AI Menurunkan Biaya Penemuan Kerentanan, Industri Kripto Terpecah Menanggapi

Industri kripto sedang terpecah menjadi dua jalur keamanan: perbaikan cepat dan ketidakberubahan yang sangat sederhana.

Penulis: @Bankless
Disusun oleh: AididiaoJP, Foresight News

Kemampuan AI dalam menemukan kerentanan telah cukup kuat sehingga industri kripto harus mengatur ulang strategi keamanannya.

Mari kita lihat jaringan Bitcoin. Pada 22 Oktober, Bitcoin Core menggabungkan perubahan strategi keamanan yang ditujukan khusus untuk kerentanan yang dapat ditemukan hanya dengan memberikan "petunjuk sederhana kepada LLM (model bahasa besar)". Dulu, masalah seperti ini bisa dirahasiakan selama hampir setahun; sekarang, perbaikan dan publikasi harus dipercepat. Penulis perubahan, Antoine Poinsot, mengatakan dengan jelas: LLM "secara signifikan menurunkan ambang batas untuk menemukan jenis masalah tertentu".

Ini bukanlah kasus yang terisolasi. Dua kerentanan kunci PHP yang ditemukan dengan bantuan model AI telah membuat sekitar 1,3 juta host yang terekspos di internet berisiko. Initia bahkan menghentikan seluruh jaringannya: penyerang memanfaatkan apa yang disebut "bug Hari 0" oleh salah satu pendiri, Zon, untuk mencetak koin dan mentransfer sekitar 2,7 juta dolar AS secara lintas rantai. Saat ini belum bisa dipastikan apakah serangan ini menggunakan AI, tetapi mengatakan bahwa AI terlibat dalam beberapa cara mungkin tidak terlalu berlebihan.

Data juga menunjukkan arah yang sama. Database insiden peretasan DefiLlama menunjukkan bahwa hingga 2026, telah terjadi 112 serangan dengan jumlah lebih dari 1 juta dolar; pada tahun 2025, jumlahnya adalah 70. Penelitian kontrak pintar oleh Anthropic menemukan bahwa "pendapatan dari eksploitasi kerentanan" model-model terdepan pada tahun 2025 berlipat ganda sekitar setiap 1,3 bulan.

Apa yang harus dilakukan ketika penyerang memiliki pemburu kerentanan yang tak kenal lelah dan terus berkembang? Industri kripto sedang merumuskan dua jawaban yang sangat berbeda.

Kelompok Agil: Bisa Diubah Kapan Saja, Bisa Dihentikan Kapan Saja

Jawaban pertama adalah tetap fleksibel: dapat dengan cepat memperbaiki dan juga dapat dengan cepat menghentikan.

Starknet adalah contoh yang paling jelas saat ini. Pada hari Kamis, komunitasnya memilih untuk meneliti transformasi menjadi L1 pasca-kuantum yang independen. Salah satu alasannya adalah harapan untuk meningkatkan kriptografi dengan ritme mereka sendiri. StarkWare menyatakan: "Kami tidak bisa bergantung pada Ethereum untuk bergerak cukup cepat untuk menjamin keamanan kami." CEO Eli Ben-Sasson kini memperkirakan waktu kedatangan komputasi kuantum adalah "dua tahun", dan percaya bahwa AI mempercepat garis waktu ini.

Peneliti Ethereum juga waspada. Awal bulan ini, Justin Drake mendesak industri untuk bersiap menghadapi "mode bunker", yaitu memindahkan dana ke alamat yang baru dan lebih aman. Latar belakangnya adalah serangkaian terobosan matematika yang didorong oleh AI.

Namun, fleksibilitas memiliki biaya. Setiap kunci administrator, setiap jalur peningkatan, adalah area serangan dan juga titik ketergantungan. Mengubah aturan itu sendiri juga dapat menciptakan bug baru. Jadi Ethereum minggu ini menarik Glamsterdam dari jaringan pengujian Hoodi karena penelitian menunjukkan bahwa perubahan Gas-nya dapat mengubah perilaku kontrak yang sudah diterapkan.

