 juta, sementara bug smart contract—meski mencakup 44 dari 67 insiden—hanya menyebabkan 11% dari kerugian. Pemimpin keamanan mengaitkan pergeseran ini dengan aktor ancaman yang secara sistematis melewati kode on-chain yang sudah diperkeras untuk mengeksploitasi kontrol operasional off-chain, perangkat penandatangan, dan infrastruktur cloud. Modal institusional menyesuaikan prioritas uji tuntasnya, beralih dari audit berbasis waktu tertentu menuju pemantauan berkelanjutan dan kerangka otorisasi multi-peserta sebagai respons terhadap krisis keamanan operasional ini.
Data Insiden Q2 2026 Mengungkap 88% Kerugian Berasal dari Kompromi Operasional
Menurut laporan keamanan dan kepatuhan triwulanan Hacken, kompromi kunci dan infrastruktur menyumbang 88,3% dari seluruh dana yang dicuri, atau sekitar $674,5 juta. Bug smart contract tetap menjadi jenis serangan yang paling umum—44 dari 67 insiden—namun hanya menyumbang sekitar 11% dari total kerugian. Sekitar 75,5% dari seluruh kerugian berasal dari hanya dua insiden yang ditelusuri kepada aktor ancaman Korea Utara, sementara hanya 9% proyek yang dipantau mempertahankan pemantauan berkelanjutan dan 4% menggabungkan audit, bug bounties, serta live monitoring.
Temuan utama dari Q2 2026 adalah 14 protokol yang telah diaudit mengalami pelanggaran. Leo Fan, pendiri Cysic, menyatakan: "Kesalahpahaman terbesar adalah bahwa audit adalah sertifikat keamanan. Padahal, itu penilaian yang dibatasi terhadap basis kode tertentu pada titik waktu tertentu. Audit tidak otomatis mencakup perangkat penandatangan, infrastruktur cloud, izin operasional, bytecode yang dideploy, upgrade berikutnya, dependensi pihak ketiga, atau kontrak lama yang masih bisa dipanggil."
Eric Swartz, founding general partner dan general counsel dari Panther Hollow Ventures, mengatakan: "Audit memberi tahu Anda seperti apa sebuah sistem terlihat pada momen tertentu. Itu tidak menjamin bahwa upgrade masa depan, perubahan operasional, atau metode serangan baru tidak akan menimbulkan risiko. Tim terkuat melihat audit sebagai satu bagian dari program keamanan yang jauh lebih luas."
Samuel Videau, CTO di Genius, mencatat bahwa bagian ruang lingkup (scope) dari laporan audit sering mengungkap apa yang tidak dievaluasi: "Hampir 90% kerugian Q2 berasal dari kunci, penandatangan, dan infrastruktur—semuanya di luar bagian scope tersebut—dan 14 proyek yang diaudit tetap saja dikuras. Kartu nilai bukanlah program keamanan."
Aktor Ancaman Membypass Kode Smart Contract untuk Menargetkan Infrastruktur Off-Chain
Seiring pertahanan smart contract yang semakin matang dan logika on-chain yang makin sulit untuk dikompromikan, aktor ancaman beralih untuk mengeksploitasi infrastruktur off-chain. Fan menyatakan: "Permukaan yang paling diremehkan adalah control plane off-chain: perangkat penandatangan, prosedur pembangkitan dan rotasi kunci, identitas cloud, pipeline CI/CD, layanan backend, validator bridge, serta jalur admin darurat. Tim sering mengamankan penyimpanan kunci, tetapi kurang memperhatikan bagaimana kunci tersebut benar-benar digunakan... saat dikompromikan, penyerang dapat menghasilkan transaksi yang secara teknis valid di on-chain, sehingga pencegahan dan deteksi menjadi jauh lebih sulit."
Jerald David, CEO Lynq, membahas asumsi keamanan cloud: "Asumsi terbesar adalah bahwa menggunakan penyedia cloud besar membuat sebuah aplikasi aman secara default. Penyedia cloud mengamankan infrastruktur yang mendasarinya, tetapi tim tetap bertanggung jawab atas bagaimana sistem dikonfigurasi, bagaimana kredensial dikelola, dan siapa yang punya akses."
Videau memperingatkan bahwa arsitektur yang tidak tepat dapat meniadakan perlindungan multisig: "Seluruh operasi berjalan pada peran layanan yang terlalu banyak izin dan pipeline CI/CD yang dapat menyentuh kunci produksi, dan jika satu akun layanan dapat membaca kunci penandatangan Anda, multisig Anda hanya menjadi pertunjukan. Kontrak yang sudah didepresiasi namun masih memegang hak admin adalah vektor lain: kode yang Anda kirim dua tahun lalu adalah pintu hidup, dan penyerang tidak peduli apa yang Anda anggap masuk scope."
