Lonjakan 7,4 kali mengukur kapasitas deteksi sekaligus intensitas serangan, dengan kerugian lahir dari izin yang diteken pengguna sendiri — persis titik lemah basis investor ritel kripto Indonesia yang besar dan didominasi usia muda.
Ringkasan Eksekutif
Bitget Wallet menandai sekitar 37.000 permintaan tanda tangan per pekan sebagai indikasi phishing pada kuartal III 2026, naik 7,4 kali dari sekitar 5.000 per pekan di kuartal II. Angka itu disampaikan Chief Operating Officer Bitget Wallet Alvin Kan, yang menegaskan lonjakan tersebut mencerminkan dua hal sekaligus: aktivitas ancaman yang meningkat dan kapasitas deteksi yang membaik. Ia memberi catatan penting — data yang ada tidak memungkinkan pemisahan kontribusi masing-masing faktor. Metodologi penghitungannya juga spesifik: yang dihitung adalah interaksi tanda tangan yang ditandai berisiko, bukan serangan unik maupun kerugian finansial terkonfirmasi. Deteksi berbantuan AI baru diadopsi perseroan pada kuartal II, dan efeknya paling jelas terlihat pada metrik sekunder.
AI disebut membantu mengidentifikasi 90% domain berisiko yang baru diblokir pada Oktober, dari 36% pada kuartal II. Temuan yang lebih menunjukkan posisi industri: hampir 70% domain yang ditandai AI pada Oktober tidak memiliki peringatan serupa di feed ancaman eksternal yang dirujuk perseroan. Artinya, mayoritas ancaman yang terdeteksi berada di luar jangkauan intelijen ancaman konvensional. Keunggulan deteksi berubah status dari fitur pelengkap menjadi pembeda kompetitif — dan yang bergantung sepenuhnya pada feed pihak ketiga beroperasi dengan titik buta yang lebar. Vektor serangan yang mendominasi bukan pembobolan kunci privat, melainkan persetujuan transaksi yang ditandatangani pengguna sendiri. Bitget Wallet menyimulasikan transaksi untuk menemukan izin tersembunyi sebelum pengguna meneken, pendekatan yang mengonfirmasi bahwa titik lemahnya ada di lapisan otorisasi.
Kasus Juli menjadi ilustrasi konkret: seorang trader kehilangan hampir US$1 juta setelah menyetujui akses token Ethereum yang berbahaya. Investigasi Rapid7 pada Agustus menemukan kampanye phishing yang menyasar 885.000 nomor telepon dan mengarahkan penerimanya ke situs yang menyamar sebagai penyedia dompet kripto. Kombinasi rekayasa sosial berskala besar dan izin tersembunyi berarti kerugian dapat terjadi tanpa kunci privat pernah dicuri. Bagi pasar Indonesia, paparannya bersifat struktural. Pasar ritel domestik sudah menjadi kanal besar — Tokocrypto mencatat nilai transaksi sekitar Rp41,6 triliun sepanjang Januari–September 2026, dengan lebih dari separuh investor berusia 18–30 tahun. Kelompok usia itu paling akrab dengan kanal digital sekaligus paling terpapar model penipuan berbasis penyamaran identitas.
Latar pasar hari ini tidak memberi kelonggaran: IHSG di 5.115, rupiah di Rp18.140 per dolar AS, dan Brent di US$93,02 — kombinasi yang menjaga selera risiko tetap terbatas.
Mengapa Ini Penting
Keamanan aset digital selama ini dijual sebagai soal penyimpanan kunci, padahal risikonya kini berpindah ke izin akses yang diteken pengguna — kerugian yang praktis tak bisa ditarik kembali dan tidak memicu jalur ganti rugi seperti pembobolan kustodian. Pemenangnya adalah dompet dan vendor keamanan dengan mesin deteksi proprietary; yang kalah adalah platform kecil yang memercayakan proteksi pengguna pada feed ancaman publik, yang menurut data perseroan justru melewatkan mayoritas domain berbahaya.
Dampak ke Bisnis
- Penyedia dompet dan bursa aset digital: selisih kemampuan deteksi menjadi daya tarik pengguna. Platform yang infrastruktur proteksinya bergantung pada feed eksternal beroperasi dengan titik buta besar — hampir 70% domain berisiko yang ditandai AI Bitget pada Oktober tidak muncul di feed ancaman yang diperiksa, sehingga pengguna terlambat mendapat peringatan pada saat persetujuan transaksi justru diminta.
- Ekosistem keamanan dan perlindungan aset: karena kerugian lahir dari izin yang ditandatangani sendiri, bukan pembobolan kustodian, permintaan bergeser ke alat pemantauan dan pencabutan izin (approval revocation), serta produk proteksi yang menutup celah di luar tanggungan kustodian — ceruk yang belum banyak diisi pemain lokal.
- Tekanan pengawasan dalam 3–6 bulan ke depan: ketika kerugian tidak lagi berasal dari pembobolan kustodian, fokus regulator bergeser ke tanggung jawab platform atas desain alur persetujuan. Otoritas yang mengawasi aset digital domestik menghadapi pertanyaan bagaimana memperlakukan izin tersembunyi yang lolos dari verifikasi platform, dan sejauh mana kewajiban peringatan dapat ditegakkan pada dompet lintas yurisdiksi.
Yang Perlu Dipantau
- Yang perlu dipantau: rilis metrik kuartal IV dari Bitget Wallet — jika angka 37.000 per pekan bertahan atau naik setelah basis deteksi AI sudah matang, kenaikan itu lebih mencerminkan intensitas serangan ketimbang perbaikan pengawasan.
- Risiko yang perlu dicermati: perilaku dompet pesaing yang tidak menerbitkan metrik serupa — tanpa pembanding lintas platform, pengguna sulit menilai apakah proteksi yang diterima setara, dan standar keamanan industri bergerak tanpa tolok ukur bersama.
- Sinyal penting: varian domain tiruan yang mengikuti musim kampanye dan kanal nomor telepon — pola kampanye Agustus yang menyasar 885.000 nomor menunjukkan penyamaran bergerak mengikuti kalender promosi, bukan serangan acak.
Konteks Indonesia
Jalur kedua berjalan lewat pengawasan dan penegakan. Dompet kripto global dapat melayani pengguna Indonesia tanpa entitas berlisensi di dalam negeri, sementara kerangka pengawasan aset digital domestik berada di ranah Bappebti dan OJK. Perbedaan itu menentukan siapa yang menanggung kerugian ketika persetujuan transaksi diteken di platform lintas yurisdiksi: platform berizin domestik tunduk pada kewajiban pelaporan yang tidak berlaku bagi dompet global, sehingga jalur sengketa bagi pengguna lokal bergantung pada keberadaan entitas hukum di dalam negeri.
Analisis ini dibuat oleh sistem AI Feedberry berdasarkan sumber berita publik dan tidak merupakan saran investasi atau keputusan bisnis. Selalu verifikasi dengan sumber primer.