Menurut laporan Tokenpost yang mengutip Protos, protokol pinjaman Bonzo Lend di jaringan Hedera (HBAR) diserang pada akhir pekan dengan kerugian sekitar $9 juta. Laporan tersebut menyebutkan bahwa penyerang memanfaatkan celah pada harga oracle untuk menaikkan nilai aset agunan secara tidak wajar, sehingga bisa meminjam dana jauh melebihi nilai sebenarnya. Laporan tersebut juga menunjukkan bahwa masalahnya terletak pada oracle yang disediakan oleh penyedia infrastruktur Supra Network — Supra dilaporkan baru-baru ini melakukan penambalan (patch) pada oracle di berbagai chain, tetapi kontrak di Hedera dilaporkan terlewat, dan akhirnya menjadi sasaran serangan.
Perlu dicatat: jumlah kerugian dan hubungan sebab-akibat “penambalan di berbagai chain tetapi Hedera terlewat” di atas, sampai saat ini semuanya berasal dari laporan media pihak kedua. Kami belum melihat adanya pernyataan resmi pasca-insiden atau laporan audit dari Bonzo Lend maupun Supra terkait kejadian ini. Pembaca yang mengutip angka-angka spesifik sebaiknya menyertakan keterangan “menurut laporan media”.
Interpretasi Redaksi: Berita Ini Tidak Terlalu Berkaitan dengan Kartu U Anda, Tapi Layak Disimak
Kesimpulan di awal, agar tidak salah tafsir: yang diserang kali ini adalah sebuah protokol pinjaman on-chain, bukan penerbit kartu, dan bukan pula stablecoin itu sendiri. Jika USDT Anda tersimpan di bursa atau akun kartu U berbasis kustodian, seperti Bybit Card, MPCard, atau OKX Card, insiden ini tidak berdampak langsung pada saldo Anda — dana Anda tidak disimpan di Bonzo Lend, dan tidak melewati oracle bermasalah di Hedera tersebut.
Yang benar-benar perlu dievaluasi ulang adalah kelompok pengguna lain: mereka yang menempatkan dana yang akan digunakan untuk top-up kartu U ke protokol pinjaman DeFi untuk mendapatkan bunga, lalu menariknya kembali saat dibutuhkan. Praktik ini cukup umum di masa bull market — USDT disimpan di suatu protokol untuk mendapatkan imbal hasil tahunan 5%~10%, lalu ditarik sebelum digunakan untuk top-up kartu. Insiden ini justru mengingatkan pada risiko tersembunyi di alur tersebut: Anda mengira sedang mendapatkan bunga, padahal sebenarnya menanggung risiko smart contract protokol tersebut ditambah risiko oracle, dan ketika kedua risiko ini terjadi, kerugiannya biasanya setara dengan modal pokok — jauh melampaui bunga kecil yang didapat.
- Dalam 7 hari ke depan: jika Anda sedang menempatkan dana untuk top-up kartu di protokol pinjaman kecil atau yang baru diluncurkan, sebaiknya periksa oracle apa yang digunakan protokol tersebut dan apakah sudah diaudit; tarik dana lebih dulu bila perlu.
- Dalam 30 hari ke depan: pantau apakah Supra Network mengeluarkan pernyataan resmi atau skema kompensasi terkait insiden ini. Saat ini situs resmi Supra hanya berisi perkenalan produk, belum ada pengumuman terkait insiden ini.
- Dalam 90 hari ke depan: insiden semacam ini biasanya mendorong penyedia layanan oracle melakukan pemeriksaan ulang menyeluruh di seluruh chain. Dalam jangka pendek, aktivitas DeFi di ekosistem Hedera mungkin terdampak, tetapi tidak menular ke jalur penerbitan kartu tersentralisasi.
Perbandingan Historis: Manipulasi Oracle Bukan Skenario Baru
Manipulasi oracle yang menyebabkan protokol pinjaman meminjamkan dana secara berlebihan adalah pola serangan yang berulang kali terjadi di DeFi, dan insiden ini bukan yang pertama.
Kasus publik yang paling terkenal adalah insiden Mango Markets pada Oktober 2022 — penyerang memanipulasi harga oracle token MNGO untuk menaikkan estimasi nilai agunan, lalu meminjam habis dana treasury protokol. Kerugiannya dilaporkan secara luas berada di kisaran $100 juta (angka pastinya berbeda-beda menurut sumber; di sini mengikuti laporan publik, bukan perhitungan independen situs ini).
- Persamaan: logika inti serangannya sama — nilai agunan dinaikkan secara buatan, penyerang meminjam dana jauh melebihi nilai sebenarnya.
