Kripto, Serangan DeFi Meningkat di April – Eksploit Kontrak Yearn, Penarikan Bot MEV, Pembaruan Penebusan Euler dan Sushi

PeckShield melaporkan pada awal hari Kamis bahwa protokol pasar uang non‑kustodian Aave dan platform pertanian hasil DeFi Yearn Finance telah terdampak dalam sebuah eksploitasi. Tim keamanan blockchain berhipotesis bahwa yUSDT yang salah konfigurasi menyebabkan kompromi, memungkinkan pelaku jahat mencetak sejumlah besar yUSDT dari USDT senilai $10K.

Yearn Finance Terlibat dalam Insiden Peretasan DeFi Terbaru

Penilaian awal yang dibagikan oleh PeckShield menunjukkan bahwa individu/tim yang mengeksploitasi kerentanan ‘konfigurasi salah’ untuk pencetakan tak terbatas menukarkan hingga $11 juta token Dai (DAI), Tether (USDT), USD Coin (USDC), Binance USD (BUSD), dan Tru USD (TUSD). Pembaruan tweet dari pemimpin integrasi Aave, Marc Zeller, mengonfirmasi insiden tersebut, menjelaskan bahwa hanya versi 1 protokol, yang telah dibekukan sejak Des 22, yang terdampak. Tim Yearn Finance juga memberi tahu pengguna bahwa mereka menyadari insiden tersebut dalam sebuah posting terpisah.

“Kami sedang menyelidiki masalah dengan iearn, kontrak usang dari sebelum Vaults v1 dan v2. Masalah ini tampaknya eksklusif untuk iearn dan tidak memengaruhi kontrak atau protokol Yearn saat ini. iearn adalah kontrak tidak dapat diubah yang mendahului YFI, dan telah dihentikan pada 2020. Vaults v1, dengan strategi yang dapat ditingkatkan, juga dihentikan pada 2021. Tidak ada indikasi bahwa itu terpengaruh. Versi saat ini, Vaults v2, tetap tidak terpengaruh juga.”

Secara mencolok, eksploitasi flash loan menghasilkan hasil yang tidak terduga – pengembalian USDT pengguna Aave, catatan on‑chain menunjukkan Beberapa entitas keamanan seperti Otter Sec dan tim lain yang terkait dengan Aave berkontribusi untuk mengurai serangan tersebut. Platform pelacakan DeFi Nansen menyatakan bahwa pelaku mengirimkan hasil curian ke tiga alamat. Data on‑chain menunjukkan bahwa penyerang menyetor 1000 koin ETH, yang mewakili sebagian signifikan dari token yang dicuri, ke Tornado Cash, mungkin untuk menutupi jejaknya. Dompet kedua menerima lebih dari 4,7 juta DAI dan 2,5 juta USDC stablecoin. Eksploitasi pada platform pinjaman Yearn Finance mengikuti serangkaian insiden serupa yang dilaporkan di ruang keuangan terdesentralisasi (DeFi) hingga saat ini tahun ini.

Peretas dan Penipu Menguras Investor $452Juta di Q1, dengan Tingkat Pemulihan 29%

Penyedia data blockchain Chainalysis sebelumnya melaporkan bahwa peretasan di niche DeFi menyumbang 82% dari kerugian $3,8 miliar di sektor kripto sepanjang 2022. Dalam pembaruan terbaru tentang hal yang sama, penyedia antivirus dan aplikasi De.Fi mengamati bahwa penjahat siber merampas $452 juta pada kuartal yang baru saja berakhir. Meskipun besar, jumlah ini menunjukkan penurunan signifikan dibandingkan kerugian $1,3 miliar pada periode yang sama tahun lalu. Laporan tersebut juga menyoroti bahwa hampir setengah dari kerugian Q1 terjadi dalam tiga minggu pertama Maret, dengan serangan flash loan pada Euler Finance pada 13 Maret menghasilkan kerugian tertinggi dalam kuartal tersebut – $197 juta.

