AI Membaca Ulang Kode Lama Kripto, dan Menemukan yang Terlewat Manusia

Sepanjang 2026, sejumlah celah keamanan lama di dunia kripto dibongkar oleh peneliti yang dibantu kecerdasan buatan (AI): cacat Zcash berusia sekitar empat tahun yang dalam pengujian bisa mencetak ZEC palsu tanpa terdeteksi, kelemahan dompet Coldcard sejak 2021 yang mendahului pencurian bitcoin ditaksir lebih dari $100 juta, hingga sebuah agen AI yang ditipu sampai memindahkan kira-kira 3 miliar token DRB. Satu benang merahnya sederhana: AI membuat pekerjaan “membaca ulang” kode lama menjadi murah—dan keuntungan itu jatuh ke tangan siapa pun yang lebih dulu melakukannya.

Kenapa ini penting justru karena cara kripto dibangun. Kode di balik banyak proyek kripto bersifat publik, bisa dibaca siapa saja. Selama ini yang membatasi adalah biaya: mengaudit ribuan baris kode butuh keahlian langka, waktu, dan ketelatenan. AI memangkas ongkos itu. Ia bisa menyisir arsip, menulis kode uji, dan mencoba banyak kemungkinan berulang-ulang sampai sebuah kesalahan lama akhirnya terlihat. Analoginya muncul bulan ini ketika sebuah pesan tentara Jerman terenkripsi dari Juli 1941—yang bertahan tak terbaca selama 85 tahun—akhirnya dipecahkan lewat upaya berbantuan AI. Isinya biasa saja, sekadar menanyakan arah, tapi pelajarannya tidak: mesin membuat “melihat lagi” jadi jauh lebih murah. Kini kemampuan itu diarahkan ke perangkat lunak yang benar-benar menyimpan uang.

## Ketika mesin lebih dulu menemukan bug

Zcash memberi contoh paling bersih pada Mei. Seorang peneliti bernama Taylor Hornby, yang bekerja untuk Shielded Labs, memakai Claude Opus 4.8 di dalam agen audit khusus dan menemukan cacat pada sirkuit Orchard shielded-pool yang sudah ada sejak 2022. Dalam pengujian, celah itu bisa mencetak ZEC palsu tanpa batas dan tanpa terdeteksi. Tidak ada pencurian yang terbukti dan pengembang menambalnya dalam hitungan hari, tapi bug yang berpotensi fatal itu sempat bertahan sekitar empat tahun sebelum tinjauan berbantuan AI menemukannya. Belakangan tim Zcash menyatakan memakai alat lain untuk mengaudit ulang kode dan tidak menemukan bug baru.

Coldcard jauh lebih berantakan. Mulai 30 Juli, penyerang menyapu bitcoin dari dompet yang terpengaruh kelemahan firmware yang bisa dilacak ke 2021—kelemahan yang membuat sebagian benih pemulihan (recovery seed) jauh kurang acak dari seharusnya, sehingga lebih mudah ditebak. Taksiran belakangan menyebut kisaran sekitar 1.600 sampai lebih dari 1.800 BTC dan di atas $100 juta dari ribuan alamat. Coinkite, produsen Coldcard, mengatakan mereka harus berasumsi ada pihak yang memakai AI untuk memeriksa firmware publiknya. Siapa pelakunya belum tuntas dipastikan, tapi celahnya sendiri sudah menganga sejak 2021, hampir lima tahun.

## Kadang mesin yang justru diperdaya

Tidak selalu AI jadi pemburu; kadang ia menjadi bagian dari lubang keamanan itu sendiri. Pada 4 Mei, seorang penyerang memasang teks berkode Morse yang diterjemahkan oleh Grok menjadi sebuah instruksi—dan layanan Bankr menerima instruksi itu, memicu transfer sekitar 3 miliar DRB senilai kira-kira $150.000 hingga $200.000. Sekitar dua pekan kemudian, persoalan “lapisan kepercayaan” yang sama menimpa 14 dompet pengguna, dengan kerugian dilaporkan berkisar $150.000 sampai $440.000. Tidak ada kriptografi yang dipecahkan di sini. Masalahnya, mesin-mesin itu terlalu saling percaya.

AI juga tampaknya membuat kode kontrak pintar yang rumit lebih murah untuk dibedah. Chainalysis mengaitkan sekitar $36,7 juta pencurian dengan serangan terhadap protokol yang kontraknya tidak terverifikasi, di mana penyerang lebih dulu harus membongkar (decompile) bytecode yang sudah di-deploy. Ekubo dan Trusted Volumes menyumbang sekitar $7 juta dari kelompok kasus itu selama periode enam bulan—meski perlu dicatat, kaitan AI versi Chainalysis adalah klaim soal metode, bukan bukti bahwa model tertentu membuat tiap eksploitasi. Ada pula tipuan bermodus bot arbitrase “bikinan Claude”: sembilan tutorial YouTube serupa mengarahkan penonton menyalin kode ke sebuah compiler palsu bergaya Remix yang diam-diam menukarnya dengan penguras dompet. TRM mencatat 224 korban, 234 kontrak, dan kerugian sekitar $517.000. Di sini AI bukan senjatanya sama sekali—ia cuma umpannya.

Yang perlu dijaga adalah proporsinya. Tidak semua peretasan besar kripto pada 2026 digerakkan AI; sebagian tidak punya kaitan AI yang terbukti, dan banyak insiden tetap soal klasik: bug, kunci yang bocor, izin yang salah, sistem yang rusak. Namun satu angka mengubah ekonominya. Data Chainalysis soal “dead-drop” di blockchain—penulisan berbahaya yang menyisipkan instruksi malware—naik dari sekitar 2,06 per hari menjadi 11,1, lonjakan 440%. Model AI berbobot terbuka bisa menurunkan keahlian yang dibutuhkan untuk membangun infrastruktur semacam ini, dan aktor yang dikaitkan dengan Korea Utara serta Iran disebut menyumbang sekitar dua pertiga aktivitas baru yang teramati tiap kuartal menjelang kuartal kedua 2026.

Buat pembaca yang memegang aset kripto, intinya bukan bahwa AI tiba-tiba bisa menjebol kriptografi Bitcoin. Intinya, biaya untuk “melihat lagi” kode lama sudah anjlok, dan itu berlaku dua arah: Zcash beruntung menemukan kesalahan lamanya lebih dulu, sementara kisah Coldcard menunjukkan wajah sebaliknya. Kripto menyimpan bertahun-tahun kode publik yang menunggu dibaca ulang, dan tidak ada yang tahu berapa banyak kesalahan lama yang masih bersembunyi di dalamnya—itulah yang membuat berita seperti ini layak diikuti dengan tenang, bukan panik.