Kokomo, Swerve, dan insiden keamanan DeFi lainnya: tinjauan Maret 2023

Keuangan terdesentralisasi atau DeFi berkembang pesat sejak sekitar 2017. Menurut data DeFiLlama yang dikutip saat itu, total nilai terkunci atau TVL mencapai sekitar $180,38 miliar pada Desember 2021. Permintaan aset kripto dan insentif partisipasi turut mendorong pertumbuhannya. Artikel ini membahas insiden keamanan dari sudut pandang akhir Maret 2023.

Pertumbuhan DeFi. Sumber: DeFiLlama

Di sisi lain, pertumbuhan yang dipercepat dan likuiditas yang menyertainya secara bersamaan menarik pelaku tidak jujur yang ingin mengeksploitasi kerentanan yang ada di ruang ini.

Tren dan sifat eksploitasi kripto & DeFi

Dalam tahun-tahun sebelum Maret 2023 terjadi beberapa pencurian kripto besar. Metodenya meliputi penipuan, rug pull, eksploitasi kontrak pintar, dan serangan yang dibiayai flash loan.

Sejarah peretasan DeFi

Dalam rug pull, pengelola proyek dapat menarik likuiditas atau dana pengguna lalu meninggalkan proyek. Flash loan sendiri merupakan alat yang sah: peminjam tidak perlu memberikan jaminan di muka, tetapi harus mengembalikan pinjaman beserta biayanya dalam transaksi yang sama. Penyerang dapat menggunakan modal tersebut untuk mengeksploitasi kerentanan, misalnya oracle harga yang tidak aman atau pemeriksaan yang hilang. Manipulasi harga di bursa adalah salah satu skenario, bukan definisi semua serangan flash loan.

Representasi diagram lingkaran jenis-jenis peretasan dalam sejarah DeFi

Eksploitasi lain terkait DeFi meliputi bug kontrak pintar, serangan oracle, dan serangan tata kelola. Pada serangan tata kelola, peretas berusaha mengendalikan cukup hak suara untuk mengeksekusi proposal yang menguntungkan kepentingan mereka.

Pelanggaran keamanan Crypto dan DeFi di masa lalu

Laporan Crystal Februari 2023 menghitung 231 serangan DeFi sejak 2011 dengan aset sekitar $4,81 miliar dicuri. Bersama pelanggaran keamanan lain dan skema penipuan, totalnya sekitar $16,7 miliar. Angka sekitar $4,18 miliar mengacu pada seluruh insiden yang dicatat untuk 2022, bukan kerugian DeFi kumulatif. Serangan Ronin pada Maret 2022 termasuk yang terbesar: 173.600 ETH dan 25,5 juta USDC dicuri, bernilai lebih dari $600 juta tergantung waktu penilaian.

Pencurian kripto berulang sejak antara lain peretasan Mt. Gox pada Juni 2011, tetapi kerugian tahunan tidak selalu meningkat setiap tahun. Perhitungan yang digunakan artikel mencatat lebih dari $2,6 miliar dari sepuluh serangan DeFi terbesar pada 2022, sementara DeFiLlama mencatat lebih dari $3 miliar untuk tahun tersebut. Cakupan insiden, penilaian aset, dan perlakuan terhadap dana yang dipulihkan dapat berbeda antar sumber.

Pada akhir Maret 2023, artikel asli mengutip perhitungan sementara 19 insiden kripto dan DeFi dengan lebih dari $372 juta aset dicuri. Rekt Database yang dirujuk mencatat sekitar $14,6 juta pada Januari dan $142,4 juta pada Februari. Ini merupakan gambaran historis dari sumber tersebut.

Dana yang hilang dan dipulihkan. Sumber: Rekt Database

Insiden besar lainnya terjadi pada Maret. Artikel membandingkan kuartal pertama 2023 yang belum selesai dengan sekitar $1,2 miliar kerugian pada kuartal pertama 2022. Perhitungan sementara belum merupakan hasil akhir kuartal.

Eksploitasi utama sejauh ini dan hasil akhirnya

Kasus yang dibahas mencakup BonqDAO pada 1 Februari dan Platypus Finance pada 16 Februari 2023. Dalam serangan BonqDAO, sekitar 100 juta BEUR dicetak tanpa izin. Angka kerugian $120 juta yang sering dikutip merupakan penilaian nominal, bukan seluruhnya hasil yang dapat diuangkan penyerang. Protokol menyatakan lebih dari 98 juta BEUR tidak memiliki likuiditas untuk dijual. Kerugian awal Platypus sekitar $8,5 juta, dan sekitar 2,4 juta USDC dipulihkan tidak lama kemudian.

