Bagaimana peretas tingkat nasional menembus DeFi? Investigasi mendalam tentang insiden peretasan Drift

Pusat serangan dalam insiden keamanan kripto sedang berpindah secara drastis dari lapisan kode ke lapisan kepercayaan manusia.

Pada 1 April 2026, protokol derivatif terdesentralisasi terkemuka di ekosistem Solana, Drift Protocol, mengalami serangan dengan kerugian sekitar 285 juta dolar AS. Total nilai yang dikunci (TVL) platform turun tajam dari sekitar 550 juta dolar AS sebelum insiden menjadi sekitar 230 juta dolar AS. Investigasi awal yang kemudian dirilis oleh Drift mengonfirmasi bahwa aksi ini direncanakan oleh kelompok peretas UNC4736 yang terkait dengan pemerintah Korea Utara—sebuah “aksi intelijen terstruktur berdurasi 6 bulan”.

Kesimpulan ini mengungkap perubahan yang jauh melampaui sekadar satu insiden keamanan: ketika peretas tingkat negara memindahkan pusat serangan dari penemuan celah kode ke penetrasi kepercayaan manusia yang berlangsung berbulan-bulan, seluruh paradigma keamanan industri DeFi sedang ditulis ulang secara sistematis. Serangan tidak lagi memerlukan celah rumit pada smart contract atau pencurian private key—yang dibutuhkan hanyalah hubungan yang penuh kesabaran, identitas yang disamarkan secara rapi, serta cukup banyak waktu.

Bagaimana mekanisme kerja serangan ini?

Rencana aksi UNC4736 menunjukkan disiplin organisasi dan investasi sumber daya yang jauh melampaui kelompok peretas biasa. Mulai musim gugur 2025, pihak yang menyamar sebagai perusahaan perdagangan kuantitatif secara aktif mendekati kontributor Drift di berbagai konferensi kripto internasional. Pihak-pihak ini fasih secara teknis, memiliki latar belakang profesional yang dapat diverifikasi, dan memahami cara kerja Drift. Perlu dicatat bahwa orang yang ditemui secara langsung bukanlah warga Korea Utara, melainkan perantara pihak ketiga yang dinilai dikerahkan oleh aktor ancaman Korea Utara.

Setelah terbangun rasa percaya, kelompok tersebut pada periode Desember 2025 hingga Januari 2026 masuk ke dalam sebuah vault ekosistem di ekosistem Drift, dan benar-benar menyetorkan lebih dari 1 juta dolar AS dana mereka sendiri untuk membangun kredibilitas. Dalam prosesnya, mereka melakukan diskusi produk yang rinci dan profesional dengan beberapa kontributor.

Intrusi teknis diwujudkan melalui dua jalur: satu kontributor diretas saat mengklon repositori kode berbahaya; repositori itu memanfaatkan celah yang secara terus-menerus diwaspadai komunitas keamanan di editor VSCode dan Cursor—cukup membuka file, folder, atau repositori di editor untuk mengeksekusi kode sewenang-wenang secara senyap, tanpa peringatan atau klik apa pun dari pengguna; sementara kontributor lainnya dipancing untuk mengunduh aplikasi dompet palsu melalui platform TestFlight milik Apple. Setelah memperoleh hak akses internal, penyerang menggunakan fitur asli Solana Durable Nonce untuk menandatangani transaksi terlebih dahulu; setelah persetujuan multi-signature (multisig) lolos, eksekusi pengosongan dilakukan seketika.

Biaya apa yang ditimbulkan oleh pola serangan seperti ini?

Biaya yang ditunjukkan oleh insiden Drift bersifat multidimensi, jauh melampaui kerugian pembukuan 285 juta dolar AS.

Biaya paling langsung terlihat pada kerugian dana dan guncangan pasar. Serangan ini adalah insiden keamanan DeFi terbesar hingga saat ini pada tahun 2026, dan juga insiden keamanan terbesar kedua dalam sejarah ekosistem Solana. Setelah insiden terjadi, harga token DRIFT sempat anjlok lebih dari 90% dari puncak historisnya.

Yang lebih perlu diwaspadai adalah efek penularannya. Protokol yang terdampak oleh insiden celah Drift telah melebar dari awalnya 11 menjadi lebih dari 20; yang baru termasuk protokol seperti PiggyBank, Perena, Vectis, Prime Numbers Fi, dan lainnya. Sebagian protokol telah menangguhkan fitur minting, redeem, atau deposit/withdrawal. Setelah protokol pinjaman terdesentralisasi Project 0 menghentikan operasinya, proses deleveraging dimulai; aset para pemberi pinjaman mengalami penurunan nilai rata-rata sebesar 2,61%.