Duo platform berbasis blockchain BonqDAO dan AllianceBlock mengalami peretasan kontrak pintar pada awal Februari, kehilangan $120 juta. Sementara itu, dugaan penipuan $45 juta terhadap investor CoinDeal, serangan phishing Monkey Drainer senilai $16,5 juta, dan serangan flash loan $8,5 juta pada Platypus Finance melengkapi daftar lima eksploitasi teratas pada kuartal tersebut.

Pelanggaran Menargetkan Pemula dengan FOMO

Dalam hal prevalensi, eksploitasi kontrak pintar merupakan jenis serangan paling umum, dengan 17 insiden, diikuti oleh delapan kasus rug pull yang dilaporkan. Eksploitasi flash loan tetap merajalela, menyumbang kerugian $200 juta dalam periode tersebut. De.Fi juga memperkirakan bahwa jelas bahwa dalam hal vektor serangan, token menjadi pilihan utama bagi pelaku jahat – mereka mudah diluncurkan dan memanfaatkan kerentanan pemula yang takut ketinggalan peluang.

Peminjaman dan peminjaman menjadi target utama sehingga meskipun hanya mencakup lima insiden, kerugian bersihnya mencapai $336 juta. BNB menjadi korban terbesar di antara rantai, menjadi target dalam 18 serangan. Pada pemulihan, $130 juta dana yang dicuri dikembalikan kepada korban, namun tetap merupakan penurunan dibandingkan tingkat pemulihan tahun lalu pada periode yang sama, yaitu 40% dari $1,29 miliar.

Eksploitasi Terkait Bug SafeMoon

Dalam satu insiden terisolasi, platform SafeMoon diduga dikompromikan pada 29 Maret melalui fungsi burn publik yang terdapat dalam pembaruan yang baru saja dirilis. Penyerang yang diduga memanfaatkan celah yang disebabkan bug ini untuk mencuri hingga 27.000 koin BNB dari pool likuiditas SFM WBNB yang terkompromi. Penyerang meninggalkan pesan, “Hey santai, kami secara tidak sengaja melakukan frontrun serangan terhadap Anda, kami ingin mengembalikan dana, menyiapkan saluran komunikasi aman, mari bicara.” SafeMoon mengtweet minggu lalu bahwa perdagangan telah dilanjutkan di platformnya.

Pembaruan 5 April juga merinci beberapa perbaikan tokenomik dan menyampaikan bahwa antarmuka SWaP yang ditingkatkan telah diterapkan.

“Kami terus bekerja pada pemulihan dana LP […] Kami telah membuat kemajuan besar dan terus bekerja keras untuk kembali ke bisnis seperti biasa bagi semua pengguna kami,” SafeMoon mengatakan dalam komunikasi terbaru minggu ini.

Pelanggaran Keamanan DeFi pada April

Awal bulan ini, jembatan multichain Allbridge mengalami serangan pada 2 April. Peretas menggunakan teknik penyediaan likuiditas dan pertukaran untuk menaikkan harga pool dan mencuri dana. Hal ini dimungkinkan karena mereka dapat memanipulasi harga swap pool BNB Chain milik Allbridge dengan berperan sebagai penyedia likuiditas sekaligus penukar.

Protokol Lintas Rantai Allbridge Dieksploitasi

Auditor kontrak pintar CertiK melaporkan bahwa protokol lintas rantai kehilangan hingga $549.874. Di sisi lain, firma keamanan blockchain PeckShield memperkirakan total $573.000 dieksploitasi – $282.889 nilai BUSD dan $290.868 dalam USDT. Pada saat itu, Allbridge menyatakan sedang bekerja dengan mitra dan komunitasnya untuk melacak peretas melalui jejaring sosial dan memastikan mereka bertanggung jawab. Protokol menawarkan hadiah dan kekebalan hukum kepada peretas jika mereka maju sebagai white hat – untuk mendorong mereka mengembalikan dana yang dicuri.