Alokator Institusional Menggeser Persyaratan Keamanan di Luar Audit
Saat alokator institusional menyesuaikan model risiko mereka, standar untuk penempatan modal meningkat. David menyatakan: "Saya melihat terlebih dahulu kematangan operasional. Apakah tim dapat menjelaskan dengan jelas bagaimana modal bergerak melalui sistem, di mana titik kendali kunci, dan bagaimana risiko dipantau? Institusi membutuhkan kepastian dan transparansi."
Himanshu Sahay, CTO dan co-founder Arch, mencatat: "Institusi ingin memahami bagaimana sistem kritis diakses, bagaimana izin dikelola, bagaimana aktivitas dipantau, dan proses apa yang ada jika terjadi sesuatu yang salah. Pada akhirnya, kombinasi kontrol yang kuat, transparansi, dan disiplin operasional yang membangun kepercayaan."
Fan berfokus pada peta hak istimewa saat mengevaluasi protokol: "Jika saya harus mengidentifikasi satu kontrol yang paling terkait dengan keyakinan institusional, itu adalah otorisasi multi-pihak di setiap jalur pemindahan aset dan upgrade. Institusi menginginkan bukti bahwa tindakan unilateral tidak mungkin."
Swartz menambahkan: "Institusi tahu bahwa tidak ada protokol yang benar-benar bebas risiko. Yang penting adalah apakah tim memiliki tata kelola yang baik, kontrol internal yang kuat, transparansi tentang risiko, dan rencana yang jelas untuk merespons ketika sesuatu terjadi."
Kelima pakar sepakat bahwa Web3 harus mengadopsi tumpukan pertahanan berlapis yang mencakup pemantauan real-time, manajemen kunci yang disiplin, dan responsive bug bounties untuk melindungi dari ancaman yang terus berkembang. David mencatat: "Aset digital beroperasi sepanjang waktu, tetapi bagian infrastruktur yang mendukungnya masih beroperasi mengikuti jadwal keuangan tradisional. Saat pasar semakin institusional, infrastruktur yang mendukung pergerakan dan penyelesaian modal juga perlu menjadi lebih tangguh."
Pakar Keamanan Memprediksi Serangan Operasional Berlanjut di H2 2026
Para pakar memperingatkan bahwa H2 2026 akan membawa serangan operasional yang berlanjut. Fan memprediksi: "Saya memperkirakan serangan akses-kontrol operasional akan terus mendominasi kerugian: rekayasa sosial, pencurian kredensial, kompromi penandatangan, intrusi cloud atau CI/CD, serta serangan pada infrastruktur validator off-chain. Bug smart-contract individual akan terus ada, tetapi penyerang akan tetap menargetkan jalur terpendek menuju otoritas."
Videau menyimpulkan: "Belanjakan di tempat kerugian terjadi. Hampir 90% dana curian bergerak melalui kunci, penandatangan, dan infrastruktur, namun anggaran tetap mengalir ke audit kontrak. Serangan terburuk adalah yang tidak ada yang memprediksi, jadi bangun seolah perimeter Anda sudah hilang."
FAQ
Apa yang menyebabkan kerugian keamanan Web3 senilai $763,9 juta selama Q2 2026?
Hacken melaporkan bahwa 88,3% dari $763,9 juta yang dicuri dari 67 insiden berasal dari kompromi kunci dan infrastruktur, bukan dari kerentanan smart contract. Sekitar 75,5% dari seluruh kerugian berasal dari hanya dua insiden yang dikaitkan dengan aktor ancaman Korea Utara, sementara bug smart contract—meski mencakup 44 dari 67 insiden—hanya menyebabkan 11% dari total kerugian.
Mengapa 14 protokol yang diaudit mengalami pelanggaran pada Q2 2026?
Pakar keamanan menjelaskan bahwa audit adalah penilaian berjangka pada kode di titik waktu tertentu dan tidak mencakup perangkat penandatangan, infrastruktur cloud, izin operasional, atau sistem kontrol off-chain. Samuel Videau mencatat bahwa hampir 90% kerugian Q2 berasal dari kunci, penandatangan, dan infrastruktur—semuanya di luar bagian scope audit yang umum.
Kontrol keamanan apa yang kini diminta investor institusional dari protokol Web3?
Leo Fan menyatakan bahwa institusi ingin bukti adanya otorisasi multi-pihak di setiap jalur pemindahan aset dan upgrade, sehingga tindakan unilateral tidak mungkin. Himanshu Sahay mencatat institusi memerlukan pemahaman tentang bagaimana sistem kritis diakses, bagaimana izin dikelola, bagaimana aktivitas dipantau, dan proses apa yang ada jika terjadi sesuatu yang salah.
