Protokol jembatan lintas rantai Garden Finance menghentikan sepenuhnya layanan App-nya pada 26 Juli waktu setempat setelah menerima peringatan keamanan. Perusahaan keamanan blockchain Blockaid mengungkapkan pada hari yang sama bahwa sekitar $450 ribu setara USDT ditransfer keluar dari kontrak hash time-locked (HTLC) milik Garden Finance, melibatkan empat jaringan: Ethereum, Base, Arbitrum, dan BNB Smart Chain; Blockaid mempublikasikan alamat penyerang dan alamat kontrak yang terdampak bahkan saat serangan masih berlangsung. Pihak Garden Finance menyebut penghentian layanan sebagai langkah pencegahan untuk “mengisolasi dan memeriksa infrastruktur yang bermasalah”. Media Korea Tokenpost, mengutip laporan Cointelegraph, menyebut masalah ini mengarah pada jebolnya lapisan pembukuan solver (pihak pencocok transaksi)—laporan asli Tokenpost.
Ulasan Redaksi: Yang Terdampak Bukan Saldo Kartu Anda, tapi Jalur Top-up Anda
Mari perjelas batasannya terlebih dahulu: ini bukan insiden penerbit kartu, dan bukan pula masalah pada USDT itu sendiri. Cadangan Tether, mekanisme penebusan, serta kontrak di berbagai jaringan Omni/TRC20/ERC20 tidak mengalami perubahan apa pun. Skala absolut $450 ribu tergolong kecil dalam insiden jembatan lintas rantai, dan tidak cukup besar untuk memengaruhi harga pasar sekunder USDT secara terobservasi.
Yang benar-benar berkaitan dengan pengguna kartu U adalah jejak asal-usul (provenance) dana di on-chain. Sebagian besar jalur top-up kartu virtual USDT bekerja sebagai berikut: exchange atau wallet → transfer on-chain → alamat kustodian milik penerbit kartu. Jika Anda terbiasa menggunakan jembatan lintas rantai untuk memindahkan aset dari Base / Arbitrum ke jaringan top-up yang didukung penerbit kartu (paling umum TRC20 atau ERC20), maka dana yang melewati Garden Finance sekitar 26 Juli secara teoritis memiliki kemungkinan sangat kecil untuk terhubung secara tidak langsung (beberapa hop) dengan alamat yang telah ditandai. Penerbit kartu dan lembaga acquirer di baliknya umumnya menggunakan layanan pemeriksaan seperti Chainalysis / Elliptic / TRM. Jika dana masuk terdeteksi berada “N hop dari alamat yang ditandai”, penanganan yang paling umum bukanlah pemblokiran kartu, melainkan penahanan sementara dana masuk + permintaan penjelasan tambahan mengenai sumber dana.
Ekspektasi wajar dalam rentang waktu:
- Dalam 7 hari: apakah App Garden Finance pulih kembali, apakah rencana kompensasi diumumkan; agregator yang terhubung ke jembatan ini (1inch, LI.FI, dan lapisan routing serupa) akan sementara mencabut rute tersebut. Selama periode ini, jangan gunakan jembatan tersebut untuk transfer lintas rantai USDT.
- Dalam 30 hari: penyedia layanan pemeriksaan utama menyelesaikan perluasan penandaan klaster alamat penyerang. Jika dana masuk Anda pernah melalui jembatan ini, kemungkinan diminta klarifikasi paling tinggi terjadi pada periode ini.
- Dalam 90 hari: dampak pada dasarnya mereda. Kecuali terjadi insiden susulan atau terbukti dana mengalir ke mixer dan tersebar secara masif.
Penilaian untuk kartu spesifik: pengguna MPCard (varian Asia Elite) yang menggunakan jalur Asia Pasifik dan mengisi saldo langsung dari wallet di dalam MPChat—jika selama ini rutenya adalah “penarikan dari exchange → top-up langsung”, insiden ini tidak berkaitan dengan Anda dan tidak memerlukan tindakan apa pun; sementara pengguna yang menyebar aset di berbagai L2 dan terbiasa mengumpulkan dana lewat jembatan sebelum top-up, baik pemegang Bybit Card maupun OKX Card, disarankan minggu ini beralih ke transfer internal antar-exchange (bebas hop on-chain, sekaligus bebas hop pemeriksaan) alih-alih jembatan pihak ketiga. Pembaca yang belum paham “mengapa jalur top-up bisa memengaruhi proses kartu” dapat membaca bagian mengenai alamat kustodian dan pemeriksaan dana masuk di Apa itu Kartu U.
Perbandingan Historis: Kecil, Cepat, Bisa Dilacak—Berbeda dari Bencana Jembatan 2022
Jika dilihat dalam spektrum insiden jembatan lintas rantai, kasus Ronin 2022 (sekitar $625 juta), Wormhole (sekitar $325 juta), dan Nomad (sekitar $190 juta) adalah kasus “seluruh kumpulan validator atau logika verifikasi pesan dilewati secara total”, dengan skala dana yang cukup besar untuk memicu peristiwa likuiditas tingkat ekosistem; masalah Multichain pada 2023 adalah hilangnya kendali private key oleh pihak operator, yang menyebabkan sejumlah besar aset hasil bridging (termasuk versi bridged USDT/USDC) kehilangan penebusan yang mendasarinya—banyak pengguna akhirnya memegang token mapping yang tidak bisa ditebus. Itulah situasi yang benar-benar bisa merembet ke aset top-up kartu U.
