Eksploit Jembatan Ethereum Verus: Bug $11,58 Juta yang Sama
Pada 18 Mei 2026, seseorang menguras jembatan Verus-Ethereum sebesar $11,58 juta. Berdasarkan laporan CoinDesk, ini adalah peretasan jembatan kedelapan sepanjang tahun itu. Eksploitasi jembatan Verus Ethereum tidak melibatkan kelas serangan baru yang eksotis. Ini adalah kegagalan yang sama yang telah kita saksikan menghancurkan jembatan-jembatan sejak 2021: kontrak melepas dana di satu rantai tanpa memverifikasi dengan benar apa yang sebenarnya terjadi di rantai lainnya.
Fungsi yang rentan kali ini punya nama. checkCCEValues. Itulah rutinitas yang seharusnya mengonfirmasi nilai ekspor lintas-rantai sesuai dengan realita sebelum pencetakan atau pelepasan di sisi Ethereum. Fungsi itu tidak menjalankan tugasnya, dan penyerang pun melenggang pergi.
Saya telah menghabiskan empat tahun membangun infrastruktur yang berdekatan dengan jembatan dalam konteks yang diatur, dan bagian yang menyedihkan adalah betapa prediktabelnya semua ini. Kita terus mengganti nama luka yang sama.
Eksploitasi jembatan Verus Ethereum adalah kegagalan validasi sumber
Tanggalkan semua branding-nya dan setiap jembatan melakukan satu hal. Ia mengamati suatu peristiwa di rantai A (setoran, penguncian, ekspor) dan menghasilkan tindakan yang bersesuaian di rantai B (pencetakan, pembukaan kunci, pelepasan). Seluruh model keamanannya runtuh pada satu pertanyaan: apakah rantai B benar-benar memercayai apa yang dikatakan rantai A kepadanya, dan apakah ia sudah memeriksa?
Ketika validasi yang mengonfirmasi jumlah di sisi sumber salah, jawabannya menjadi "tidak." Penyerang memalsukan atau menggelembungkan nilai ekspor yang diklaim, kontrak tujuan mempercayainya, dan token yang tidak pernah didukung pun dicetak atau dibebaskan. The Block melaporkan kerugian sekitar $11,58 juta, dikuras melalui celah akuntansi semacam ini dalam pemeriksaan ekspor lintas-rantai.
Inilah validasi jumlah sumber dalam sebuah jembatan, dan itu adalah fungsi paling krusial dalam keseluruhan sistem. Salah satu perbandingan saja dan jembatan itu berubah menjadi mesin pencetak uang gratis.
checkCCEValues hanyalah nama terbaru dari kerentanan lama
Kerentanan checkCCEValues secara struktural identik dengan bug-bug yang sudah menelan kerugian miliaran bagi industri. Namanya berganti. Mekanismenya tidak.
- Wormhole, 2022: celah verifikasi tanda tangan memungkinkan penyerang mencetak 120.000 wrapped ETH yang tidak pernah disetor.
- Nomad, 2022: inisialisasi merkle root yang gagal membuat semua pesan tervalidasi sebagai benar, dan jembatan tersebut disalin-tempel habis-habisan oleh banyak orang.
- Multichain, 2023: kunci dan asumsi kepercayaan yang tidak bisa diverifikasi oleh siapa pun dari luar.
Setiap insiden tersebut, pada intinya, adalah rantai tujuan yang melepaskan nilai tanpa bukti yang valid dari peristiwa sumber. checkCCEValues adalah ejaan tahun 2026 dari kata yang sama.
Menurut saya, industri terus memperlakukan ini sebagai kesalahan rekayasa individual padahal sebenarnya ini adalah kegagalan kategori. Anda tidak bisa memperbaiki sebuah kategori dengan mengaudit satu fungsi lebih ketat.
Tornado Cash mendanai penyerang, yang mengungkapkan niat
Dompet penyerang didanai melalui Tornado Cash sebelum eksploit dilakukan. Detail itu kurang penting untuk atribusi dibandingkan apa yang dikatakannya tentang persiapan. Ini bukan whitehat yang sedang mengutak-atik kontrak dan terkejut dengan hasilnya. Pola penyerang yang didanai Tornado Cash adalah tanda tangan seseorang yang membangun perlindungan operasional berhari-hari sebelumnya dan sudah mengantisipasi bahwa dana tersebut perlu dicuci saat keluar.
Itulah bagian yang diremehkan para defender. Pada saat transaksi eksploit mendarat, jalur keluar sudah dibangun. Pelacakan pasca-kejadian membantu jaksa penuntut, tetapi hampir tidak berguna bagi protokol yang baru saja kehilangan delapan angka.
Kegagalan keamanan bridge kini menjadi pajak bulanan
Lihat dari gambaran besar dan peretasan Verus hanyalah satu baris, bukan anomali. Menurut data PeckShield yang dikutip oleh Bitcoin.com, eksploit crypto bridge berjumlah sekitar $328 juta hanya di bulan Mei 2026. Delapan insiden bridge dalam kurang dari lima bulan tahun ini.
Pasar secara diam-diam telah memperhitungkan ini sebagai biaya bisnis lintas-chain. Itu adalah pelajaran yang salah. Kerugian bulanan sembilan digit yang berulang bukan volatilitas, melainkan cacat struktural yang menolak dikonfrontasi oleh ruang desain.
Bagi siapa pun yang memindahkan nilai nyata, kesimpulannya tidak nyaman: sebagian besar jembatan adalah asumsi kepercayaan yang memakai kostum matematika. Saya pernah berargumen sebelumnya, dalam How Stablecoin Bridges Actually Fail, bahwa jembatan yang paling aman sering kali adalah yang mengakui betapa sedikitnya yang sebenarnya ia verifikasi.
Seperti apa pemeriksaan jembatan yang benar-benar dapat dipertahankan
Jika Anda sedang membangun atau mengaudit sebuah jembatan, validasi jumlah sumber adalah tempat Anda harus mencurahkan porsi kecurigaan yang tidak proporsional. Beberapa hal yang saya anggap tidak bisa ditawar:
- Kontrak tujuan harus memverifikasi bukti kriptografis dari peristiwa sumber, bukan kata-kata dari relayer. Bukti light-client atau zk dibandingkan attestasi multisig, di mana pun anggaran latensi memungkinkan.
- Pemeriksaan jumlah harus menyeluruh di setiap jalur. Bug kelas
checkCCEValuesbiasanya tersembunyi di cabang yang dilewati oleh beberapa input. Fuzz komparasinya, jangan sekadar dilihat sekilas. - Batas laju dan pemutus sirkuit per aset, agar nilai yang dipalsukan tidak bisa menguras seluruh cadangan dalam satu transaksi. Batas yang otomatis berhenti pada, katakanlah, 5% dari TVL per jam akan melemahkan sebagian besar insiden 2026.
- Pemantauan invarian independen yang mengawasi total yang dicetak versus total yang dikunci secara real time dan berhenti saat ada divergensi.
Tidak ada yang baru dari itu semua. Tumpukan audit untuk menangkap ini sudah ada, yang saya gali dalam tulisan tentang tumpukan audit. Masalahnya adalah jembatan-jembatan terus mengirimkan validasi sebagai renungan terakhir, bukan sebagai produk utamanya.
Peretasan jembatan berikutnya di 2026 sudah sedang ditulis. Nama fungsinya akan berbeda dengan akar penyebab yang sama, dan kita akan pura-pura terkejut lagi. Seharusnya tidak.