Namun, biaya terdalam—dan paling sulit untuk dikuantifikasi—adalah guncangan pada fondasi kepercayaan keamanan industri DeFi. Setelah kejadian, Drift menekankan bahwa semua anggota multisig menggunakan cold wallet, tetapi serangan tetap tidak dapat dicegah—ini menunjukkan bahwa ketika serangan menargetkan lapisan manusia, bahkan kontrol perangkat keras yang ketat pun berpotensi dilewati. Jika penyerang bertindak dengan wajah organisasi yang nyata selama setengah tahun, menginvestasikan dana, dan berpartisipasi dalam ekosistem, sistem keamanan yang ada hampir tidak mungkin mendeteksi mereka.

Artinya apa bagi lanskap industri DeFi?

Insiden Drift sedang memaksa seluruh industri untuk meninjau kembali masalah mendasar: apakah asumsi keamanan untuk keuangan terdesentralisasi masih berlaku.

Salah satu refleksi industri yang penting berfokus pada celah struktural dalam sistem kepercayaan perantara pihak ketiga. Jalur serangan UNC4736 mengungkap bahwa ekosistem DeFi saat ini tidak memiliki mekanisme untuk melakukan tinjauan keamanan sistematis dan pemantauan berkelanjutan terhadap mitra kerja baru. Praktik yang dianggap sebagai aktivitas bisnis normal dalam industri—kontak saat konferensi, komunikasi melalui pesan instan, masuknya vault ekosistem—justru menjadi penutup terbaik bagi infiltrasi peretas tingkat negara.

Kontroversi lain yang tidak bisa diabaikan datang dari celah kepatuhan pada tahap pemulihan dana. Penyelidik on-chain menyebut bahwa penyerang, melalui protokol transfer lintas-rantai, memindahkan sekitar 232 juta dolar AS USDC dari jembatan Solana ke Ethereum, sementara penerbit stablecoin memiliki jendela waktu sekitar 6 jam untuk membekukan dana tersebut namun tidak melakukan tindakan. Kontroversi ini menyentuh masalah kelembagaan yang lebih dalam: ketika pertahanan keamanan protokol DeFi itu sendiri gagal, apakah model hibrida yang mengandalkan respons kepatuhan dari penerbit stablecoin yang tersentralisasi untuk menutup kekurangan itu masih berkelanjutan? Lalu di mana batas tindakan entitas yang patuh ketika menghadapi arus dana dalam skala besar?

Bagaimana kemungkinan evolusinya di masa depan?

Berdasarkan perkembangan investigasi saat ini dan respons industri, beberapa tren di masa depan sudah terlihat.

Anggaran keamanan akan dievaluasi ulang secara sistematis. Kerugian keamanan kripto global pada tahun 2025 telah melampaui 3,4 miliar dolar AS; di bidang Web3, pada tahun 2025 tercatat 89 insiden keamanan yang terkonfirmasi, dengan total kerugian mencapai 2,54 miliar dolar AS. Dalam konteks serangan tingkat negara yang makin menjadi hal yang umum, strategi pertahanan yang hanya mengandalkan audit kode dan pengujian keamanan sudah tidak cukup. Diperkirakan lebih banyak protokol akan mengalokasikan sumber daya tambahan pada pelatihan keamanan operasional, simulasi pertahanan rekayasa sosial, dan proses pemeriksaan latar belakang.

Penularan risiko lintas-protokol akan menjadi dimensi fokus keamanan yang baru. Efek berantai insiden Drift yang menyasar lebih dari 20 protokol menunjukkan bahwa komposabilitas DeFi adalah pedang bermata dua dari sisi keamanan. Ke depan, kemungkinan muncul dua jenis pendekatan: pertama, isolasi ketergantungan dan pengelompokan keamanan di tingkat protokol; kedua, membangun mekanisme respons insiden dan berbagi informasi yang terstandar di tingkat industri.

Batas regulasi dan kepatuhan akan semakin diperebutkan. Standar tindakan penerbit stablecoin dalam peristiwa serupa akan menjadi fokus perdebatan regulasi dan dapat memunculkan kerangka respons darurat untuk pergerakan aset kripto lintas negara.

Risiko potensial apa yang masih berada dalam zona kewaspadaan?

Meski Drift telah membekukan semua fungsi protokol dan memindahkan dompet yang terdampak dari multisig, masih ada beberapa dimensi risiko yang patut terus diperhatikan.

Ketidak-irreversibel-an pemulihan dana. Setelah melakukan pencurian, penyerang dengan cepat menghapus catatan pesan instan dan malware, dan dana di blockchain telah dipindahkan melalui jembatan lintas-rantai ke jaringan Ethereum. Kelompok peretas Korea Utara sejak dulu memiliki jaringan pencucian uang yang matang dan kemampuan untuk mencampur transaksi lintas rantai; sebagian besar dana curian kemungkinan sudah masuk ke jalur yang sulit untuk dipulihkan.

