Kejadian perampokan paling bodoh? Peretas mencetak 1 miliar dolar $DOT, karena "alasan ini" hanya mencuri 230.000 dolar

Kasus serangan cryptocurrency terus bermunculan, tetapi kasus seperti ini “berani mengambil risiko, mendapatkan sedikit uang” memang jarang terjadi. Hari ini (13), sedikit sebelumnya, seorang peretas memanfaatkan celah di jembatan lintas rantai Hyperbridge, dan secara tidak sengaja menciptakan 1 miliar token Polkadot (DOT) di atas Ethereum, dengan nilai nominal mencapai 1,19 miliar dolar AS. Namun saat dia mencoba menjual token tersebut, karena kurangnya likuiditas yang parah, akhirnya hanya mendapatkan sekitar 237.000 dolar AS dalam bentuk Ethereum. Perlu diperjelas bahwa target serangan peretas adalah “smart contract jembatan lintas rantai”, sehingga token asli DOT di mainnet Polkadot tidak terkena dampak. Celah ini disebabkan oleh kontrak EthereumHost Hyperbridge yang gagal memverifikasi keaslian pesan dengan benar sebelum mengirim pesan lintas rantai ke TokenGateway.

Bridged $DOT (@Polkadot) baru saja dieksploitasi di @ethereum.

Kontrol dialihkan ke kontrak penyerang, kemudian 1 miliar $DOT dicetak dan langsung dijual. Harga anjlok dari $1,22 menjadi pecahan kecil sen.https://t.co/ECDT0RaHE9 pic.twitter.com/WUwxjtsNwr

— Onchain Lens (@OnchainLens) 13 April 2026

Jembatan lintas rantai selalu menjadi bagian paling rapuh dalam arsitektur blockchain, karena mereka memegang hak pengelolaan kontrak token. Jika mekanisme verifikasi mengalami celah, peretas dapat dengan mudah mendapatkan kekuasaan untuk mencetak token tanpa batas. Metode serangan: memalsukan pesan, merebut hak pengelolaan, mencetak token tanpa batas Pelacakan di blockchain menunjukkan bahwa peretas mengirimkan pesan palsu melalui dispatchIncoming, dan berhasil mengarahkannya ke TokenGateway.onAccept. Sistem seharusnya memverifikasi keaslian pesan ini berdasarkan status di jaringan Polkadot, tetapi mekanisme verifikasi justru mencatat nilai janji sebagai “nol semua”, yang berarti proses verifikasi sepenuhnya dilewati atau tidak ada sama sekali, sehingga sistem salah menganggap pesan palsu ini sebagai instruksi yang sah. Pesan yang diterima kemudian menjalankan fungsi changeAdmin pada kontrak token jembatan Polkadot, mengalihkan hak administrator ke alamat penyerang. Setelah mendapatkan hak pengelolaan, penyerang mencetak 1 miliar token DOT dalam satu transaksi, lalu melalui Odos Router V3, memasukkan token tersebut ke dalam kolam perdagangan DOT-ETH di Uniswap V4. Setelah melakukan beberapa kali pertukaran dengan harga yang sedikit berbeda, akhirnya penyerang menarik sekitar 108,2 ETH. “Kurangnya likuiditas” malah menjadi pelindung Dalam pasar keuangan, “kurangnya likuiditas” biasanya menjadi masalah utama para whale besar, tetapi ironisnya, kekurangan likuiditas kali ini justru menjadi pelindung tak kasat mata, membatasi keuntungan yang bisa diperoleh peretas secara signifikan. Karena kedalaman likuiditas DOT di Ethereum sangat terbatas, mereka tidak mampu menyerap 1 miliar token yang tiba-tiba muncul ini. Saat peretas buru-buru menjual untuk mencairkan dana, harga jatuh tajam sehingga harga nyata per token bahkan kurang dari satu sen. Jika celah ini terjadi di jembatan yang memiliki likuiditas lebih dalam atau aset yang bernilai lebih tinggi, kerugian yang diakibatkan bisa puluhan kali lipat. Hingga saat penulisan ini, harga DOT sekitar $1,17, turun 5% dalam 24 jam terakhir. Peristiwa ini kembali menunjukkan bahwa meskipun peretas memiliki hak “mencetak token tanpa batas”, keberhasilan dalam arbitrase tetap bergantung pada likuiditas pasar dan kedalaman transaksi. Organisasi keamanan blockchain ternama CertiK kemudian mengonfirmasi kejadian ini, dan menyatakan bahwa peretas memperoleh keuntungan sekitar 237.000 dolar AS melalui pencetakan dan penjualan token jembatan. Hingga saat ini, Hyperbridge belum mengeluarkan pernyataan resmi terkait insiden peretasan ini.

#CertiKInsight 🚨

Kami telah menyaksikan adanya eksploitasi pada kontrak gateway @hyperbridge. https://t.co/h27iDm1JGd

Penyerang menyusup melalui pesan palsu untuk mengubah admin kontrak token Polkadot di Ethereum dan mendapatkan keuntungan sekitar $237K dari pencetakan dan penjualan 1 miliar token.

Tetap… pic.twitter.com/3t2n4uq5hy

— CertiK Alert (@CertiKAlert) 13 April 2026