Infrastructure

Bagaimana Jembatan Stablecoin Sebenarnya Gagal (Dan Apa yang Diperbaiki 2025)

By Anurag Verma•April 22, 2026

Ketika orang membicarakan peretasan bridge, model berpikirnya biasanya adalah eksploitasi cerdik pada smart contract. Ronin, Wormhole, Nomad, Multichain. Lebih dari $2,5 miliar terkuras dalam insiden-insiden besar tersebut. Respons industri sudah bisa ditebak: lebih banyak audit, lebih banyak verifikasi formal, lebih banyak bug bounty.

Framing itu melewatkan cerita sesungguhnya. Sebagian besar bridge stablecoin tidak gagal karena bug Solidity. Mereka gagal karena arsitekturnya sendiri yang salah. Dan sepanjang 2025, arsitektur itu digantikan.

Dosa asal lock-and-mint

Pola bridge yang dominan selama bertahun-tahun sangat sederhana: kunci USDC di chain A, cetak representasi terbungkus (USDC.e, axlUSDC, whUSDC, pilih prefiks Anda) di chain B. Token terbungkus itu adalah IOU yang didukung oleh agunan yang dikunci.

Hal ini menciptakan empat mode kegagalan, dan setiap peretasan besar menyentuh setidaknya salah satunya:

1. Masalah honeypot. Setiap dolar stablecoin terbungkus yang beredar berarti ada satu dolar yang tersimpan dalam kontrak bridge. Bridge dengan TVL $500 juta adalah hadiah senilai $500 juta. Keamanan meningkat secara linear seiring TVL, tetapi insentif untuk menyerang juga meningkat dengan cara yang sama. Anda sedang berlomba melawan musuh dengan anggaran tak terbatas untuk zero-day.

2. Kompromi validator set. Sebagian besar bridge mendelegasikan otoritas mint ke multisig atau validator set proof-of-authority. Ronin memiliki sembilan validator, lima di antaranya kena phishing. Harmony hanya dua kunci. Kriptografinya tidak bermasalah. Lapisan manusianya yang bermasalah.

3. Celah verifikasi pesan. Eksploitasi Nomad tidak canggih. Inisialisasi yang buruk membuat setiap pesan terlihat sudah disetujui sebelumnya. Siapa pun yang bisa copy-paste bisa menguras isinya. Bridge itu secara teknis berjalan sesuai kode yang ditulis.

4. Likuiditas yang terfragmentasi dan keterlambatan oracle. Bahkan ketika tidak ada yang diretas, stablecoin terbungkus menyimpang dari patokannya saat kondisi stres. USDC.e di Avalanche diperdagangkan di $0,87 selama depegging Maret 2023 karena arbitrase dihalangi oleh jembatan itu sendiri. Jembatan tersebut menjadi oraclenya sendiri, dan oracle itu justru gagal tepat ketika paling dibutuhkan.

Apa sebenarnya aset terbungkus itu

Inilah bagian yang terlalu lama diakui oleh industri: stablecoin terbungkus bukanlah aset yang sama. Itu adalah instrumen kredit yang diterbitkan jembatan, berdenominasi dalam stablecoin asli. USDC di Ethereum adalah kewajiban Circle. USDC.e di Avalanche adalah kewajiban jembatan Avalanche yang didukung oleh kewajiban Circle.

Anda telah menambahkan risiko pihak lawan, risiko kontrak pintar, dan risiko validator di atas aset yang seluruh proposisi nilainya adalah bebas risiko. Untuk infrastruktur pembayaran, itu tidak dapat diterima.

Pergeseran 2025: penerbitan asli di mana-mana

Solusinya bukan jembatan yang lebih baik. Melainkan menghilangkan kebutuhan untuk menjembatani stablecoin sama sekali.

CCTP Circle (Cross-Chain Transfer Protocol) bergerak dari sekadar keingintahuan menjadi jalur default pada 2024, dan pada pertengahan 2025 ia menjadi jalur dominan untuk pergerakan USDC. Mekanismenya adalah burn-and-mint: USDC di rantai A dibakar, Circle membuktikan pembakaran tersebut, USDC di rantai B dicetak secara asli oleh Circle. Tidak ada token terbungkus. Tidak ada kumpulan agunan yang dikunci. Tidak ada honeypot jembatan.

