Peringatan Keamanan Web3: Mengapa Audit Sudah Tidak Cukup Lagi

​Hacken baru saja merilis Laporan Keamanan dan Kepatuhan Q2 2026 mereka, dan angkanya menjadi panggilan bangun besar bagi industri. Web3 kehilangan 763,9 juta dolar AS dari total 67 insiden, menjadikannya kuartal terburuk untuk keamanan sejak Q2 2025.
​Berikut rincian datanya dan mengapa keamanan operasional lebih penting dari sebelumnya saat ini.

Infrastruktur ketimbang Smart Contract
​Meskipun kelemahan smart contract masih menjadi vektor serangan paling sering, menyumbang 44 dari 67 insiden, hal itu justru hanya mewakili sekitar 11% dari total kerugian finansial.
​Kerusakan paling besar justru berasal dari kunci, signer, dan infrastruktur yang terkompromi. Kegagalan operasional ini menyumbang 88,3% dari dana yang dicuri, dengan total sekitar 674,5 juta dolar AS.

​Pihak yang Memberi Dampak Terbesar
​Kerusakan sangat terkonsentrasi. Sekitar 75,5% dari total kerugian kuartal tersebut berasal dari hanya dua insiden besar yang dikaitkan dengan aktor ancaman Korea Utara. Yang mengkhawatirkan, 14 protokol yang dilanggar pada kuartal ini sebelumnya sudah melewati audit keamanan tradisional.

​Konsensus Para Ahli
​Seperti yang disoroti oleh pemimpin industri seperti pendiri Cysic, Leo Fan, dan CTO Genius, Samuel Videau, audit kode hanyalah cuplikan dari basis kode tertentu pada waktu tertentu. Audit tidak otomatis melindungi proyek dari:
​Signer dan private key yang terkompromi
​Intrusi pada infrastruktur cloud atau CI/CD
​Rekayasa sosial dan pencurian kredensial
​Serangan terhadap infrastruktur validator di luar rantai (off-chain)

​Kesimpulan
​Keamanan Web3 membutuhkan strategi pertahanan berlapis yang melibatkan pemantauan real-time, program bug bounty, dan otorisasi multi-pihak yang ketat. Karena serangan kontrol akses operasional diprediksi akan terus memimpin kerugian pada paruh kedua 2026, keamanan harus dipandang sebagai proses operasional yang berkelanjutan, bukan sekadar pemeriksaan satu kali.