CertiK melaporkan dugaan exit scam Kokomo Finance

Pada 26 Maret 2023, CertiK memperingatkan dugaan exit scam pada Kokomo Finance, protokol pinjaman di Optimism. Perusahaan tersebut mendeteksi penurunan tajam harga KOKO serta hilangnya situs web dan akun media sosial.

Menurut CertiK, alamat penerbit KOKO, 0x41BE…, membuat kontrak serangan cBTC. Parameter imbalan diubah, peminjaman dihentikan, dan implementasi kontrak diganti dengan kontrak berbahaya. Alamat 0x5a2d… telah memberikan izin untuk membelanjakan 7.010 token tanda terima soWBTC dari Sonne Finance. Ini bukan 7.010 WBTC biasa. CertiK menjelaskannya dalam unggahan berikutnya. Penyerang lalu memanggil metode 0x804edaad untuk memindahkan soWBTC ke alamat 0x5C8d…. Sebanyak 7.010 soWBTC akhirnya ditukar dengan sekitar 141 WBTC, saat itu bernilai sekitar $4 juta. Analisis CertiK berikutnya memperkirakan keseluruhan kerugian pengguna sekitar $4,5 juta.

Menurut laporan awal, Kokomo Finance baru diluncurkan pada 25 Maret 2023.

Laporan penilaian on-chain Kokomo Finance

Sebuah penilaian keamanan oleh 0xGuard pada Maret memberikan hasil lulus untuk sebagian besar pemeriksaan, dengan catatan tentang kode tanpa efek dan kesalahan pengetikan. Hasil ini tidak meniadakan kemungkinan penyalahgunaan wewenang pengelola. Harga KOKO turun tajam setelah insiden.

Upaya serangan tata kelola terhadap Swerve Finance yang tidak aktif

Pada Maret 2023, pengguna melaporkan aktivitas tata kelola mencurigakan pada Swerve Finance, fork Curve di Ethereum yang sebagian besar telah ditinggalkan. Pelaku berusaha mencapai kuorum. Tidak aktifnya proyek tidak dengan sendirinya berarti adanya putusan kebangkrutan.

Proposal menargetkan kontrak dengan sekitar $1,3 juta stablecoin dari pool DAI-USDC-USDT. Peneliti Wintermute Igor Igamberdiev menerbitkan analisis yang menghubungkan transaksi on-chain dengan orang di balik “silvavault”. Ini merupakan atribusi peneliti, bukan penetapan pengadilan.

Igamberdiev merujuk antara lain pada transaksi melalui Tornado Cash. Akun joaorcsilva yang disebutnya menanggapi tuduhan tersebut dan membantah niat jahat. Penjelasan yang diperdebatkan itu tidak menghapus risiko teknis tata kelola.

Peretas Euler Finance mengembalikan sebagian signifikan dana yang dicuri

Pada 13 Maret 2023, sekitar $197 juta aset diambil dari Euler Finance. Tim membatasi kerentanan, tetapi awalnya belum memulihkan aset. Setelah upaya kontak awal gagal, hadiah $1 juta diumumkan untuk informasi yang mengarah pada penangkapan serta pengembalian dana.

Transaksi serangan Euler. Sumber: Twitter/BlockSec

Pada 18 Maret, penyerang mengembalikan total 3.000 ETH melalui tiga transaksi. Sejumlah besar dana saat itu masih belum kembali.

Pada 25 Maret, penyerang mengirim sekitar 51.000 ETH ke alamat deployer. Pada hari yang sama, menyusul transfer kedua sebesar 7.737 ETH. Ini merupakan langkah penting dalam pengembalian dana. Pembaruan pasar saat itu melaporkan harga token EUL naik dari sedikit di atas $2,50 menjadi $4,30, lalu turun ke sekitar $3,80. Harga tersebut adalah EUL, bukan ETH. Pada 4 April, Euler Foundation menyatakan semua dana yang dapat dipulihkan telah dikembalikan dan menutup kampanye hadiah.

Harga historis EUL. Sumber: TradingView

Dana serangan Euler dikirim ke Tornado Cash. Penggunaan mixer juga diidentifikasi dalam serangan Ronin Network.

