Coinbase mengungkapkan pada 11 Agu. bahwa jumlah laporan bug diperkirakan mencapai tiga kali lipat dibandingkan tahun lalu, sementara proporsi laporan valid turun dari 14% pada 2024 menjadi 4% selama paruh pertama 2026. Bursa kripto tersebut mengaitkan lonjakan ini dengan meningkatnya penggunaan alat AI di kalangan peneliti keamanan, yang memungkinkan pemindaian kerentanan secara otomatis dan cepat. Peningkatan volume ini menambah beban penyaringan bagi peninjau manusia, sehingga Coinbase mempersempit program bug bounty Web2 pada 29 Juli agar hanya berfokus pada kerentanan tingkat tinggi, kritis, dan ekstrem.
Coinbase Melaporkan Jumlah Pengiriman Bug Naik Tiga Kali Lipat Seiring Meluasnya Penggunaan Alat AI
Coinbase menyatakan dalam pengungkapan keamanan pada 11 Agu. bahwa jumlah laporan yang dikirim melalui HackerOne diperkirakan mencapai tiga kali lipat dibandingkan tahun lalu, setelah meningkat dua kali lipat pada tahun sebelumnya. Perusahaan mengaitkan peningkatan tersebut dengan semakin besarnya penggunaan AI oleh para peneliti, yang memungkinkan pemindaian perangkat lunak serta pembuatan laporan kerentanan secara cepat. Dari laporan HackerOne yang ditutup selama paruh pertama tahun ini, 44% merupakan duplikat, 37% berisi informasi tanpa celah yang dapat dieksploitasi, dan 15% tidak valid. Hanya 4% laporan yang dikirim melalui HackerOne selama paruh pertama tahun ini merupakan laporan bug valid yang memenuhi syarat untuk mendapatkan imbalan, turun dari 14% pada 2024.
Pada 29 Juli, Coinbase mempersempit program bug bounty Web2 agar hanya mencakup kerentanan tingkat tinggi, kritis, dan ekstrem. Kerentanan ekstrem tetap memenuhi syarat untuk mendapatkan imbalan hingga 1 juta dolar AS. HackerOne adalah platform eksternal tempat para peneliti independen mengirimkan laporan kerentanan perangkat lunak kepada perusahaan untuk ditinjau dan berpotensi mendapatkan imbalan. Coinbase menggunakan label Web2 untuk situs web, aplikasi, dan layanan pendukung konvensional. Program Cantina yang terpisah mencakup kerentanan blockchain dan smart contract.
Peneliti Manusia Menemukan Cacat dalam Rekonsiliasi Penarikan Stellar
Peneliti eksternal Joe Almeida dan Anh Nguyen menemukan kelemahan yang melibatkan proses rekonsiliasi penarikan Stellar oleh Coinbase. Mekanisme fee-bump Stellar memungkinkan pihak ketiga membungkus transaksi yang sudah ada dan membayar biaya jaringan yang lebih tinggi tanpa memerlukan tanda tangan baru atau pengelolaan nomor urut. Dalam kondisi tertentu, sistem Coinbase dapat menganggap transaksi asli gagal, bahkan setelah transfer yang dimaksud berhasil secara on-chain. Perbedaan tersebut berpotensi menyebabkan pengeluaran tercatat dua kali secara internal.
Coinbase menghentikan sementara proses yang terdampak, mengonfirmasi perbaikannya, dan memulihkan pemrosesan normal. Dana pelanggan tetap tidak terdampak, dan Coinbase tidak menemukan bukti eksploitasi selain proof of concept dari para peneliti serta pengujian internal. AI secara terpisah menandai cacat terkait yang tingkat keparahannya lebih rendah di sisi deposit. Audit keamanan Bitcoin dengan bantuan AI yang dilakukan secara terpisah menghasilkan 4.962 temuan potensial di 390 repositori selama peninjauan selama 27,5 jam. Sekitar seperlima temuan telah direproduksi secara independen saat laporan tersebut diterbitkan, sehingga konfirmasi manusia tetap diperlukan sebelum temuan lainnya dapat dianggap sebagai kerentanan yang terbukti.
FBI Memperingatkan bahwa AI Mempercepat Phishing Kriminal dan Pencurian Kredensial
Biro Investigasi Federal (FBI) memperingatkan bahwa AI generatif membantu penjahat menghasilkan pesan yang meyakinkan dengan lebih cepat, mengotomatiskan operasi, dan memperluas jumlah target potensial mereka. Analisis pada 10 Agu. terhadap aktivitas Kimsuky yang terkait dengan Korea Utara mengidentifikasi platform AI dan dokumen yang dihasilkan AI di berbagai infrastruktur terkait. Para penyelidik mengamati materi phishing yang menyasar aset virtual, investasi keuangan, dan target di bidang pengembangan perangkat lunak.
Laporan pada 6 Maret tentang layanan phishing Tycoon 2FA menjelaskan teknologi yang mencegat sesi aktif dan menangkap token yang digunakan untuk melewati autentikasi multifaktor. Gangguan terkoordinasi tersebut menyebabkan 330 domain yang terkait dengan operasi itu ditutup.
Perusahaan Keamanan Menghitung 212 Eksploitasi dan Kerugian 1,1 Miliar Dolar AS Selama Paruh Pertama Tahun Ini
Penilaian keamanan on-chain pada 30 Juli mencatat 212 eksploitasi dan kerugian sebesar 1,1 miliar dolar AS selama paruh pertama 2026. Bagi konsumen, AI dapat meningkatkan kecepatan serangan dan membuat pesan phishing lebih meyakinkan, sementara volume laporan bug bounty terutama memengaruhi tim peninjau perusahaan. Tindakan pencegahan individu tetap relevan ketika bursa memperluas peninjauan otomatis dan mempertahankan peneliti khusus. Praktik keamanan aset digital standar mencakup pencadangan dompet yang aman, penggunaan kata sandi yang kuat, dan autentikasi dua faktor. Program Coinbase yang telah direvisi tidak mengubah imbalan Web3, tetapi memusatkan pembayaran bug bounty Web2 publiknya pada celah berdampak tinggi.
FAQ
Berapa persentase laporan bug Coinbase yang valid selama paruh pertama 2026?
Hanya 4% laporan yang dikirim melalui HackerOne selama paruh pertama tahun ini merupakan laporan bug valid yang memenuhi syarat untuk mendapatkan imbalan, turun dari 14% pada 2024.
Apa yang ditemukan peneliti manusia Joe Almeida dan Anh Nguyen di Coinbase?
Mereka menemukan kelemahan dalam proses rekonsiliasi penarikan Stellar oleh Coinbase. Dalam kondisi tertentu, sistem dapat menganggap transaksi asli gagal meskipun transfer yang dimaksud telah berhasil secara on-chain, sehingga berpotensi menyebabkan pengeluaran tercatat dua kali secara internal.
