Serangan Horizon Juni 2022: Harmony melaporkan kerugian sekitar 100 juta dolar AS

Harmony, platform blockchain untuk pengembangan dan penggunaan aplikasi terdesentralisasi, mengumumkan pencurian aset kripto senilai sekitar 100 juta dolar AS dalam serangan terhadap jembatan Horizon pada 23 Juni 2022. Angka itu merupakan perkiraan nilai dolar dari aset yang dicuri, bukan setara dengan 1.148,63 ETH. Artikel ini membahas laporan awal pada 24 Juni.

Harmony memulai penyelidikan

Segera setelah kejadian, Harmony memberi tahu pihak berwenang dan mengumumkan serangan tersebut. Tim menyatakan telah memulai penyelidikan bersama aparat dan ahli forensik digital untuk mengidentifikasi pelaku dan, jika memungkinkan, mengembalikan dana yang dicuri.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Setelah pengumuman pertama, Harmony memublikasikan alamat Ethereum yang diawali 0x dan diidentifikasi tim sebagai alamat yang digunakan dalam serangan. Alamat itu juga dibagikan dalam pengumuman berikutnya.

https://twitter.com/harmonyprotocol/status/1540110926937894913

Laporan asli mencatat saldo alamat tersebut sebesar 85.867,25322706327167346 ETH. Angka ini adalah catatan pada tahap pelaporan awal, bukan saldo terkini atau total nilai kerugian.

Harmony menyatakan bahwa jembatan BTC yang dioperasikan secara terpisah dan dirancang untuk mengurangi kebutuhan memercayai perantara tidak terdampak. Menurut keterangan tim saat itu, aset pada jembatan tersebut dan penyimpanan terdesentralisasi tetap utuh. Pernyataan ini bukan jaminan umum atas keamanan seluruh aset di semua jembatan.

Tim juga memberi tahu bursa dan menghentikan sementara Horizon untuk mencegah transfer tambahan. Penyelidikan masih berlangsung, sehingga penyebab pasti maupun waktu pembukaan kembali belum ditetapkan. Proyek menyatakan, “Seluruh tim dikerahkan sementara penyelidikan berlanjut.”

Harmony berjanji terus memberi informasi kepada komunitas mengenai temuan baru dalam penyelidikan.

Kekhawatiran keamanan jembatan kembali menjadi sorotan

Kejadian ini kembali menyoroti kekhawatiran komunitas sebelumnya mengenai struktur penandatanganan. Konfigurasi multisig dua-dari-empat saat itu memerlukan persetujuan dengan dua dari empat kunci penandatanganan, bukan dua dari empat sistem multisig yang terpisah. Ape Dev, pendiri dana modal ventura Chainstride Capital yang berfokus pada kripto, telah memperingatkan pada awal April 2022 bahwa sedikitnya penandatangan yang diperlukan dapat membuat jembatan rentan. Kekhawatiran itu tidak membuktikan metode serangan yang tepat pada tahap awal penyelidikan.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin dari Ethereum juga membahas pada Januari 2022 risiko keamanan jembatan antar-blockchain dan kemungkinan penyebaran risiko ke jaringan lain. Itu merupakan kekhawatiran umum tentang desain jembatan, bukan kesimpulan bahwa semua jembatan diserang dengan cara yang sama atau bahwa penyebab kejadian ini telah dipastikan.

https://twitter.com/VitalikButerin/status/1479501366192132099

Token yang disebut dicuri dalam laporan awal mencakup Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC), dan Tether (USDT).

Artikel asli menyebut sebelas transaksi antara pukul 07.08 dan 07.26 waktu Amerika Serikat bagian timur. Rentang waktu dan jumlah itu berasal dari pelaporan awal, bukan analisis akhir seluruh pergerakan dana. Menurut laporan, token dikirim ke berbagai dompet, ditukar dengan ETH melalui bursa terdesentralisasi Uniswap di Ethereum, lalu dikumpulkan di alamat penyerang.

Horizon mendukung transfer aset antara Harmony, Ethereum, dan Binance Smart Chain. Jembatan Bitcoin merupakan sistem terpisah dan harus dibedakan dari Horizon dalam penjelasan kejadian ini. Harmony mengoperasikan Horizon.

Untuk informasi lebih lanjut, baca panduan kami tentang investasi di Harmony.