CEO OpenZeppelin Sebut DeFi Tidak Aman: Model Audit Sudah Mati
Manuel Aráoz, salah satu pendiri OpenZeppelin, mengatakan kepada hadirin minggu lalu bahwa DeFi tidak lagi aman karena AI telah melampaui kemampuan manusia dalam menemukan bug pada smart contract. Perusahaan yang ia dirikan menulis library keamanan yang diimpor secara default oleh sebagian besar ekosistem Ethereum. Ketika CEO OpenZeppelin menyebut DeFi tidak aman, perdebatan soal model audit sudah selesai.
Saya telah menyaksikan laporan audit selama empat tahun di LCX. Yang bagus biasanya padat, terfokus, dan jujur soal ruang lingkupnya. Tapi laporan itu juga beku dalam waktu. Protokol yang diaudit hari Selasa bukan protokol yang berjalan hari Jumat setelah governance mengirimkan perubahan konfigurasi, dependensi memperbarui versi, atau oracle baru terpasang. Poin Aráoz, yang dilaporkan oleh CoinDesk, adalah bahwa sisi penyerang dari asimetri itu baru saja mendapat peningkatan satu tingkat magnitude.
Sementara itu, lebih dari $1,1 miliar telah dikuras dari protokol DeFi dalam dua belas bulan terakhir. Angka itu bukan masalah perburuan bug. Itu adalah masalah desain sistem.
Mengapa pernyataan CEO OpenZeppelin soal DeFi yang tidak aman itu penting
Aráoz bukan orang luar yang bebas mengkritik industri ini. Ia ikut membangun standarnya.
Pola ERC-20, ERC-721, dan AccessControl yang digunakan hampir setiap protokol serius berakar dari library OpenZeppelin. Ketika pendiri tersebut mengatakan model keamanannya sudah rusak, bobotnya jauh berbeda dibanding, katakanlah, utas Twitter sembarang. Framing Manuel Aráoz soal AI hacking superhuman mendapat perhatian karena orang yang mengatakannya sendiri telah menanggung biaya dari model lama itu.
Daftar singkat apa yang sebenarnya diakui dalam pernyataan tersebut:
- Audit titik waktu tidak bisa mengikuti laju agen AI yang terus menemukan jalur serangan baru.
- Insentif ekonomi di sisi penyerang kini berskala seiring kemampuan model, bukan jumlah auditor manusia.
- Bahkan basis kode yang telah diaudit oleh firma terkemuka sekalipun masih merilis bug yang bisa dieksploitasi sepanjang 2025 dan 2026.
Model audit DeFi usang di 2026, bukan 2030
Model audit-berupa-PDF sudah mulai terseok-seok sebelumnya. AI hanya membuat keretakan itu terlihat jelas.
Audit Solidity tradisional berlangsung satu hingga empat minggu tinjauan manual, menghasilkan laporan, dan kontrak retainer berbiaya tetap. Hasilnya adalah sebuah potret sesaat. Kini penyerang memiliki agen yang tak kenal lelah, mampu melakukan fuzzing, memutar ulang kondisi mainnet, dan mencocokkan pola dengan ribuan eksploit masa lalu tanpa jeda istirahat. Itulah asimetri yang digambarkan Aráoz ketika ia menyebut AI kini menjadi superhuman dalam keamanan ofensif.
Contoh nyata terkini: kesalahan konfigurasi DVN LayerZero yang merugikan Kelp DAO sebesar $292 juta bukan merupakan bug Solidity. Itu adalah penyimpangan konfigurasi antara kondisi yang telah diaudit dengan kondisi sistem yang berjalan. Tidak ada audit PDF yang bisa menangkap hal itu pada Jumat sore ketika tim operasional mendorong sebuah perubahan.
Cara paling ringkas untuk menyatakannya: audit memberi tahu bahwa kode kemungkinan besar aman pada hari ditinjau. Bukan berarti sistemnya aman saat ini.
