Penipuan Exit Kokomo Finance dan Serangan Swerve Finance Membuktikan Eksploitasi DeFi yang Meluas pada 2023

Ruang keuangan terdesentralisasi (DeFi) telah mencatat perkembangan fenomenal sejak muncul secara serius sekitar tahun 2017, namun tidak tanpa luka besar. Selama setengah dekade ini, ruang DeFi berkembang pesat sebagaimana tercermin dalam angka total nilai terkunci (TVL) yang melampaui $180,38 miliar pada Desember 2021 menurut data DeFi Llama. Pertumbuhan cepat subsektor kripto ini, terutama dalam beberapa tahun terakhir, disebabkan oleh berbagai faktor termasuk meningkatnya permintaan aset kripto dan sifat insentif dari penawaran.

Grafik pertumbuhan DeFi. Source: DeFi Llama

Di sisi lain, pertumbuhan yang dipercepat dan likuiditas yang menyertainya secara bersamaan menarik pelaku tidak jujur yang ingin mengeksploitasi kerentanan yang ada di ruang ini.

Tren dan sifat eksploitasi kripto & DeFi

Dalam tiga tahun terakhir, terjadi peningkatan kejadian pencurian kripto berprofil tinggi. Mayoritasnya melibatkan teknik seperti penipuan kripto, rug pull, flash loan, dan eksploitasi terkait DeFi.

Sejarah peretasan DeFi

Untuk rug pull, pelaku biasanya seorang pengembang (atau tim) menaikkan harga token proyek, kemudian secara tiba-tiba menarik atau menghapus likuiditas sebelum meninggalkan proyek. Serangan flash loan, di sisi lain, menargetkan celah pada platform pinjaman berbasis kontrak pintar dan merupakan yang paling sering. Serangan ini memanfaatkan sifat flash loan yang tidak memerlukan jaminan – tidak ada kolateral di muka, namun peminjam harus melunasi dalam transaksi rantai yang sama. Penyerang meminjam sejumlah besar aset kripto dari protokol DeFi, kemudian memanipulasi harganya di satu bursa sebelum cepat keluar dari posisi mereka di bursa lain.

Representasi diagram lingkaran jenis-jenis peretasan dalam sejarah DeFi

Eksploitasi lain terkait DeFi meliputi bug kontrak pintar, serangan oracle, dan serangan tata kelola. Pada serangan tata kelola, peretas berusaha mengendalikan cukup hak suara untuk mengeksekusi proposal yang menguntungkan kepentingan mereka.

Pelanggaran keamanan Crypto dan DeFi di masa lalu

Platform analitik blockchain Crystal merinci dalam laporan terbarunya tentang pelanggaran keamanan dan aktivitas penipuan yang melibatkan kripto, bahwa telah terjadi lebih dari 230 peretasan DeFi sejak 2011. Kerugian sebesar $4,18 miliar dalam aset kripto akibat insiden tersebut berkontribusi pada total $16,7 miliar kriptokurensi yang dicuri dalam periode yang sama. Secara khusus, eksploitasi pada Ronin Network yang melihat penyerang menguras lebih dari $650 juta dari jembatan Axie Infinity pada Maret lalu tetap menjadi yang terbesar.

Lebih mengkhawatirkan lagi, kerugian tahunan yang disebabkan oleh pencurian kripto telah meningkat sejak insiden peretasan pertukaran pertama yang melibatkan Mt. Gox pada Juni 2011. 10 serangan DeFi teratas (berdasarkan dana yang dicuri) sepanjang 2022 berjumlah lebih dari $2,6 miliar. Dasbor DeFiLlama menunjukkan protokol DeFi kehilangan lebih dari $3 miliar pada 2022, menjadikannya tahun terburuk dalam statistik tersebut. Meskipun frekuensi dan tingkat keparahan tampak melambat menjelang akhir 2022, tren tersebut berbalik pada awal tahun.

Sejauh ini pada 2023, telah terjadi 19 insiden pelanggaran kripto (termasuk DeFi) yang menghasilkan lebih dari $372 juta aset yang dicuri. Dana yang hilang tiap bulan terus meningkat sejak Januari, melonjak dari $14,6 juta pada Januari menjadi $142,4 juta pada Februari, menurut Rekt Database.

Dana yang hilang dan dipulihkan dalam setahun terakhir. Source: Rekt Database

Angka ini sudah lebih dari dua kali lipat pada Maret meskipun masih ada beberapa hari tersisa. Namun ada satu hal yang hampir positif. Kerugian yang disebabkan oleh penipuan dan eksploitasi kripto sejauh ini pada Q1 berada pada jalur penurunan ringan dibandingkan periode yang sama tahun lalu. Sekitar $1,2 miliar aset kripto hilang ke tangan penyerang pada Q1 2022.

