Eksploitasi Arkadiko Finance: Bagaimana Serangan Tata Kelola DAO Menguras $1.09M?

Eksploitasi Arkadiko Finance pada 22 Oktober 2026, mengekspos kelemahan serius dalam tata kelola terdesentralisasi setelah seorang penyerang memanipulasi sebuah suara DAO untuk menguasai fungsi-fungsi kritis protokol.

Insiden itu mengakibatkan kerugian sekitar $1,09 juta, pencurian agunan stSTX dan sBTC, serta penurunan tajam dalam nilai stablecoin USDA. Tidak seperti peretasan kontrak pintar konvensional, penyerang menggunakan proses tata kelola sah Arkadiko untuk mengotorisasi kode jahat.

Kami akan memeriksa bagaimana serangan itu terjadi, mengapa langkah-langkah perlindungan yang ada gagal, dan apa arti insiden itu bagi keamanan dan pemulihan DeFi.

Poin Utama

• Eksploitasi Arkadiko Finance terjadi pada 22 Oktober 2026, ketika seorang penyerang menggunakan Proposal 12 untuk mengotorisasi kontrak jahat dan menarik sekitar $1,09 juta dalam aset.
• Penyerang mengendalikan 4,57 juta suara tata kelola DIKO, menarik agunan stSTX dan sBTC, serta mencetak sekitar 1,5 miliar token USDA yang tidak didukung, memicu depeg stablecoin.
• Arkadiko kemudian menonaktifkan kontrak jahat, mengisi kembali agunan vault yang terpengaruh, dan mengembalikan operasi vault yang sah, tetapi langkah-langkah ini tidak menghasilkan pemulihan keuangan penuh atau mengembalikan nilai peg USDA.

Apa yang Terjadi dalam Eksploitasi Arkadiko Finance?

(sumber gambar: bitquery.com)

Peretasan crypto Arkadiko adalah pengambilalihan tata kelola yang menargetkan Arkadiko Finance, sebuah protokol pinjaman terdesentralisasi dan stablecoin yang beroperasi di Stacks, sebuah jaringan blockchain yang terhubung dengan Bitcoin.

Arkadiko memungkinkan pengguna untuk menyetor cryptocurrency ke dalam vault yang dijaminkan dan meminjam USDA, stablecoin yang dipatok dolar. Token DIKO-nya memberikan hak tata kelola, memungkinkan pemegang untuk menyetujui proposal yang mengubah operasi protokol.

Pada 22 Oktober, seorang penyerang mengeksploitasi sistem pengambilan keputusan ini dengan meloloskan Proposal 12, yang memperkenalkan kontrak operasi vault yang jahat. Kontrak yang disetujui mengandung fungsi-fungsi yang mampu memindahkan agunan dan mencetak USDA tanpa otorisasi penelepon yang tepat.

Investigasi blockchain oleh Bitquery dan BlockintAI mengidentifikasi insiden tersebut sebagai serangan tata kelola daripada kompromi konsensus blockchain Stacks. Penyerang tidak perlu mencuri kunci pribadi seorang administrator. Sebaliknya, mekanisme tata kelola itu sendiri memberikan kontrak jahat wewenang atas operasi protokol yang sensitif.

Bagaimana Serangan Tata Kelola Arkadiko Bekerja?

Eksploitasi tata kelola Arkadiko berkembang selama beberapa hari, dimulai dengan proposal peningkatan protokol yang tampaknya sah dan diakhiri dengan ekstraksi agunan yang cepat.

1. Proposal Jahat Diajukan

Pada 17 Oktober 2026, dompet yang dikendalikan penyerang mengajukan Proposal 12, berjudul "AIP 32 - Memperbarui Operasi Vault untuk Distribusi Hadiah." Proposal tersebut tampak menggambarkan perbaikan rutin untuk distribusi hadiah.

