Studi terbaru dari USENIX Security ’26 mengidentifikasi 65.340 alamat berisiko tinggi di jaringan Ethereum dan BNB Smart Chain. Total kerugian dari puluhan ribu alamat ini mencapai 126.982,94 ETH dan 17.726,7 BNB, atau setara $574,8 juta jika dihitung dari harga referensi $4.408 per ETH dan $847 per BNB.
Angka $574,8 juta ini diakui tim peneliti hanya sebagai taksiran bawah konservatif. Nilai kerugian aslinya dipastikan lebih besar karena perhitungan ini murni mencatat pencurian token native jaringan. Token ERC-20 atau koleksi NFT yang ikut tersapu dari dompet korban belum masuk hitungan sama sekali.
Bahaya Terselubung di Repositori Publik
Peneliti memecah celah keamanan ini ke dalam dua kelompok: penyalahgunaan akun kontrak (Contract Account) dan penyalahgunaan akun milik eksternal (Externally Owned Account atau EOA). Kategori akun kontrak menyumbang 49.344 kasus dengan kerugian 22.738 ETH dan 8.681 BNB. Namun, pukulan finansial terberat justru menimpa kelompok EOA. Dari 15.996 alamat, dana sebesar 104.244 ETH dan 9.045 BNB menguap.
Fakta soal kerugian EOA ini bermuara pada satu sumber masalah utama. Lebih dari 95% dana yang hilang bukan akibat pembobolan jaringan yang rumit, melainkan kelalaian mendasar: kunci privat yang terekspos di GitHub.
Untuk memetakan skala masalah ini, para peneliti menambang 63.004 repositori GitHub yang dibuat antara Januari 2015 hingga Mei 2025. Dari tumpukan kode itu, mereka mengekstrak 10,3 juta alamat unik dan menemukan 16,3 juta kunci privat yang dibiarkan tergeletak tanpa pengamanan.
Dua Vektor Serangan Baru
Selain kelalaian manusia, riset ini mendokumentasikan dua vektor serangan yang belum pernah tercatat sebelumnya. Serangan pertama mengeksploitasi celah pada pembuatan alamat kontrak deterministik. Polanya lugas: penyerang mempromosikan sebuah kontrak di jaringan uji coba atau testnet, lalu mereka hanya perlu menunggu ada dana nyata dari mainnet yang nyasar ke alamat yang sama.
๐ Baca JugaAI Kimi K3 Asal China Temukan 85 Bug Kritis di Ekosistem Bitcoin - Model AS Justru Angkat Tangan
Serangan kedua melibatkan standar EIP-7702 dengan menyasar akun-akun yang kunci privatnya telanjur bocor. Penyerang mengeksploitasi fungsi dari pembaruan ini untuk memprogram pembersihan otomatis. Begitu ada dana masuk ke dompet korban, sistem peretas langsung menyapunya. Peneliti mencatat ada 17.270 kasus dari metode ini. Situasi makin pelik setelah sebuah studi terpisah di ajang USENIX Security ’26 yang sama menegaskan bahwa lebih dari 63% transaksi otorisasi EIP-7702 memang berkaitan dengan serangan jahat.
Pencegahan Sejak dari Dompet Kripto
Sistem deteksi yang dipakai dalam riset ini diklaim memiliki presisi 99,11%, meskipun tim peneliti mengakui tidak memverifikasi seluruh 65.340 alamat itu satu per satu lewat proses manual.
Sebagai langkah antisipasi, peneliti mendesak pengembang dompet kripto untuk mengintegrasikan sistem peringatan dini. Pengguna wajib mendapat notifikasi saat kunci mereka terdeteksi beredar di repositori. Di sisi teknis, pengembang dituntut menerapkan manajemen rahasia kriptografi yang lebih ketat dan memasukkan identifikasi spesifik jaringan saat merancang turunan alamat kontrak di masa mendatang.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