1.500 BNB Dikembalikan

Tampaknya peretas memilih opsi tersebut dan mengembalikan 1.500 BNB ($465.000), yang kemudian dikonversi menjadi BUSD untuk membantu menyelesaikan masalah individu yang terdampak, sementara sisa uang curian disisakan sebagai hadiah white hat. Tim Allbridge juga mencatat bahwa penyerang kedua menggunakan teknik yang sama untuk menguras dana namun belum menghubungi untuk mendiskusikan penyelesaian – Allbridge telah membagikan alamat dompet penyerang yang diduga ini, dengan saldo 0,97 BNB, senilai $302,5. Pada Selasa, Allbridge membagikan dalam tweet bahwa mereka telah menyelesaikan putaran pertama pembayaran pemulihan untuk kumpulan pengajuan yang diajukan hingga 9 April, sambil mengimbau mereka yang memiliki masalah tertunda untuk melanjutkan proses kompensasi eksploitasi.

Dampak Setelah Eksploitasi SushiSwap

Dalam insiden lain, firma keamanan dan intelijen blockchain PeckShield melaporkan pada awal hari Minggu bahwa SushiSwap dieksploitasi, dengan satu individu, pengguna Twitter oxSifu, kehilangan sekitar $3,3 juta. Firma keamanan dan Kepala Koki SushiSwap Jared Grey keduanya meminta yang terdampak untuk mencabut izin di semua rantai. Selanjutnya, serangan tersebut tampaknya memengaruhi orang yang telah menggunakan DEX dalam empat hari terakhir. Eksploitasi memengaruhi kontrak ‘RouterProcessor2’ SushiSwap, yang memfasilitasi routing perdagangan. Menurut PeckShield, bug tersebut terkait dengan mekanisme ‘approve’.

Bug ‘Terkait-Approve’ Membuat Beberapa Pengguna SushiSwap Kekurangan

Pengguna yang menyetujui kontrak buruk ini secara tidak sengaja memungkinkan penyerang mengeluarkan token pengguna tanpa mendapatkan persetujuan dari pemilik – atau ‘yoink’ mereka, begitu istilahnya. Menurut Brad Kay, analis di The Block Research, penyerang awal, yang tampaknya merupakan hacker white hat, memanfaatkan fungsi ‘yoink’ untuk mengeksploitasi kontrak router SushiSwap sebesar 100 ETH, setelah itu individu kedua memanfaatkan kontrak yang sama untuk mencuri sekitar 1800 ETH, kali ini menggunakan fungsi “notyoink”.

Upaya Pemulihan

Grey mengonfirmasi dalam sebuah pembaruan bahwa lebih dari 300 ETH aset yang hilang milik oxSifu telah dipulihkan, dengan rencana untuk menambah lebih dari 700 Ether lagi. CTO SushiSwap Matthew Lilley juga memperbarui bahwa beberapa upaya penyelamatan terus berlanjut dan mengimbau pengguna untuk memeriksa kembali persetujuan mereka serta memindai dan menolak alamat berbahaya yang mungkin diizinkan untuk token mereka. Namun, ia meyakinkan pengguna bahwa Sushi Protocol aman digunakan, karena eksposur ke RouterProcessor2 telah dimatikan dari front end, memastikan bahwa aktivitas penyedia likuiditas dan pertukaran aman.

Korban Diberi Ganti Rugi Penuh

Sushi chief mengatakan di Discord bahwa tim berencana meluncurkan situs klaim untuk token yang di‑vest di kontrak Merkle Distributor protokol. Situs tersebut akan aktif hingga tanggal kedaluwarsa klaim pada 23 April, setelah itu token SUSHI yang tidak diklaim akan dikirim ke kas SushiSwap. Dalam pembaruan selanjutnya yang dibagikan pada Rabu, pertukaran terdesentralisasi berbasis Ethereum menyatakan bahwa mereka berencana mengembalikan kepada klaiman yang terdampak.