Persaingan kemampuan keamanan industri yang tidak simetris. Kelompok peretas tingkat negara memiliki sumber daya organisasi, dukungan dana berkelanjutan, dan pembagian kerja yang terspesialisasi; sementara sebagian besar protokol DeFi beroperasi dengan tim kecil sehingga alokasi sumber daya keamanan terbatas. Ketimpangan ini sedang dimanfaatkan secara sistematis oleh penyerang. Identitas yang digunakan oleh penyerang telah dibangun menjadi riwayat karier lengkap, kredensial identitas publik, dan jejaring sosial profesional, sehingga mereka mampu melewati pemeriksaan normal dalam kerja sama bisnis.

Kelelahan kepercayaan yang menekan inovasi industri. Jika setiap kali ada mitra kerja baru harus menjalani tinjauan keamanan yang ketat dan pemantauan berkelanjutan, keunggulan inti DeFi—keterbukaan dan komposabilitas—akan menghadapi risiko terkikis. Bagaimana menemukan keseimbangan antara pertahanan keamanan dan efisiensi operasional adalah teka-teki yang harus dijawab oleh industri.

Ringkasan

Insiden Drift yang diretas mengungkap sebuah realitas yang selama ini diabaikan: ancaman keamanan untuk industri DeFi telah menyelesaikan lompatan generasi. Dari celah smart contract hingga pencurian private key, hingga kini penetrasi rekayasa sosial tingkat negara yang berlangsung selama 6 bulan—kecepatan evolusi taktik penyerang jauh melampaui kecepatan iterasi sistem pertahanan. Ketika penyerang tidak lagi perlu membobol kode, melainkan hanya membobol kepercayaan seseorang, efektivitas alat keamanan tradisional seperti multisig, cold wallet, dan isolasi perangkat keras dipertanyakan kembali.

Industri tidak hanya membutuhkan audit kode yang lebih sempurna dan kontrol akses yang lebih ketat, tetapi juga membutuhkan pemikiran keamanan yang sama sekali baru: memandang “kepercayaan manusia” sebagai bidang serangan yang setara pentingnya dengan “kode smart contract”. Mulai dari pemeriksaan latar belakang hingga budaya keamanan operasional, dari pemantauan berkelanjutan mitra ekosistem hingga kolaborasi lintas-protokol dalam mekanisme respons darurat—setiap tahap perlu didefinisikan ulang. Dalam norma keamanan kripto baru ketika kekuatan tingkat negara ikut terlibat, tidak ada protokol yang bisa berdiri sendiri—mata rantai pertahanan keamanan seluruh industri, hanya bisa mencapai kekuatan pada tautan yang paling lemah.

FAQ

T: Apakah UNC4736 adalah organisasi yang sama dengan Lazarus?

UNC4736 adalah kode yang digunakan perusahaan keamanan untuk melacak aktor ancaman yang terkait dengan pemerintah Korea Utara, dan tumpang tindih dengan Lazarus Group yang lebih dikenal, tetapi tidak sepenuhnya identik. UNC4736 dianggap menjalankan tugas penghasilan berbasis tingkat dasar yang lebih berkelanjutan di bidang mata uang kripto, dengan fokus pada penetrasi berkelanjutan terhadap target skala kecil hingga menengah.

T: Mengapa Drift, meski menggunakan multisig, tetap tidak dapat mencegah serangan?

Penyerang tidak mencuri private key multisig secara langsung; mereka memperoleh wewenang persetujuan multisig melalui rekayasa sosial, lalu memanfaatkan fitur Solana Durable Nonce untuk menandatangani transaksi terlebih dahulu. Setelah memperoleh izin yang cukup, eksekusi dilakukan seketika. Ini menunjukkan bahwa prasyarat keamanan multisig adalah para penandatangan tidak dikendalikan melalui rekayasa sosial.

T: Apakah serangan ini melibatkan celah pada smart contract?

Tidak. Drift secara resmi menegaskan bahwa inti serangan ini adalah penetrasi rekayasa sosial dan penyalahgunaan fitur Durable Nonce, bukan celah kode smart contract tradisional.

T: Langkah apa yang diambil Drift setelah insiden ini terjadi?

Drift telah membekukan semua fungsi protokol, memindahkan dompet yang terdampak dari multisignature, dan mengundang perusahaan keamanan untuk ikut dalam penyelidikan forensik mendalam. Tim protokol menyatakan sedang bekerja sama dengan aparat penegak hukum untuk mencoba melacak dana yang dicuri.