Dua pembobolan dalam tiga minggu dengan vektor serangan yang berbeda menandakan kegagalan remediasi menyeluruh, tetapi dampaknya terkurung di ekosistem DeFi global dengan jalur transmisi ke Indonesia yang tipis.
Ringkasan Eksekutif
Initia mengonfirmasi serangan siber kedua dalam kurang dari tiga minggu. Penyerang membawa kabur sekitar US$3,27 juta aset kripto setelah membobol infrastruktur cloud jaringan layer-1 tersebut. Sekitar US$2,16 juta di antaranya masih membeku di jaringan yang kini dihentikan total. Insiden terbaru ini terjadi hanya berselang beberapa hari setelah exploit 23 Oktober yang menguras sekitar US$2,7 juta lewat celah pada cache skrip MoveVM. Yang berubah adalah titik masuknya. Exploit pertama mengeksploitasi logika kontrak pintar — kode jahat melewati pemeriksaan keamanan, menciptakan saldo token tanpa cadangan, lalu dijembatani keluar jaringan. Serangan kedua tidak menyentuh kode sama sekali; penyerang menembus kredensial.
Sebuah command injection melalui kunci Google Cloud Platform yang dikompromikan membuka environment variables, dan dari sana akses ke akun GitHub serta cloud Initia, plus kredensial tambahan. Dengan kunci itu penyerang masuk ke Anvil, platform yang menjalankan rollup, memvalidasi penarikan Inter-Blockchain Communication yang fiktif dari lima rollup, dan melepas aset yang tersimpan di akun escrow. Perhatikan apa yang tidak diambil. Tidak ada token INIT yang ditarik. Penyerang menjual aset di bursa terdesentralisasi Initia lalu membawa keluar 13.400 TIA, 8.000 USDC.inj, dan 597.000 Noble USDC — instrumen yang mewakili klaim lintas rantai. Beban kerugian karena itu jatuh ke penyedia likuiditas dan pihak yang menjamin cadangan aset terjembatani, bukan ke pemegang token native.
Pemegang INIT tidak menanggung kerugian langsung, tetapi nilai protokolnya yang terkikis, dan itu terlihat dari keputusan mematikan seluruh jaringan. Penghentian jaringan pada Selasa menyelamatkan US$2,16 juta, sekaligus menjadi pengakuan bahwa ada satu titik kendali pusat pada sistem yang dipasarkan sebagai jaringan terdesentralisasi. Ibarat menutup seluruh mal karena satu toko dibobol: kerugian terbatas, tetapi semua penyewa berhenti berdagang. Initia menyatakan tengah memulihkan cadangan aset terdampak bersama aparat penegak hukum dan mitra keamanan. Bagi pasar domestik, guncangan ini belum mengubah selera risiko harian — IHSG berada di 5.114 dengan kenaikan 0,80% dan rupiah di 18.150 per dolar AS.
Yang perlu dicermati dalam satu sampai tiga minggu: konfirmasi nilai final kerugian, pernyataan resmi pembukaan kembali jaringan, langkah bursa dalam membekukan aset hasil penjualan, serta apakah kerentanan serupa pada rantai pasok kredensial muncul di protokol rollup lain. Dua kegagalan beruntun dengan penyebab berbeda memberi sinyal bahwa audit kode saja tidak lagi memadai — tata kelola kunci dan otomatisasi penerapan kini menjadi garis depan pertahanan.
Mengapa Ini Penting
Selama ini risiko protokol kripto dipersepsikan melekat pada kode kontrak, sehingga audit smart contract dianggap sebagai pagar utama. Dua insiden Initia dalam tiga minggu membalik asumsi itu: kerentanan justru bersarang di tata kelola kredensial cloud dan pipeline penerapan, area yang jarang masuk cakupan audit keamanan publik. Konsekuensinya, standar penilaian protokol berubah — bukan lagi sekadar apakah kontraknya diaudit, melainkan siapa yang memegang kunci infrastruktur dan seberapa longgar otorisasi internalnya.
Dampak ke Bisnis
- Aplikasi yang menumpang di atas rollup Initia — bursa terdesentralisasi, pasar pinjaman, hingga layanan pembayaran — kehilangan sinkronisasi state selama jaringan mati. Pengguna tidak bisa mencairkan posisi, dan penyedia likuiditas menanggung risiko penarikan fiktif dari akun escrow yang sudah dilepas penyerang.
- Tim rekayasa dan keamanan di seluruh jaringan layer-1 mendapat tekanan baru untuk mengaudit rantai pasok kredensial: kunci cloud, akses repositori, dan hak istimewa otomatisasi penerapan. Perusahaan penyedia layanan cloud yang menyimpan kunci proyek kripto berada di zona sorotan sebagai pemasok risiko tidak langsung.
- Dalam tiga sampai enam bulan ke depan, ekspektasi terhadap bukti kustodi dan mekanisme pemulihan cadangan akan meningkat, terutama dari investor institusional yang menilai protokol dari kemampuannya bertahan saat insiden — bukan hanya dari arsitektur teknisnya.
Yang Perlu Dipantau
- Yang perlu dipantau: pernyataan resmi Initia soal jadwal pembukaan kembali jaringan dan metode pemulihan cadangan aset — jeda yang memanjang akan menekan kepercayaan validator dan proyek yang bergantung pada rollup tersebut.
- Risiko yang perlu dicermati: penyebaran vektor serangan kredensial cloud ke protokol rollup lain — jika pola command injection serupa ditemukan, biaya kepatuhan dan asuransi di sektor DeFi berpotensi naik secara luas.
- Sinyal penting: langkah bursa terpusat membekukan aset hasil penjualan di bursa terdesentralisasi Initia, khususnya TIA dan Noble USDC — keberhasilan pembekuan menentukan seberapa besar kerugian yang akhirnya diserap penyedia likuiditas.
Konteks Indonesia
Jalur transmisinya melalui sentimen terhadap aset digital, bukan lewat perekonomian riil. Basis investor ritel kripto Indonesia yang aktif mengakses aset global melalui platform perantara domestik membuat sentimen negatif dari exploit berulang berpotensi menekan volume transaksi dan mempercepat aksi jual aset digital. Pengawasan Bappebti dan OJK terhadap platform yang memfasilitasi akses ke protokol DeFi asing menjadi titik perhatian, terutama bila regulator menilai risiko kerugian langsung bagi pengguna dalam negeri. Efek rambatnya ke saham teknologi di BEI bersifat tidak langsung dan bergantung pada apakah insiden ini meluas menjadi risk-off yang lebih luas di pasar global.
Analisis ini dibuat oleh sistem AI Feedberry berdasarkan sumber berita publik dan tidak merupakan saran investasi atau keputusan bisnis. Selalu verifikasi dengan sumber primer.