Insiden terbatas pada satu bridge dan belum ada angka kerugian, tetapi vektor serangannya menyentuh lapisan infrastruktur web yang dipakai semua platform kripto maupun fintech, termasuk di Indonesia.
Ringkasan Eksekutif
Across Protocol kembali menguasai domain across.to setelah serangan social engineering terhadap registrar Namecheap memberi penyerang kendali atas situs pada sekitar pukul 18.45 UTC, Selasa. Tim mendeteksi insiden dalam 15 menit dan langsung mematikan situs. Kelompok respons keamanan SEAL911 menandai domain tersebut sebagai phishing di sejumlah dompet besar, sementara Cloudflare menandainya berisiko dan mencabut catatan DNS-nya. Pendiri Namecheap Richard Kirkendall ikut membantu proses pemulihan. Sebelumnya Across mengimbau pengguna menjauhi aplikasi menyusul laporan dompet yang terkuras. Jumlah kerugian maupun korban belum diungkap. Integrasi pihak ketiga dan pengguna API tidak terdampak. Menurut DefiLlama, Across berada di posisi ketiga volume transfer 30 hari, di bawah Circle dan LayerZero, dengan nilai sekitar US$5,9 miliar pada periode itu.
Yang membuat insiden ini berbeda dari rentetan peretasan DeFi lain terletak pada titik serangnya. Tidak ada kontrak pintar yang dieksploitasi, tidak ada kunci multi-sig yang bocor, dan tidak ada celah pada kriptografi jembatan. Penyerang membajak pintu depan, bukan ruang penyimpanannya. Ketika kendali domain berpindah, seluruh lapisan pertahanan on-chain—audit, verifikasi kontrak, mekanisme validasi lintas rantai—menjadi tidak relevan karena pengguna diarahkan ke antarmuka palsu dan menandatangani transaksi atas kemauan sendiri. Pola ini menjelaskan mengapa laporan dompet terkuras muncul meski kode protokol dinyatakan utuh. Deteksi 15 menit terbilang cepat menurut standar industri, namun situs phishing mengumpulkan tanda tangan transaksi dalam hitungan menit, bukan jam.
Pihak yang paling terpapar adalah pengguna ritel yang membuka domain pada jendela sebelum pemblokiran penuh, serta penyedia likuiditas yang menanggung risiko reputasi. Janji bahwa seluruh pengguna terdampak akan dipulihkan dananya mengubah insiden operasional menjadi kewajiban neraca—sebuah sinyal bahwa persaingan antar-bridge kini tidak lagi hanya soal kecepatan dan biaya, tetapi soal siapa yang mampu menyerap kerugian bila rantai pertahanan terlemah jebol. Bagi Across, kerugian finansial mungkin lebih ringan daripada kerugian kepercayaan, sebab likuiditas di segmen ini bersifat mobil dan berpindah mengikuti persepsi keamanan. Efek menularnya lebih luas: setiap front-end DeFi, dompet, dan bursa yang bergantung pada registrar dan penyedia DNS pihak ketiga kini menghadapi pertanyaan yang sama.
Insiden ini juga memperlihatkan bahwa gelombang serangan terhadap protokol lintas rantai sepanjang 2026 belum menyentuh akar masalahnya, yakni ketergantungan pada rantai pasok infrastruktur internet yang jauh dari kata terdesentralisasi.
Mengapa Ini Penting
Selama dua tahun terakhir, penguatan keamanan DeFi difokuskan pada kode: audit kontrak, pemecahan kunci, dan verifikasi lintas rantai. Insiden Across membuktikan bahwa celah termurah untuk dieksploitasi justru berada di lapisan yang paling jarang diaudit—prosedur manusia di registrar domain. Setiap platform yang punya halaman login, termasuk bursa kripto berizin di Indonesia, mewarisi kerentanan yang sama, dan biaya penutupannya jauh lebih kecil daripada kerugian yang ditimbulkannya.
Dampak ke Bisnis
- Penyedia likuiditas dan integrator Across menghadapi ketidakpastian biaya kompensasi sampai post-mortem terbit. Janji pemulihan dana menciptakan kewajiban yang harus dibukukan, dan bila nilainya material, insentif imbal hasil bagi penyedia likuiditas berpotensi disesuaikan untuk menutupnya.
- Bursa kripto dan platform fintech domestik menjadi pihak yang paling berkepentingan meski tak disebut dalam insiden. Serangan social engineering ke registrar tidak memerlukan akses ke sistem internal target—cukup meyakinkan petugas layanan pelanggan. Platform yang mengandalkan verifikasi lewat email atau percakapan tanpa faktor kedua di lapisan administratif berada pada posisi paling rentan.
- Efek yang baru terasa dalam tiga sampai enam bulan adalah pergeseran anggaran keamanan. Protokol dan bursa kemungkinan mengalihkan sebagian belanja dari audit kontrak ke pemantauan DNS, registrasi domain defensif, dan pengawasan merek—area yang selama ini dianggap urusan tim TI, bukan tim risiko.
- Penyedia dompet dan agregator DeFi menanggung beban operasional baru berupa penyaringan domain secara real-time. Ketergantungan pada daftar blokir yang diperbarui secara sukarela oleh pihak seperti SEAL911 dan Cloudflare menunjukkan bahwa pertahanan kolektif masih bergantung pada koordinasi informal, bukan standar industri yang mengikat.
Yang Perlu Dipantau
- Yang perlu dipantau: publikasi post-mortem Across — angka kerugian final dan metode pemulihan dana akan menentukan apakah insiden ini berhenti sebagai gangguan operasional atau berkembang menjadi persoalan solvabilitas protokol.
- Risiko yang perlu dicermati: perubahan prosedur di registrar domain — bila tidak ada pengetatan verifikasi, pola serangan yang sama dapat diulang pada front-end platform lain, termasuk yang beroperasi atau melayani pengguna Indonesia.
- Sinyal penting: pemulihan volume transfer 30 hari Across relatif terhadap Circle dan LayerZero — penyedia likuiditas yang berpindah permanen akan menjadi indikator paling jujur bahwa kepercayaan tidak kembali.
- Yang perlu diawasi: cakupan pengawasan aset digital domestik — apakah otoritas memasukkan keamanan domain dan DNS platform sebagai bagian dari kerangka tata kelola, bukan hanya aspek perizinan dan produk.
Konteks Indonesia
Jalur dampaknya ke pasar domestik berjalan lewat dua saluran. Pertama, sentimen risk-off di segmen aset digital yang biasanya menekan volume transaksi di bursa kripto lokal dan memperlebar disparitas likuiditas antarplatform. Kedua, dan lebih penting, paparan struktural: platform kripto dan fintech dalam negeri yang melayani investor ritel besar bergantung pada rantai pasok yang sama—registrar domain, penyedia DNS, dan sertifikat keamanan pihak ketiga. Insiden Across menunjukkan bahwa lapisan itu tidak tercakup dalam kerangka pengawasan produk aset digital yang berlaku, sehingga seluruh beban mitigasi berada di tangan operator. Preseden kompensasi penuh yang dijanjikan Across juga menciptakan ekspektasi baru bagi pengguna domestik terhadap platform lokal, tanpa ada kewajiban regulator yang memaksa standar serupa.
Analisis ini dibuat oleh sistem AI Feedberry berdasarkan sumber berita publik dan tidak merupakan saran investasi atau keputusan bisnis. Selalu verifikasi dengan sumber primer.