Eksploitasi utama sejauh ini dan hasil akhirnya

Peretasan DeFi yang menonjol sejauh ini meliputi pengurasan $120 juta dari protokol peminjaman terdesentralisasi BonqDAO pada Februari dan serangan flash loan Platypus Finance yang menyebabkan protokol kehilangan $8,5 juta dana pengguna.

Pengembang Kokomo Finance melakukan penipuan exit

Firma analitik blockchain CertiK Alert membagikan pada hari Minggu sebuah pesan tentang dugaan penipuan exit pada protokol pinjaman berbasis Optimism, Kokomo Finance. Alat peringatan tersebut mengamati penurunan harga token KOKO dan penonaktifan akun sosial proyek beberapa jam kemudian.

“Pengembang KOKO Token, alamat 0x41BE, menyebarkan kontrak serangan cBTC. Kemudian mengatur kecepatan reward, menghentikan peminjaman, dan mengganti kontrak implementasi dengan yang berbahaya. Alamat 0x5a2d… menyetujui kontrak cBTC untuk menghabiskan 7010 sonne WBTC,” CertiK mengonfirmasi dalam posting selanjutnya. “Karena kontrak implementasi telah ditingkatkan menjadi kontrak cBTC yang berbahaya, penyerang memanggil metode 0x804edaad untuk mentransfer sonne WBTC ke alamat 0x5C8d. Akhirnya, alamat 0x5C8d.. menukar 7010 beberapa WBTC menjadi 141 WBTC (~4M) untuk keuntungan.”

Kokomo Finance adalah proyek yang relatif baru yang baru saja diluncurkan pada 25 Maret.

Laporan penilaian on-chain Kokomo Finance

Sebuah penilaian keamanan yang dilakukan pada protokol oleh perusahaan audit kontrak pintar 0xGuard pada awal Maret menunjukkan ‘lulus’ pada sebagian besar aspek kecuali ‘Kode Tanpa Efek’ dan ‘kesalahan tipografi.’ Harga token KOKO sejak itu jatuh hampir ke nol setelah pengurasan.

Penyerang mencoba ‘strategi white-hat yang menguntungkan’ pada Swerve Finance yang sudah tidak aktif

Dalam insiden lain bulan ini, pengguna di Twitter mengamati aktivitas mencurigakan yang melibatkan Swerve Finance, sebuah fork berbasis Ethereum yang kini tidak aktif dari pertukaran terdesentralisasi Curve. Serangan tata kelola pada klon Curve Finance yang tidak aktif ini kini memasuki minggu kedua karena penyerang berusaha mencapai kuorum yang diperlukan.

Penyerang membuat sebuah pemungutan suara dengan tujuan mengklaim kontrak delegator yang berisi $1,3 juta dalam stablecoin dari pool DAI-USDC-USDT. Dalam sebuah thread panjang, kepala riset Wintermute Igor Igamberdiev berteori bahwa ada cukup bukti untuk melacak penyerang. Igamberdiev mengungkap identitas penyerang yang merupakan pemilik ‘silvavault’ sebagai orang di balik serangan dalam postingan selanjutnya.

Igamberdiev memberikan jejak bukti on-chain, termasuk transaksi yang dialirkan melalui mixer yang disanksi Tornado Cash, yang mengaitkan pada individu tertentu. Tersangka, yang akun Twitternya diungkap sebagai joaorcsilva, menanggapi tuduhan tersebut, menyatakan bahwa tindakannya tidak didorong oleh motif tersembunyi.

Peretas Euler Finance mengembalikan sebagian signifikan dana yang dicuri

Dalam insiden terpisah, seorang penyerang mencuri sekitar $197 juta aset kripto pada 13 Maret dalam sebuah peristiwa yang kemudian menjadi dramatis. Meskipun tim protokol DeFi berhasil menangani masalah pada saat itu, mereka tidak dapat memulihkan aset yang dicuri. Upaya menghubungi dan mencapai kompromi gagal, memicu hadiah $1 juta untuk informasi yang mengarah pada penangkapannya.

Transaksi peretasan Euler Finance. Source: Twitter/BlockSec

Peretas, dalam sebuah perubahan peristiwa minggu lalu, mengembalikan 3.000 token ETH ke protokol pinjaman berbasis Ethereum pada 18 Maret dalam tiga transaksi, meskipun masih menyisakan sejumlah besar.

Selama akhir pekan, penyerang mengirim sekitar 51.000 token Ether ke alamat deployer. Masih pada hari yang sama, 25 Maret, penyerang melakukan transaksi kedua, kali ini mengirim 7.737 ETH ke deployer. Sejauh ini, alamat peretas telah mengembalikan lebih dari setengah jumlah yang dicuri. Perkembangan terbaru mendorong harga dari sedikit di atas $2,50 menjadi $4,30 sebelum turun kembali ke $3,80 di mana terakhir kali terlihat.