“Jika dana Anda berada di kontrak whitehat, maka berarti ahli keamanan telah mengumpulkan dana Anda, dana tersebut aman dan akan dapat diklaim dalam waktu singkat. Jika dana Anda tidak berada di kontrak whitehat, Anda harus mengirim email atau membuka tiket di Discord kami dan menyertakan: ID transaksi dan data blockchain untuk dana yang hilang. Dana blackhat akan memerlukan waktu lebih lama untuk diproses, karena tim harus memverifikasi secara manual keabsahan terhadap data on‑chain yang memvalidasi klaim dan kemudian membayarnya sesuai,” SushiSwap men‑tweet.

Serangan Bot MEV Ethereum

Dalam insiden lain, validator nakal melarikan $25Juta setelah eksploitasi bot MEV Ethereum pada 3 April. Beberapa bot nilai ekstraksi maksimal (MEV) Ethereum, yang membantu arbitraseur dan pedagang mengoptimalkan peluang keuntungan, menjadi korban serangan kompleks yang menyebabkan kerugian $25 juta kepada validator nakal tersebut.

Berikut Apa yang Terjadi

CertiK menjelaskan bahwa delapan transaksi MEV menjadi target, karena mereka melakukan perdagangan sandwich – yang melibatkan mengidentifikasi pedagang yang berusaha memperoleh token dan menyusup di antara perdagangan untuk meraih keuntungan. Dengan semua peristiwa ini terjadi dalam satu blok Ethereum – 6964664, CertiK mencatat bahwa perdagangan sandwich dimulai dengan beberapa token, dan ketika mereka menukar jutaan, validator nakal menggantikan transaksi terbalik.

Total $25,39 juta jatuh ke tangan yang salah, dengan rincian yang diposting oleh firma keamanan menunjukkan – 64,9 WBTC, 7.460,8 WETH, 5.297.649,9 USDC, 3.027.396 USDT, dan 1.698.384 DAI. Pada saat penulisan ini, dana tersebut sebagian besar disimpan dalam tiga dompet. CertiK menyebutnya sebagai salah satu eksploitasi bot MEV terbesar yang pernah ada, dengan peretasan besar terakhir serupa pada September 2022, ketika 800 ETH dalam keuntungan arbitrase MEV dicuri karena kerentanan bot.

Pada saat yang sama, auditor blockchain OtterSec menyebutnya sebagai serangan yang dipertimbangkan, mengingat penyerang telah memuat dompet mereka lebih dari dua minggu yang lalu. CertiK menentukan bahwa bot tidak berhasil mengidentifikasi validator node sebagai jahat dan mengaitkan kelemahan yang dieksploitasi dengan sentralisasi kekuasaan di antara validator.

Flashbots Menerapkan Perbaikan Fitur

Flashbots, pencipta program MEV utama Ethereum, MEV‑Boost, sejak itu mengambil langkah untuk mencegah masalah serupa terulang kembali. Tim menerapkan fitur baru yang mengharuskan relayer (yang berfungsi sebagai perantara tepercaya antara pembuat blok dan validator) menandatangani sebuah blok dan mempublikasikannya ke Beacon Chain sebelum diteruskan ke proposer. Langkah ini sebelumnya tidak ada dan kini dapat membantu mengurangi kemungkinan proposer menyimpang dari isi relay yang diterima. Selain itu, CertiK memberi tahu CoinTelegraph bahwa pencari MEV lain mungkin menjadi enggan terlibat dalam strategi non‑atomik, termasuk perdagangan sandwich, karena mereka tampaknya menjadi target utama.

Daftar Hitam Tether Terkait Eksploitasi MEV

Minggu ini, penerbit stablecoin Tether menulis dalam tweet tanggal 10 April bahwa mereka telah memblokir alamat ‘Sandwich the Ripper’ yang terkait dengan eksploitasi MEV terbaru. Alamat Tether tersebut memegang $3 juta dalam USDT, yang tidak dapat dipindahkan lagi. Penyerang memiliki jumlah yang lebih besar dari hasil curian, termasuk $14,3 juta dalam Wrapped Ethereum (WETH) dan lebih dari $3,6 juta dalam aset lainnya.