Namun, kontrak yang menyertainya, bernama arkadiko-vaults-operations-v2-1, memperkenalkan fungsi-fungsi yang dapat memindahkan agunan vault dan menciptakan USDA tanpa pembatasan akses yang memadai. Proposal tersebut berusaha untuk mendaftarkan kontrak itu sebagai komponen operasi vault yang sah Arkadiko.

2. Penyerang Memperoleh Kekuasaan Suara DIKO

Aturan tata kelola Arkadiko mengharuskan adanya partisipasi DIKO yang memadai untuk menyetujui suatu proposal. Menurut investigasi on-chain, penyerang mengumpulkan sekitar 4.573.197 DIKO, termasuk sekitar 3,39 juta DIKO yang dibeli tepat sebelum pemungutan suara.

Bitquery memperkirakan bahwa pembelian token suara menghabiskan biaya sekitar $51.000. Penyerang memberikan suara pada 22 Oktober. Tidak ada suara lawan yang dicatat, memungkinkan proposal itu memenuhi syarat kondisi persetujuan yang diperlukan.

3. Proposal 12 Memberikan Kontrol Vault

Sekitar 16:04 UTC pada 22 Oktober, proposal itu dieksekusi. Proses tata kelola mendaftarkan kontrak jahat sebagai komponen operasi vault yang sah.

Yang penting, sistem tersebut tidak menerapkan periode tunggu terpisah antara eksekusi tata kelola yang berhasil dan kontrak yang menerima wewenang barunya. Ini berarti penyerang dapat segera menggunakan fungsi-fungsi yang disetujui melalui suara DAO.

4. Penyerang Menarik Agunan dan Mencetak USDA

Dalam hitungan menit setelah dieksekusi, penyerang menggunakan kontrak jahat untuk menarik agunan dan mencetak USDA yang tidak didukung. Investigasi on-chain mengidentifikasi penarikan sekitar 2,07 juta stSTX dan 1,65 sBTC dari kolam vault.

Penyerang juga mencetak sekitar 1,5 miliar USDA melalui penerbitan yang tidak sah. Sebagian dari token yang baru dibuat itu ditukarkan dengan aset lain, mengekstrak nilai tambahan dari kolam likuiditas Arkadiko.

5. Aset yang Dicuri Dipindahkan Melalui Jaringan

Setelah eksploitasi, penyerang mengonversi dan mentransfer aset melalui beberapa jaringan blockchain. Bitquery melacak transfer terkait yang melibatkan STX, Bitcoin, USDCx, Ethereum, dan Tornado Cash.

Investigasi tersebut mengidentifikasi sekitar 4,86 BTC yang dipindahkan ke Bitcoin dan sekitar 213,3 ETH yang kemudian disetorkan ke Tornado Cash. Transaksi-transaksi ini menggambarkan bagaimana transfer lintas rantai dan konversi aset dapat mempersulit upaya untuk melacak dan memulihkan cryptocurrency yang dicuri.

Berapa Banyak yang Hilang dalam Peretasan Arkadiko?

Bitquery memperkirakan bahwa eksploitasi Arkadiko Finance menyebabkan kerugian sekitar $1,09 juta, diukur berdasarkan valuasi aset sekitar insiden tersebut. Kerugian yang diperkirakan tersebar di antara penarikan agunan dan transaksi kolam likuiditas.

Penyerang juga mencetak sekitar 1,5 miliar USDA, tetapi angka ini seharusnya tidak ditafsirkan sebagai $1,5 miliar dalam dana yang dicuri. Sebagian besar pasokan USDA yang tidak sah kemudian dibakar sebelum bisa beredar.

Perhitungan kerugian ekonomi malah mencakup jaminan sebenarnya yang diambil dan aset yang diekstrak melalui swap. Perkiraan yang lebih luas sebesar $1,16 juta yang muncul dalam beberapa penyelidikan mencakup insiden StackSwap terkait, yang harus dibedakan dari kerugian langsung Arkadiko.

Mengapa USDA Kehilangan Peg Dollar-nya?