- Perbedaan: pada insiden Mango, yang dimanipulasi adalah harga spot token dengan likuiditas rendah; pada insiden ini, menurut laporan, masalahnya ada pada tingkat kontrak penyedia layanan oracle (patch di satu chain terlewat) — sifatnya lebih mendekati kelemahan infrastruktur, bukan manipulasi pasar.
Bagi pengguna kartu U, kedua insiden ini menyampaikan sinyal yang sama: keamanan dana pada protokol DeFi berimbal hasil dan akun kustodian yang Anda gunakan sehari-hari untuk top-up kartu adalah dua model kepercayaan yang sepenuhnya berbeda. Jangan menyamakan risiko keduanya hanya karena sama-sama disebut “USDT”.
Sudut Pandang Kepatuhan: Ini Bukan Masalah Stablecoin atau Penerbit Kartu
Ada kesalahpahaman umum yang perlu diluruskan: kerentanan oracle merupakan kelemahan teknis pada level smart contract, tidak berkaitan dengan kepatuhan USDT itu sendiri maupun status perizinan penerbit kartu. Insiden ini tidak akan memicu tindakan regulasi apa pun terhadap kartu berbasis stablecoin.
Bagi pembaca yang tertarik pada lingkungan kepatuhan di kawasan Asia-Pasifik, dapat merujuk pada panduan kepatuhan Hongkong dan panduan kepatuhan Singapura — kedua wilayah ini memiliki kerangka perizinan yang relatif jelas untuk stablecoin dan penyedia layanan aset virtual. Kartu U berbasis kustodian beroperasi di bawah kerangka tersebut, yang merupakan jalur regulasi yang sama sekali berbeda dari protokol pinjaman on-chain anonim.
Berikut batasan yang berlaku saat ini:
| Skenario | Status Regulasi |
|---|---|
| Kartu U kustodian yang diterbitkan lembaga berlisensi | Sebagian besar yurisdiksi Asia-Pasifik memiliki kerangka yang jelas |
| Kartu bursa tersentralisasi (seperti Bybit, OKX) | Bervariasi menurut yurisdiksi, dari area abu-abu hingga izin yang jelas |
| Protokol pinjaman on-chain tanpa audit | Tidak ada jaminan regulasi, risiko ditanggung sendiri |
Hal yang Layak Dipantau Selanjutnya
- Pernyataan resmi Bonzo Lend / Supra: apakah akan dipublikasikan analisis pasca-insiden (post-mortem) lengkap beserta detail teknis kerentanannya. Belum terlihat hingga artikel ini ditulis.
- Apakah ada skema kompensasi atau pengisian kembali treasury: apakah protokol DeFi mengganti rugi pengguna setelah peretasan sering kali menentukan keberlangsungannya.
- Hasil pemeriksaan ulang Supra terhadap chain lain yang terhubung: klaim “Hedera terlewat” dalam laporan ini perlu dikonfirmasi resmi oleh Supra apakah merupakan kejadian terisolasi.
- Perubahan TVL ekosistem Hedera: dapat menjadi indikator seberapa besar dampak insiden ini menyebar.
Saran Redaksi
- Pengguna kartu U berbasis kustodian (Bybit, MPCard, OKX, dll): tidak perlu melakukan tindakan apa pun. Saldo Anda tidak berkaitan dengan insiden ini.
- Pengguna yang menempatkan dana top-up kartu di protokol DeFi untuk mendapatkan bunga: sebaiknya periksa oracle yang digunakan protokol tersebut dan status auditnya, tetap waspada terhadap protokol yang baru diluncurkan dengan TVL kecil, dan utamakan menyimpan dana top-up di akun kustodian atau menariknya sesuai kebutuhan — jangan menanggung risiko setara modal pokok hanya demi imbal hasil tahunan beberapa persen.
- Pengguna yang ingin memakai kartu U jangka panjang di Asia-Pasifik: utamakan jalur berlisensi dan berbasis kustodian, lihat ulasan Bybit Card dan ulasan MPCard, serta pisahkan evaluasi antara “bisa dipakai transaksi atau tidak” dengan “di mana dana lebih aman disimpan”.
- Hal yang tidak perlu dilakukan: jangan menjual USDT atau HBAR secara panik karena berita ini — dampak insiden terbatas pada satu protokol pinjaman, dan tidak berkaitan langsung dengan solvabilitas stablecoin maupun jalur penerbitan kartu.
(Semua pernyataan mengenai jumlah kerugian dan hubungan sebab-akibat dalam artikel ini berasal dari laporan media pihak kedua. Halaman ini akan diperbarui setelah ada pernyataan resmi.)