Tether tampaknya bertindak dengan kepentingan baik dan atas dasar yang wajar. Namun, keputusan tersebut dikritik oleh kelompok yang percaya bahwa langkah ini menetapkan “preseden buruk” dalam ruang kripto. Tindakan pemblokiran Tether dapat ditafsirkan sebagai sensor pada transaksi, menyiratkan otoritas terpusat oleh penerbit stablecoin. Para pengkritik menunjuk pada keprihatinan tentang potensi penyalahgunaan kekuasaan dan implikasinya terhadap niche DeFi.

Euler Membuka Penebusan Setelah Menegosiasikan Pengembalian Semua Dana yang Dicuri

Euler Finance minggu ini mengatakan bahwa mereka menerima tranche terakhir pembayaran setelah negosiasi atas $197 juta kripto yang dicuri bulan lalu. Protokol menyatakan semua dana yang dapat dipulihkan telah dikembalikan, secara efektif mengakhiri program hadiah $1 juta untuk informasi tentang peretasan. Firma analitik blockchain Arkham Intelligence mengonfirmasi bahwa protokol pinjaman tanpa izin menerima 10.580 ETH senilai $19 juta pada Senin dan tambahan $12 juta dalam DAI yang terbagi dalam tiga transaksi.

Setelah insiden 21 Maret, Euler mengusulkan hadiah sebesar $19,7 juta – setara dengan 10% dari jumlah yang dicuri – kepada pelaku pencurian. Selain itu, mereka memperingatkan bahwa hadiah $1 juta akan diberikan kepada siapa pun yang memberikan informasi tentang penyerang jika 90% dana yang dicuri yang tersisa tidak dikembalikan. Meskipun mereka awalnya mencuci $1,8 juta melalui Tornado Cash, penyerang mulai mengembalikan uang pada 18 Maret – dimulai dengan $1,8 juta. Penyerang terus mengirim uang, dengan pengembalian terbesar berupa jumlah lump sum 58.737 ETH, senilai $102 juta, pada 24 Maret.

Pada saat penulisan ini, total 95.556 ETH dan 43 juta DAI telah dipulihkan sementara sejumlah 1.100 ETH dianggap tidak dapat dipulihkan karena telah dikirim ke mixer koin yang disanksi. Di tengah semua ini, peretas meminta maaf dalam serangkaian pesan on‑chain sekitar dua minggu yang lalu dan berjanji menyerahkan semua dana yang tersisa. Token yang dikembalikan pada Senin meningkatkan total dana yang dipulihkan dari peretasan menjadi lebih dari $177 juta. Ini mencakup 90% dari dana yang diharapkan dapat dipulihkan setelah memperhitungkan hadiah 10% yang ditawarkan oleh tim Euler.

Protokol pinjaman non‑kustodian berbasis Ethereum kemudian mengatakan bahwa mereka telah memungkinkan pengguna menebus dana yang dipulihkan, mengakhiri eksploitasi flash loan yang melibatkan segala bentuk kekacauan. Asuransi DeFi Nexus Mutual yang membayar $2,4 juta klaim atas kerugian mereka yang disebabkan oleh peretasan, menuntut Euler melakukan pengembalian dana. Nexus diduga mendukung Euler dengan menutupi kerugian, kecuali tidak ada pengguna yang secara teknis kehilangan aset mereka dengan pengembalian dana.

Insiden Pelanggaran Keamanan Lain yang Dilaporkan

MetaPoint, sebuah proyek metaverse, melaporkan minggu ini bahwa mereka telah dieksploitasi oleh penyerang yang melarikan 2.515 BNB. Peretas mengirim dana ke Tornado Cash, kata PeckShield. Proyek Metaverse tersebut mengonfirmasi insiden tersebut di Telegram, menambahkan bahwa mereka telah menangguhkan semua operasi.