USDA kehilangan peg dollarnya karena eksploitasi merusak baik jaminan yang mendukungnya maupun kepercayaan dalam mekanisme penebusannya. USDA dirancang untuk mempertahankan nilai mendekati $1 melalui pinjaman terjamin dan insentif penebusan.

Dalam kondisi normal, pengguna dapat menukar USDA melalui mekanisme penebusan protokol untuk nilai jaminan, membantu memperbaiki deviasi pasar. Serangan tata kelola mengganggu hubungan itu dengan dua cara.

Pertama, penyerang menghapus jaminan substansial dari sistem vault. Kedua, penerbitan USDA yang tidak sah meningkatkan jumlah token yang berpotensi bersaing untuk likuiditas yang tersedia. Penyerang menjual sebagian dari USDA yang baru dicetak, menambah tekanan jual lebih lanjut.

Bitquery melaporkan bahwa beberapa penjualan USDA terkait penyerang terjadi pada sekitar $0,13 per token selama insiden tersebut. Meskipun Arkadiko kemudian membakar lebih dari 99% dari penerbitan yang tidak sah, membakar token tidak secara otomatis mengembalikan jaminan yang dicuri atau memulihkan fungsi penebusan normal.

Oleh karena itu, kejatuhan harga USDA mencerminkan krisis kepercayaan dan jaminan yang mendasari, bukan hanya volatilitas cryptocurrency yang biasa.

Rencana Pemulihan Arkadiko Finance dan Pemulihan Kontrol Vault

(sumber gambar: daemontechnologies.co)

Tanggapan awal Arkadiko berfokus pada menghentikan aktivitas tidak sah lebih lanjut dan mengatasi kekurangan jaminan. Setelah eksploitasi, tim melaporkan menonaktifkan kontrak jahat, menangguhkan tata kelola, dan menghentikan penebusan serta likuidasi.

Protokol juga melaporkan telah menghubungi bursa tentang dana yang mungkin dicuri dan meminta bantuan penegak hukum.

Pengisian Ulang Jaminan dan Akses Vault

Dalam pembaruan 25 Oktober, Arkadiko menyatakan bahwa jaminan tambahan telah disetorkan ke kontrak vault yang terkena dampak. Menurut pembaruan tersebut, vault memiliki jaminan yang cukup untuk penarikan, dan pengguna dapat membayar utang yang belum dibayar.

Namun, penebusan USDA tetap terhenti, dan tim melaporkan perdagangan USDA mendekati $0,30 pada saat itu. Perbedaan ini penting karena pengisian ulang jaminan vault menggunakan sumber daya protokol tidak berarti penyerang mengembalikan aset yang dicuri.

Proposal 14 Memulihkan Operasi Vault yang Sah

Pada 27 Oktober 2026, tata kelola Arkadiko melaksanakan Proposal 14, berjudul "AIP 32.2 - Memulihkan Operasi Vault." Proposal tersebut memulihkan arkadiko-vaults-operations-v1-3 kontrak sebagai komponen operasi vault yang berwenang.

Keputusan tata kelola ini membalikkan pendaftaran kontrak jahat yang diperkenalkan melalui Proposal 12. Namun, memulihkan kontrol kontrak tidak secara independen membuktikan bahwa USDA telah mendapatkan kembali pegnya atau bahwa setiap peserta yang terkena dampak telah menerima kompensasi.

Hingga 3 November, informasi yang ditinjau publik tidak membuktikan pemulihan lengkap dari aset yang dicuri atau normalisasi penuh penebusan USDA.

Bisakah Modul Keamanan Arkadiko Menutupi Kerugian?

Dokumentasi Arkadiko menggambarkan Modul Keamanan yang dimaksudkan untuk memberikan perlindungan terbatas terhadap utang buruk protokol. Dalam desain yang terdokumentasi, hingga 30% token DIKO yang dipertaruhkan dalam modul dapat digunakan untuk menutupi kerugian yang memenuhi syarat melalui tindakan yang disetujui oleh tata kelola.