Apa yang benar-benar diubah oleh pemindai kerentanan kontrak pintar berbasis AI
Sisi pertahanan juga bergerak, hanya saja lebih lambat dibanding sisi penyerang. Kesenjangan itulah inti masalahnya.
Pola yang saya lihat bermanfaat dalam penerapan nyata lebih menyerupai "berikan setiap protokol seorang lawan yang bekerja terus-menerus" daripada "gantikan auditor":
- Agen AI yang melakukan fuzzing ulang pada bytecode yang telah digunakan setelah setiap aksi tata kelola, bukan hanya saat penerapan awal.
- Monitor invarian yang memantau kondisi langsung dan memicu pemutus sirkuit ketika kalkulasi menyimpang, bukan saat seseorang baru menyadarinya di Discord.
- Platform bug bounty yang terhubung dengan agen otonom yang mengirimkan dan melakukan triase temuan selama 24 jam penuh, 7 hari seminggu.
Forta, Cantina milik Spearbit, dan Defender milik OpenZeppelin sendiri telah bergerak ke arah ini selama beberapa tahun. Pergeseran yang disinyalkan Aráoz adalah bahwa ini bukan lagi tingkatan premium. Ini adalah standar minimum.
Keamanan berkelanjutan untuk protokol DeFi, bukan pemeriksaan tahunan
Analogi yang terus terlintas di benak saya adalah medis. Audit sebelum listing adalah pemeriksaan fisik. Keamanan berkelanjutan adalah monitor jantung.
Dalam keuangan yang diregulasi, auditor menandatangani sekali setahun, tetapi SIEM, WAF, dan sistem pengawasan perdagangan berjalan setiap detik. DeFi mengadopsi bagian setahun sekali dan melewatkan bagian pemantauan langsung, lalu bertindak seolah terkejut ketika lebih dari satu miliar dolar mengalir keluar. Pelajaran dari dua puluh tahun keamanan cloud adalah bahwa pemantauan mengalahkan audit untuk setiap dolar yang dikeluarkan setelah yang pertama.
Beberapa pergeseran konkret yang saya yakini akan terjadi:
- Firma audit memposisikan ulang diri sebagai vendor pemantauan berkelanjutan dengan SLA, bukan toko pengiriman laporan.
- Penjamin asuransi menentukan harga protokol berdasarkan telemetri keamanan langsung mereka, bukan PDF terakhir mereka.
- Kerangka tata kelola yang mengharuskan pemicu re-audit pada setiap perubahan parameter di atas ambang batas tertentu.
Tidak ada yang eksotis dari semua ini. Web2 sudah menyelesaikannya satu dekade lalu. DeFi hanya memiliki versi yang lebih sulit karena kodenya adalah brankas bank.
Apa yang seharusnya dilakukan protokol pada kuartal ini
Jika Anda menjalankan protokol DeFi dan membaca ini, tugasnya tidak ambigu:
- Berhenti memperlakukan PDF audit sebagai artefak keamanan. Perlakukan sebagai salah satu masukan dalam sebuah pipeline.
- Hubungkan monitor ke invariant yang Anda pedulikan: rasio agunan, deviasi oracle, perubahan peran admin, rasio arus masuk/keluar jembatan.
- Siapkan kill switch yang benar-benar sudah Anda uji. Fungsi jeda yang belum pernah diaktifkan dalam latihan hanyalah hiasan.
- Jalankan fuzzing berbasis AI terhadap kontrak yang sudah di-deploy secara berkala. Bukan sekali. Selamanya.
Perusahaan yang mampu beradaptasi akan lebih menyerupai Datadog daripada auditor Big Four. Yang tidak mampu akan menjadi berita utama kerugian $200 juta berikutnya.
Bacaan lebih dalam dari komentar Aráoz adalah bahwa industri keamanan akhirnya mengucapkan hal yang selama ini tak terkatakan: tumpukan penyerang telah berkembang lebih cepat daripada tumpukan pembela selama dua tahun, dan celahnya kini sudah cukup lebar sehingga orang-orang yang membangun tumpukan pembela itu sendiri yang mengakuinya.