Terraport Finance juga tampaknya menjadi korban pelanggaran keamanan, hanya dua minggu setelah peluncuran. Laporan yang muncul pada 10 April merinci bahwa dompet likuiditas protokol telah diretas sebesar 2 juta. Terraport mengatakan dalam pembaruan yang dibagikan bahwa mereka menyadari insiden tersebut dan sedang menyelidiki penerbit setelah mengamankan platform.

Di luar DeFi, bursa kripto Korea Selatan GDAC minggu ini mengatakan bahwa mereka telah diretas hampir $14 juta. Bursa tersebut menangguhkan setoran dan penarikan sementara untuk melakukan remediasi yang diperlukan, kata CEO Han Seunghwan sambil mengonfirmasi bahwa dana yang hilang mewakili sedikit lebih dari 20% total aset kustodian mereka. Peretas dilaporkan menguasai beberapa hot wallet bursa pada awal 9 April (Waktu Standar Korea) sebelum memindahkan dana ke dompet yang mereka kontrol. GDAC kehilangan sekitar 61 BTC, 350,5 ETH, 220.000 USDT, dan 10 juta mata uang game WEMIX.

Layanan penarikan tetap tidak tersedia: Seunghwan mengatakan bahwa bursa berkomitmen untuk menyelidiki hal tersebut dan belum merumuskan rencana untuk memungkinkan pemulihan layanan yang saat ini dinonaktifkan. Serangan GDAC menandai peretasan bursa kripto terpusat utama pertama tahun ini, terjadi sedikit lebih dari dua belas bulan setelah Crypto.com diretas lebih dari $15 juta pada Januari lalu.

HTX dan Gala Games Berkomitmen $50Juta untuk Mengkompensasi Pihak yang Terdampak oleh Insiden pGALA

Setelah kolaborasi terbaru antara Gala Games dan bursa kripto HTX untuk memperkuat ekosistem Web3 milik yang pertama, keduanya mengumumkan rencana untuk mendistribusikan kripto dan lisensi perangkat lunak senilai hingga $50 juta kepada pemegang token GALA yang mengalami kerugian dalam penipuan token utilitas di platform tersebut pada November lalu.

Kedua pihak akan membagi secara merata kompensasi senilai $50 juta yang akan dikeluarkan – bagian HTX akan menjadi $25 juta, terdiri dari uang tunai dan manfaat pengguna yang mencakup 15 juta USDT dan 10 juta ekuitas. Di sisi lain, Gala Games akan mengeluarkan lisensi node senilai $25 juta, dan program tersebut dijadwalkan dimulai minggu ini.

Insiden yang dimaksud melibatkan peretas yang mencetak $1 miliar pGALA – token terbungkus GALA yang dikeluarkan oleh pNetwork di BNB Chain. Saat token tersebut dijual di PancakeSwap, penyerang berhasil menguras $4,5 juta dari pool likuiditas dan secara signifikan menurunkan harga token GALA.

Gugatan terhadap pNetwork Akan Datang

Proyek GameFi bulan lalu memulai tindakan hukum terhadap pNetwork atas perannya dalam serangan tersebut. Gugatan tersebut menuduh insiden tersebut menyebabkan Gala Games mengalami kerugian $25 juta dan mengajukan klaim sebesar $27,7 juta untuk menutupi biaya langsung terkait pelanggaran, kompensasi tambahan atas kerusakan, ganti rugi hukuman, dan bentuk bantuan lainnya. Selain itu, platform mengundang pihak lain yang terdampak untuk menghubungi tim hukum mereka guna bergabung dalam upaya memperoleh kompensasi. HTX menyatakan dalam pengumuman terbaru bahwa mereka mendukung upaya ini. Jika ada putusan yang menguntungkan, setiap kerusakan yang diberikan, dikurangi biaya hukum, akan dikonversi menjadi token GALA dan kemudian dibakar.