Operasi internasional terhadap ChipMixer pada Maret 2023

Pada 15 Maret 2023, Europol mengumumkan operasi otoritas Jerman dan AS terhadap ChipMixer dengan dukungan internasional. Menurut otoritas, layanan tersebut telah memproses sekitar 152.000 BTC sejak 2017; Departemen Kehakiman AS menyebut lebih dari $3 miliar transaksi pencucian uang. Otoritas AS melaporkan bahwa Jerman menyita server pendukung dan lebih dari $46 juta aset kripto, termasuk sekitar 1.909,4 BTC. AS menyita domain dan akun GitHub.

Sanksi terhadap Tornado Cash dijatuhkan pada 8 Agustus 2022 oleh OFAC, bagian dari Departemen Keuangan AS, bukan Departemen Kehakiman pada awal 2023. Mixer dapat menyamarkan asal dana, tetapi tidak selalu membuat pelacakan mustahil. Sanksi tersebut menggambarkan keadaan saat artikel diterbitkan; Departemen Keuangan menghapus Tornado Cash dari daftar sanksi pada Maret 2025.

FBI mengaitkan pencurian $100 juta di Harmony Horizon dengan Lazarus

Serangan terhadap jembatan Harmony Horizon yang dilaporkan pada 24 Juni 2022 mencuri sekitar $100 juta dalam berbagai aset kripto. Sebuah pengumuman Harmony menyebut kerja sama dengan otoritas untuk menyelidiki penyebab dan memulihkan dana. FBI mengonfirmasi atribusi pada Januari 2023 kepada kelompok Korea Utara Lazarus, yang dalam pernyataan itu juga disebut APT38. Peneliti blockchain juga menghubungkan serangan dengan pelaku tersebut.

Lazarus juga dikaitkan dengan serangan Ronin pada 2022. FBI menyatakan pelaku Korea Utara menggunakan RAILGUN pada 13 Januari 2023 untuk menyamarkan lebih dari $60 juta ETH yang dicuri. Sebagian dikirim ke bursa kripto dan ditukar menjadi bitcoin. Pelacakan membantu penyedia layanan mengidentifikasi, membekukan, dan memulihkan sebagian dana. FBI juga menerbitkan sebelas alamat Ethereum terkait sisa aset.

Pembaruan peretasan jembatan Wormhole

Dana terkait Wormhole digunakan untuk posisi berleverage

Pada Januari 2023, alamat yang dikaitkan dengan serangan Wormhole Februari 2022 kembali aktif. Serangan tersebut mencetak 120.000 wETH tanpa dukungan aset, saat itu bernilai sekitar $320 juta. Peneliti mengamati transfer sekitar 95.630 ETH, bernilai sekitar $155 juta, dan pertukaran melalui OpenOcean menjadi sekitar 96.677 stETH milik Lido.

Sekitar 86.473 stETH lalu dibungkus menjadi wstETH. Sebanyak 25.000 wstETH dijadikan jaminan untuk meminjam 13 juta DAI. Dana pinjaman digunakan antara lain untuk membeli sekitar 8.000 stETH melalui Kyber, disusul transaksi lain melalui protokol seperti 1inch. Tambahan sekitar 1,5 juta DAI ditukar dengan 923 stETH. Dengan demikian, eksposur ETH bertambah menggunakan utang.

Transaksi lanjutan atas sekitar $61 juta aset

Pada Februari 2023, PeckShield mendeteksi aktivitas lanjutan pada dompet terkait Wormhole, termasuk sekitar $46 juta aset. Transfer 95.630 ETH senilai sekitar $155 juta melalui OpenOcean adalah pergerakan Januari yang dijelaskan sebelumnya, bukan transfer terpisah yang terbukti pada 12 Februari.

Menurut analisis yang dikutip, aset ditukar menjadi sekitar 16,6 juta DAI dan tambahan sekitar 8.800 wstETH, saat itu sekitar $15 juta, ditempatkan pada MakerDAO. Peneliti menafsirkannya sebagai upaya mencari imbal hasil atau arbitrase. Tawaran awal Wormhole sebesar $10 juta untuk pengembalian aset saat itu belum dijawab. Oasis kemudian menyatakan bahwa pada 21 Februari 2023, atas perintah High Court of England and Wales, pihaknya mengambil kembali aset tertentu terkait Wormhole dan menyerahkannya kepada pihak yang diberi wewenang pengadilan.