Kali ini ada tiga perbedaan:
- Skala kecil, $450 ribu tidak menimbulkan masalah solvabilitas protokol;
- Yang diserang adalah lapisan pembukuan HTLC + solver, yaitu permukaan kepercayaan pembukuan yang spesifik pada arsitektur intent/solver, bukan hilangnya private key kustodian—pengguna tidak sedang memegang “USDT mapping tanpa penebusan yang mendasarinya”;
- Respons cepat, pemantau pihak ketiga mempublikasikan alamat saat serangan masih berlangsung, dan pihak proyek langsung menghentikan layanan pada hari yang sama.
Bagian yang tetap sama seperti biasanya: jembatan lintas rantai selalu menjadi mata rantai terlemah dalam pergerakan stablecoin lintas jaringan. Tiga tahun berlalu, permukaan serangan bergeser dari multisig dan verifikasi pesan ke solver dan pembukuan pencocokan, tapi kesimpulannya tidak berubah—setiap kali USDT berpindah rantai, sejarah tersebut menambahkan satu lapisan riwayat yang berpotensi ditandai.
Perspektif Kepatuhan: Di Mana Area Abu-Abunya
Dari sisi regulasi, insiden ini tidak melibatkan aturan baru apa pun, tetapi akan memperkuat tren yang sudah ada: persyaratan penelusuran sumber dana masuk oleh VASP sedang bergeser dari “lawan transaksi langsung” ke “keterkaitan multi-hop”. Persyaratan penelusuran dana di bawah rezim VASP Hongkong dan aturan transfer, dapat dilihat pada Panduan Kepatuhan Hongkong kami; ketentuan serupa di bawah kerangka MAS Singapura untuk penyedia layanan DPT, lihat Panduan Kepatuhan Singapura.
Batasan yang perlu diperjelas: penggunaan jembatan lintas rantai itu sendiri tidak dilarang di yurisdiksi-yurisdiksi di atas—ini jelas berada di area yang sah; area abu-abunya adalah—ketika riwayat on-chain dana masuk memiliki keterkaitan dengan alamat penyerang yang telah ditandai secara publik, penerbit kartu berhak sekaligus berkewajiban meminta penjelasan tambahan, dan dapat membekukan dana masuk tersebut jika penjelasan tidak dapat diberikan. Ini bukan “pemblokiran kartu”, tapi memang berarti 200 ₮ yang Anda siapkan untuk memperpanjang langganan bisa tertahan selama beberapa hari. Yang benar-benar dilarang hanya satu hal: memindahkan atau menukarkan dana meskipun sudah tahu dana tersebut berasal dari aset curian.
Titik yang Perlu Dipantau Selanjutnya
- Laporan resmi pasca-insiden dari Garden Finance: apakah cacat spesifik pada pembukuan solver diungkap, apakah dana kompensasi disiapkan bagi pengguna terdampak (pantau garden.finance dan pengumuman media sosial mereka).
- Pembaruan klaster alamat dari Blockaid: apakah alamat penyerang masuk ke mixer, yang akan menentukan cakupan perluasan penandaan (blockaid.io).
- Waktu pemulihan rute dari agregator jembatan utama: aktifnya kembali rute biasanya menjadi sinyal pasar bahwa audit keamanan telah lolos.
- Apakah penerbit kartu menyesuaikan kebijakan dana masuk sementara: secara historis, setelah insiden jembatan lintas rantai, sebagian penerbit kartu memperketat rasio pemeriksaan dana masuk untuk rantai tertentu (terutama L2) dalam jangka pendek, tetapi jarang mengumumkannya secara terbuka. Perhatikan perubahan daftar jaringan di halaman top-up.
Saran Redaksi
Pengguna MPCard yang selama ini top-up langsung dari penarikan exchange: tidak perlu tindakan apa pun.
Pengguna yang dalam 7 hari terakhir pernah melakukan transfer lintas rantai lewat Garden Finance dan mengisi USDT tersebut ke kartu virtual apa pun: tidak perlu panik dan tidak perlu melapor secara proaktif, tapi simpan tangkapan layar lengkap sumber dana tersebut (catatan penarikan exchange, hash transaksi jembatan, timestamp). Jika ditanya penerbit kartu, pengguna yang bisa langsung memberikan bukti jalur transaksi hampir selalu terbebas dari penahanan dalam beberapa hari kerja.
Pengguna yang berencana melakukan transfer lintas rantai USDT untuk top-up minggu ini: ubah jalur Anda. Prioritaskan transfer internal antar-exchange lintas jaringan, atau langsung tarik dari exchange menggunakan jaringan yang didukung penerbit kartu; sisakan jembatan pihak ketiga hanya untuk aset niche yang tidak punya jalur alternatif di CEX. Ini terutama berlaku bagi pembaca yang menggunakan kartu U untuk membayar langganan tetap—demi menghemat beberapa dolar biaya jembatan, membuat perpanjangan ChatGPT Plus (resmi $20/bulan) tertahan pada hari penagihan bukanlah pertukaran yang sepadan.
Yang tidak boleh dilakukan: jangan melakukan transaksi baru ke kontrak Garden Finance sebelum pengumuman pemulihan dirilis; jangan menerima pesan pribadi apa pun yang mengaku bisa “membantu Anda mengambil kembali aset dari jembatan”—secara historis, setiap kali terjadi insiden jembatan lintas rantai, situs phishing selalu muncul lebih cepat daripada laporan resmi pasca-insiden.