Tether mengikuti dengan model serupa untuk USDT melalui penerapan asli di 14+ rantai. PYUSD milik PayPal diluncurkan secara asli di Solana alih-alih dijembatani dari Ethereum. Paxos melakukan hal yang sama untuk USDG di seluruh penerapannya.

Polanya konsisten: penerbit mengontrol pencetakan dan pembakaran di semua rantai, dan pergerakan antar rantai diselesaikan melalui lapisan attestasi penerbit alih-alih jembatan pihak ketiga.

Apa yang sebenarnya berubah

Permukaan serangan menyusut. Tidak ada kontrak senilai ratusan juta dolar yang menunggu untuk dikuras. Penyerang yang berhasil mengkompromisi CCTP tetap membutuhkan tanda tangan attestasi Circle, yang tersimpan di infrastruktur Circle, bukan di on-chain.

Integritas peg bertahan di bawah tekanan. USDC native di setiap chain adalah aset yang sama, dapat ditukar 1:1 dengan Circle. Tidak ada skenario depeg yang dipicu oleh ketidakseimbangan bridge.

Likuiditas bersatu. Agregator DEX dan market maker berhenti mempertahankan enam varian USDC yang berbeda dengan order book yang terfragmentasi. Satu aset, likuiditas lebih dalam, spread lebih ketat.

Bridge serbaguna diposisikan ulang. LayerZero, Wormhole, Axelar, Hyperlane: proyek-proyek ini tidak akan mati, tetapi mereka beralih dari bisnis transfer stablecoin dan berfokus pada arbitrary message passing, perpindahan NFT, dan bridging aset-aset long-tail di mana native issuance tidak tersedia.

Yang masih belum beres

Native issuance bukan solusi yang sempurna. Beberapa masalah nyata masih tersisa.

Latensi penyelesaian untuk CCTP masih 13-20 menit di Ethereum mainnet karena persyaratan finality. Untuk trading, itu adalah waktu yang sangat lama. Sistem berbasis intent (Across, CoW, Everclear) kini mendahuluinya dengan menyediakan likuiditas di depan dan menyelesaikan transaksi melalui CCTP di belakang layar, tetapi hal itu memperkenalkan kembali risiko counterparty.

Stablecoin yang lebih kecil masih bergantung pada bridge. Jika Anda memegang stablecoin algoritmik atau regional tertentu, Anda masih berada di wilayah lock-and-mint.

Dan sentralisasi adalah trade-off yang perlu diakui secara jujur. Circle dapat membekukan USDC di chain mana pun. Model burn-and-mint membuat kekuatan itu semakin mutlak, bukan berkurang. Hal ini dapat diterima untuk stablecoin fiat yang diregulasi. Namun akan menjadi bencana bagi sesuatu yang berusaha menjadi uang yang tahan sensor.

Pelajaran arsitektur

Poin yang lebih luas adalah bahwa keamanan kriptografis tidak sama dengan keamanan sistem. Anda bisa memiliki kontrak bridge yang telah diaudit sempurna dan diverifikasi secara formal, namun tetap kehilangan segalanya karena desain ekonominya mengasumsikan kepercayaan di tempat yang tidak ada kepercayaan sama sekali.

Bridge yang bertahan melakukannya dengan mempersempit cakupannya. Stablecoin yang berhasil berkembang melakukannya dengan menolak untuk dijembatani sama sekali. Keduanya merupakan variasi dari wawasan yang sama: sistem yang paling aman adalah sistem dengan lebih sedikit asumsi kepercayaan, bukan sistem dengan kriptografi yang lebih canggih untuk mengkompensasi asumsi yang buruk.

Pertanyaan desain berikutnya yang layak dicermati adalah apa yang terjadi ketika pola ini meluas melampaui stablecoin. Penerbitan native untuk surat utang negara yang ditokenisasi sudah hadir. Ekuitas yang ditokenisasi adalah langkah berikutnya. Pada titik tertentu, konsep bridge aset serba guna mulai terlihat seperti teknologi transisional yang kita bangun karena kita belum menemukan abstraksi yang tepat.