Namun, keberadaan mekanisme ini tidak menjamin kompensasi. Apakah mekanisme itu dapat diaktifkan, berapa banyak nilai yang dapat diberikan, dan apakah tata kelola akan menyetujui penggunaannya untuk insiden ini memerlukan konfirmasi terpisah.

Bagaimana Eksploitasi Mempengaruhi TVL Arkadiko dan Ekosistem Stacks?

Serangan tersebut menyebabkan pengurangan dramatis dalam total nilai terkunci Arkadiko, atau TVL, yang mengukur aset yang dipegang dalam kontrak pintar protokol DeFi. Menurut data historis DefiLlama, TVL Arkadiko menurun dari sekitar $1,43 juta pada 22 Oktober menjadi $141.585 pada 23 Oktober, mewakili penurunan sekitar 90%.

Pada 25 Oktober, nilai yang dilacak telah jatuh menjadi sekitar $131.714. Meskipun pengisian ulang jaminan berikutnya meningkatkan TVL yang dilaporkan, perubahan tersebut saja tidak menunjukkan pemulihan penuh dari kepercayaan pengguna atau fungsionalitas protokol.

Koneksi Antara Arkadiko dan StackSwap

Penyelidik juga mengidentifikasi serangan tata kelola terkait terhadap StackSwap, pertukaran terdesentralisasi lain yang beroperasi di Stacks. Insiden StackSwap terjadi lebih awal, dengan dompet yang terhubung ke penyerang menggunakan proposal peningkatan yang menipu untuk mendapatkan kontrol atas operasi kumpulan likuiditas.

Bitquery memperkirakan sekitar $70.500 dalam kerugian gabungan dari dua pengambilalihan tata kelola StackSwap. Salah satu pengambilalihan terkait melalui pendanaan dompet dan transfer aset ke serangan Arkadiko berikutnya.

Penyelidik tidak menetapkan bahwa setiap dompet yang terlibat dalam insiden StackSwap yang terpisah dimiliki oleh penyerang yang sama. Insiden ini mengungkapkan kelemahan dalam sistem tata kelola aplikasi individual daripada menunjukkan kompromi jaringan Stacks yang mendasarinya.

Apa yang Diungkapkan Eksploitasi Arkadiko Tentang Keamanan Tata Kelola DAO?

Eksploitasi Arkadiko Finance menunjukkan bahwa pemungutan suara terdesentralisasi tidak secara otomatis menjamin pengambilan keputusan yang aman. Sebuah proposal tata kelola dapat memenuhi persyaratan pemungutan suara teknis sambil mengizinkan perilaku kontrak pintar yang merugikan. Beberapa kelemahan berkontribusi pada insiden ini:

• Kekuatan pemungutan suara yang terkonsentrasi: Seorang penyerang memperoleh cukup DIKO untuk melewati proposal yang penting tanpa oposisi yang berarti.
• Partisipasi pemungutan suara yang terbatas: Tidak ada suara penentang yang menantang Proposal 12 sebelum pelaksanaannya.
• Pengaman kontrak yang tidak memadai: Kontrak yang disetujui mengandung fungsi yang kekurangan otorisasi pemanggil yang tepat.
• Tidak ada penundaan pelaksanaan terpisah: Penyerang dapat menggunakan kontrak yang baru disetujui segera setelah pelaksanaan proposal.
• Tinjauan tata kelola yang lemah: Sebuah proposal yang disajikan sebagai pembaruan rutin memperkenalkan perubahan yang sangat sensitif terhadap manajemen aset dan izin minting.

Untuk protokol DeFi, kemungkinan langkah pengamanan termasuk snapshot kekuatan suara historis, timelock, tinjauan proposal independen, izin kontrak yang dibatasi, dan pemantauan tata kelola yang aktif.

