KreAsik – 21 Agustus 2026 | Protokol perdagangan derivatif terdesentralisasi AFX Trade mengalami serangan siber signifikan pada pertengahan Juli 2026. Sebuah bridge lintas jaringan yang dikelola secara independen oleh AFX berhasil dibobol, mengakibatkan sekitar 24,15 juta USDC terkuras dari kontrak bridge di jaringan Arbitrum. Insiden ini pertama kali terdeteksi oleh tim keamanan on‑chain Blockaid pada Rabu, 22 Juli 2026 pukul 21.30 UTC, dan kemudian dikonfirmasi pada Kamis, 23 Juli 2026 pukul 04.30 WIB.
Blockaid menegaskan bahwa serangan menargetkan bridge buatan AFX, bukan native bridge resmi milik Arbitrum. Pendiri Offchain Labs, Steven Goldfeder, juga menguatkan pernyataan tersebut dengan menyatakan bahwa transaksi mencurigakan berasal dari protokol pihak ketiga, sehingga jaringan Arbitrum secara keseluruhan tidak terdampak.
Bagaimana Serangan Terjadi?
Analisis awal mengindikasikan bahwa celah tidak terletak pada logika smart contract bridge. Sebaliknya, pelaku diduga berhasil menguasai private key validator yang bertanggung jawab menandatangani dan menyetujui penarikan dana. Sistem bridge AFX mengharuskan lima tanda tangan validator untuk mencapai kuorum dua pertiga, dan kelima tanda tangan tersebut berhasil diproduksi secara sah secara kriptografis. Karena tanda tangan dianggap valid, smart contract secara otomatis melepaskan dana setelah melewati masa dispute sekitar 200 detik.
Baca Juga:
Kasus ini menyoroti risiko penggunaan hot key—kunci yang terus terhubung ke jaringan online untuk operasional harian. Hot key lebih rentan dibandingkan cold key yang disimpan secara offline. Pada bridge, private key validator menjadi komponen paling krusial; jika jatuh ke tangan pihak tidak berwenang, transaksi berbahaya dapat terlihat sah di mata kontrak pintar.
Pergerakan Dana Pasca‑Serangan
Setelah dana berhasil ditarik dari bridge di Arbitrum, pelaku memindahkan USDC ke jaringan Ethereum. Di sana, aset tersebut ditukar menjadi sekitar 12.467 Ether (ETH), yang pada saat transaksi diperkirakan bernilai mendekati US$24 juta. Seluruh dana yang telah diubah menjadi ETH terkonsentrasi dalam satu dompet Ethereum, yang kini berada di bawah pemantauan intensif tim keamanan Blockaid dan pelacak transaksi on‑chain.
Blockaid telah berkoordinasi dengan tim Arbitrum untuk menanggapi insiden, menghubungi pihak yang terdampak, dan berupaya membatasi pergerakan lebih lanjut. Hingga saat laporan ini disusun, belum ada pernyataan resmi mengenai cara private key validator jatuh ke tangan penyerang, serta belum ada konfirmasi apakah dana yang dicuri telah berhasil dibekukan atau dipulihkan.
Dampak pada Likuiditas dan TVL AFX
Kerugian 24,15 juta USDC hampir menyapu bersih total value locked (TVL) AFX pada saat kejadian. AFX Trade dikenal sebagai bursa derivatif terdesentralisasi yang menawarkan kontrak perpetual dengan USDC sebagai aset penyelesaian. Karena USDC merupakan stablecoin yang dipatok pada dolar Amerika Serikat, kehilangan likuiditas ini langsung memengaruhi kemampuan protokol dalam menyediakan margin dan likuiditas bagi para trader.
Cross‑chain bridge berfungsi sebagai jembatan yang memindahkan representasi aset antar blockchain. Infrastruktur semacam ini biasanya menahan dana dalam kontrak pada jaringan asal, lalu mencetak atau melepaskan aset setara di jaringan tujuan. Karena menahan nilai tinggi dan mengandalkan mekanisme otorisasi multi‑signature, bridge menjadi target utama bagi penjahat siber.
Pelajaran Keamanan bagi Ekosistem DeFi
Insiden ini menegaskan bahwa audit smart contract saja tidak cukup untuk melindungi protokol DeFi. Pengelolaan kunci, server penandatangan, kontrol akses internal, serta prosedur penghentian darurat menjadi lapisan pertahanan penting. Implementasi hot‑key yang lebih aman, seperti penggunaan multi‑party computation (MPC) atau hardware security modules (HSM), dapat mengurangi risiko pencurian kunci validator.
Selain itu, protokol dapat mempertimbangkan penambahan batas penarikan harian, mekanisme penangguhan manual, dan sistem monitoring real‑time yang dapat mendeteksi pola penandatanganan anomali sebelum kuorum tercapai.
Kesimpulan
Serangan bridge AFX menguras 24,15 juta USDC, menimbulkan kerugian besar pada protokol DeFi dan menyoroti risiko hot key pada infrastruktur blockchain. Meskipun native bridge Arbitrum tidak terdampak, insiden ini menjadi peringatan bagi semua proyek yang mengoperasikan bridge sendiri. Penguatan lapisan operasional, manajemen kunci yang ketat, dan prosedur respons insiden menjadi keharusan untuk mencegah kerugian serupa di masa depan.
