Pada Kamis, tiga proyek kripto dan DeFi menjadi sasaran eksploitasi dalam satu hari dengan total kerugian lebih dari $11 juta. Payy Network kehilangan $1,8 juta, Duelbits $7 juta, dan Meter.io $2,3 juta. Rangkaian serangan ini menambah deretan insiden peretasan yang terus terjadi di ekosistem kripto dan DeFi.
Payy Network: Bridge Ethereum Terkuras $1,8 Juta
Payy Network menjadi korban pertama. Bridge yang menghubungkan Payy Network—sebuah rollup yang menawarkan layanan penggajian dan treasury on-chain—dengan Ethereum dieksploitasi dan saldo penuhnya terkuras. Investigator on-chain pseudonim, Specter, pertama kali menandai penarikan mencurigakan melalui pesan di grup Telegram. Penyerang yang didanai melalui protokol privasi Railgun menukar $1,8 juta USDC menjadi ETH.
Payy Network kemudian mengonfirmasi eksploitasi tersebut, menghentikan seluruh operasi, dan menyatakan bahwa dana yang hilang adalah “deposit non-kustodial pengguna ke Payy Network/Payy Wallet.” Perusahaan belum mengungkap penyebab kerugian. Dalam pernyataan di X, Payy menyebut kontrak bridge-nya di Ethereum dieksploitasi pada pukul 04.21 UTC dan seluruh saldo terkuras; investigasi masih berlangsung dan semua transaksi Payy Network, termasuk deposit dan penarikan, dijeda.
Duelbits dan Meter.io: Kerugian $7 Juta dan $2,3 Juta
Duelbits. Platform kasino kripto dan taruhan olahraga Duelbits diduga mengalami kompromi kunci privat. Estimasi kerugian awalnya $4,3 juta menurut auditor keamanan blockchain PeckShield, lalu Specter menaikkannya menjadi $4,9 juta dan $5,9 juta setelah mengidentifikasi alamat terdampak di Bitcoin dan Solana. Co-founder Duelbits, Joe, menyebut angka final sekitar $7 juta.
Dalam pernyataannya, Joe mengonfirmasi peretasan sekitar $7 juta dan menyatakan tim masih menyelidiki apa yang terjadi. Duelbits tetap offline sampai ada kejelasan, dana pengguna disebut aman, dan langkah berikutnya adalah menyelesaikan investigasi, mengisi ulang hot wallet, membawa Duelbits kembali online, serta meluncurkan Duelbits 2.0. Proyek ini sebelumnya pernah diretas senilai $4,6 juta pada 2024; saat itu auditor CertiK juga menduga kerugian akibat kompromi kunci privat.
Meter.io. Blockchain EVM Meter.io juga menjadi korban serangan bridge, tetapi kali ini token tanpa jaminan dicetak alih-alih deposit yang ada dikuras. Tim menyebut adanya “cacat validasi blok” dan memberi tahu pengguna bahwa mereka “telah mempertahankan status chain. Metode pemulihan masih akan diputuskan.”
Menurut pernyataan di X, pada 23 September pukul 21.14 UTC seorang penyerang mengeksploitasi cacat validasi blok untuk mencetak MTR dan MTRG tanpa jaminan, menjualnya di DEX, dan menjembatani dana keluar. Mainnet dan bridge dijeda, dan pengguna diminta menghentikan semua aktivitas di Meter. Token senilai laporan $2,3 juta dicetak dari udara tipis sebelum dibuang di bursa terdesentralisasi PancakeSwap. Penjualan itu menjatuhkan harga MTR dan MTRG, masing-masing turun hampir 80% dan 75%. Meter juga pernah diretas senilai $4,4 juta pada 2022 dalam serangan bridge.
Implikasi dan Prospek: Risiko Bridge dan DeFi Masih Tinggi
Rangkaian insiden dalam sehari ini menegaskan bahwa bridge lintas rantai dan protokol DeFi masih menjadi target yang rentan. Ketiga proyek merespons dengan menghentikan sementara operasi atau layanan bridge mereka: Payy Network menjeda semua transaksi, Duelbits tetap offline, dan Meter.io menghentikan mainnet serta bridge. Namun, Payy Network belum mengungkap penyebab kerugian, Duelbits masih menyelidiki kasusnya, dan Meter.io belum memutuskan metode pemulihan.
Duelbits berencana kembali online dan meluncurkan Duelbits 2.0 setelah investigasi selesai. Meter.io menyatakan status chain telah dipertahankan, sementara Payy Network menekankan investigasi masih berjalan. Bagi pengguna dan pelaku pasar, deretan serangan ini menjadi pengingat bahwa keamanan bridge dan manajemen kunci privat tetap menjadi titik lemah utama di ekosistem kripto dan DeFi.