Kontrol ini mengurangi peluang serangan tertentu tetapi tidak dapat menghilangkan setiap kerentanan yang mungkin. Bagi pengguna, menilai keamanan proyek DeFi juga berarti mengevaluasi konsentrasi tata kelola, prosedur pembaruan, kondisi likuiditas, dan kemampuan respons insiden daripada hanya mengandalkan audit kontrak pintar.

Kesimpulan

Eksploitasi Arkadiko Finance menggambarkan bagaimana sistem suara DAO yang sah dapat menjadi vektor serangan ketika otoritas tata kelola tidak cukup dibatasi. Insiden 22 Oktober menyebabkan kerugian sekitar $1,09 juta, mengganggu peg dolar USDA, dan mengungkap kelemahan dalam otorisasi kontrak dan partisipasi tata kelola.

Tindakan lanjutan Arkadiko memulihkan kontrol vault yang sah dan mengisi kembali kolateral yang terkena dampak, tetapi pemulihan kontrak dan pemulihan keuangan merupakan hasil yang terpisah.

Sebelum berinteraksi dengan Arkadiko atau protokol DeFi serupa, pengguna harus memverifikasi ketersediaan penebusan saat ini, likuiditas stablecoin, perlindungan tata kelola, dan pengumuman pemulihan resmi.

Pembaca yang tertarik untuk memantau pasar cryptocurrency dapat menjelajahi Bitrue Exchange, sementara pembaruan keamanan blockchain tambahan dan sumber daya pendidikan tersedia melalui Blog Bitrue.

FAQ

Apa yang menyebabkan eksploitasi Arkadiko Finance?

Eksploitasi Arkadiko Finance disebabkan oleh seorang penyerang yang menggunakan tata kelola DAO untuk mengotorisasi kontrak operasi vault yang berbahaya. Proposal 12 lolos dengan suara DIKO yang dikuasai penyerang dan memberikan akses kontrak ke fungsi manajemen kolateral dan minting USDA.

Berapa banyak cryptocurrency yang dicuri dari Arkadiko?

Bitquery memperkirakan bahwa sekitar $1,09 juta dalam aset hilang selama insiden 22 Oktober 2026. Aset yang terkena dampak termasuk stSTX, sBTC, dan STX yang diperoleh melalui pertukaran yang melibatkan penerbitan USDA yang tidak sah.

Mengapa USDA kehilangan peg-nya setelah peretasan Arkadiko?

USDA kehilangan peg-nya setelah penyerang menguras kolateral pendukung dan mencetak sejumlah besar token yang tidak didukung. Tekanan penjualan yang dihasilkan, fungsionalitas penebusan yang terganggu, dan ketidakpastian seputar ketersediaan kolateral merusak kepercayaan pasar.

Apakah suara tata kelola Arkadiko mengembalikan kontrol vault?

Ya. Pada 27 Oktober 2026, Proposal 14 memulihkan kontrak operasi vault yang sah dari Arkadiko. Namun, perubahan tata kelola ini sendiri tidak memulihkan aset yang dicuri atau menjamin bahwa penebusan USDA dan harga telah kembali normal.

Apakah Arkadiko Finance telah sepenuhnya pulih dari eksploitasi?

Pemulihan lengkap belum ditetapkan secara mandiri pada 3 November 2026. Arkadiko melaporkan telah mengisi kembali kolateral vault dan memulihkan kontrol kontrak yang sah, tetapi pemulihan aset yang dicuri secara keseluruhan, pemulihan peg USDA, dan kompensasi yang komprehensif tetap belum terpecahkan atau cukup terverifikasi.

Pernyataan: Pandangan yang diungkapkan sepenuhnya milik penulis dan tidak mencerminkan pandangan platform ini. Platform ini dan afiliasinya sebaliknya menolak tanggung jawab atas akurasi atau kesesuaian informasi yang diberikan. Ini hanya untuk tujuan informasi dan tidak dimaksudkan sebagai nasihat keuangan atau investasi.