Kelompok Minimalis: Memperkecil Area Serangan

Jawaban kedua adalah memperkecil target.

Pernyataan pengembang Ethereum, Ross (z0r0z), pada hari Kamis sangat langsung: memindahkan kode infrastruktur digital kunci ke blockchain publik, sehingga semua orang dapat memverifikasi apa yang sebenarnya terjadi; kemudian bergerak menuju tanpa server; bahkan menulis aplikasi ke dalam kode blockchain, sehingga setiap kali dijalankan, hasilnya sama. Ide ini tiba-tiba tidak terlihat begitu aneh.

Tentu saja, ini sedikit ambisius. Namun pada dasarnya ini adalah "uji lepas tangan" dari Ross: jika pembangun menghilang besok, apakah sistem masih dapat berjalan dengan aman? Semakin kecil, semakin pasti, dan semakin mudah untuk diverifikasi kode, semakin sedikit tempat yang dapat diserang, dan semakin sedikit objek yang perlu dipercaya. Ross menambahkan dalam balasannya: "Pengembang harus menghabiskan energi mereka pada kode yang lebih sederhana."

Intuisi yang sama juga muncul dalam kriptografi Ethereum. Vitalik mengatakan bahwa peta jalan Ethereum telah beralih ke "hanya hash", sebagian karena hash dirancang tanpa struktur yang dapat dimanfaatkan oleh AI untuk mempercepat matematika.

Sebaliknya juga jelas. Kode yang terbuka dan tidak dapat diubah juga dapat dibaca oleh penyerang AI; setelah diluncurkan, tidak ada cara untuk memperbaikinya. Jadi minimalisme sebaiknya digunakan ketika kode cukup kecil untuk dapat diperiksa secara menyeluruh.

Pembuktian AI, Membuat "Tidak Dapat Diperbaiki" Tidak Begitu Menakutkan

Sekarang saatnya untuk verifikasi formal. Verifikasi formal adalah menggunakan bukti matematis bahwa kode tidak akan melanggar aturan tertentu.

Secara historis, verifikasi formal sangat mahal. Membangun kernel sistem operasi seL4 hanya memerlukan dua tahun orang, tetapi verifikasinya memerlukan 20 tahun orang. Namun, penelitian baru yang dirilis oleh Anthropic dan Theorem pada hari Kamis menunjukkan bahwa jalan ini semakin murah: menggunakan Claude untuk memverifikasi 239 titik masuk di 123 pustaka sumber terbuka, di bawah asumsi tertentu, tidak peduli apa inputnya, maksimum hingga 64MB, titik masuk ini tidak akan mengalami keruntuhan. Seluruh proses hanya memakan waktu beberapa minggu.

Biaya juga ada. Skala bukti akan meningkat seiring dengan pembengkakan kode. Dalam pekerjaan di atas, satu bukti tipikal sekitar 600.000 baris, yang sesuai dengan program sekitar 18.000 instruksi mesin, mungkin menghabiskan ratusan juta token AI. Dan bukti hanya mencakup atribut yang Anda tentukan, tidak berarti mengesampingkan semua bug.

Namun, perlu dicatat, siapa yang paling diuntungkan: kode yang kecil dan satu tujuan. Ini adalah jenis kode yang ingin diunggah oleh kelompok minimalis. Jika AI terus menurunkan biaya pembuktian, "tidak dapat diperbaiki" tidak akan begitu penting, karena kode semakin tidak memerlukan perbaikan.

Tentu saja, sistem seperti L1 dan rollup yang besar, yang terus berkembang, masih memerlukan fleksibilitas. Hanya saja, dalam paradigma baru AI, "uji lepas tangan" semakin terlihat seperti tolok ukur inti dari strategi keamanan, bukan hanya ideal desentralisasi. Tren ini layak untuk terus diperhatikan.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.