Harga Euler. Source: TradingView

Terutama, penyerang Euler Finance, dan Ronin Network juga, menggunakan mixer koin.

AS, otoritas internasional menindak mixer koin atas perannya dalam pencucian uang

Awal bulan ini, Badan Kerjasama Penegakan Hukum Uni Eropa mengumumkan bahwa mereka menyita $46 juta dari ChipMixer atas tuduhan pencucian uang. Badan Europol, bersama FBI dan otoritas Jerman, menuduh bahwa mixer kripto tersebut memfasilitasi pencucian 152.000 BTC dalam lima tahun terakhir, setara dengan ~ $3 miliar. Pejabat penegak hukum AS melaporkan bahwa mereka berhasil mengamankan 1.909,4 BTC dan juga memerintahkan penutupan server pendukung platform tersebut. Tindakan penegakan ini datang setelah perintah pembatasan serupa yang dikenakan pada Tornado Cash.

Mixer koin tersebut juga menjadi sasaran kritik tahun ini dari otoritas AS karena perannya dalam memfasilitasi kejahatan dengan menyamarkan transaksi dan membuatnya tidak dapat dilacak dalam kasus aktivitas ilegal. Departemen Kehakiman AS sebelumnya tahun ini mengumumkan sanksi terhadap alat privasi tersebut, yang memicu komentar kritis dari beberapa pihak di industri. Ini bukan kasus pertama peretasan kripto yang melibatkan otoritas.

FBI menuding kelompok Lazarus bertanggung jawab atas peretasan Harmony Bridge senilai $100 juta

Pada Juni lalu, selama tahun dengan jumlah pencurian rekor dalam serangan jembatan, jembatan Harmony kehilangan sekitar $100 juta dalam Ether. Pada saat itu, sebuah pengumuman resmi oleh Harmony, blockchain PoS layer satu yang terhubung melalui jembatan ke Ethereum, menyatakan bahwa mereka bekerja sama dengan otoritas untuk menentukan penyebab serangan dan memulihkan dana. FBI mengonfirmasi bahwa organisasi peretas yang didukung negara Korea Utara yang terkenal, Lazarus Group dan APT38, bertanggung jawab atas serangan tersebut. Klaim ini menandai pertama kalinya pemerintah AS secara resmi menuduh kelompok tersebut atas serangan Harmony. Pakar blockchain yang melakukan analisis forensik on-chain mengaitkan peretasan tersebut dengan aktor yang sama.

Lazarus Group juga telah dikaitkan dengan, di antara kejahatan lainnya, peretasan jembatan Ronin tahun lalu, pada saat pemerintah memperingatkan bahwa perusahaan kripto akan menjadi target peretas. FBI juga menyatakan bahwa pada 13 Januari, peretas Korea Utara menggunakan RAILGUN, sebuah protokol privasi, untuk menyamarkan pencucian $60 juta Ether, yang dikirim ke bursa kripto, kemudian dikonversi menjadi Bitcoin. Namun, melalui pelacakan dan analisis transaksi, sebagian dana tersebut diidentifikasi, dibekukan, dan dipulihkan oleh penyedia layanan aset virtual (VASP). Dana yang tersisa, yang belum dipulihkan, telah dipindahkan ke 11 alamat Ethereum yang berbeda, menurut FBI.

Pembaruan peretasan jembatan Wormhole

Peretas memindahkan $155 juta dana yang dicuri, dan meningkatkan leverage

Sebuah dompet yang terhubung ke salah satu pelanggaran terbesar di industri kripto pada 2022 kembali aktif tahun ini, mentransfer lebih dari $155 juta dana yang dicuri. Transaksi tersebut, pertama kali dalam beberapa bulan, bertujuan untuk meningkatkan posisi ETH mereka secara signifikan. Pada Januari, komunitas kripto mengamati informasi on-chain yang menunjukkan rangkaian aktivitas yang dilakukan oleh aktor yang meretas lebih dari $321 juta Ether (120.000 wETH) dari Wormhole Portal Token Bridge. Rangkaian pertukaran peretas dimulai dengan alamat mereka mengkonsolidasikan Ether sebelum memulai sebuah pertukaran 95.630 token untuk 96.677 Ether yang dipertaruhkan Lido (stETH) melalui agregator pertukaran terdesentralisasi OpenOcean.

Selanjutnya, aktor tersebut membungkus 86.473 stETH menjadi wstETH, token likuid Lido yang diterbitkan untuk pemegang Ether. Dari token yang baru dibungkus, ia menjaminkan 25.000 wsETH untuk meminjam 13 juta DAI. Peretas kemudian memanfaatkan DAI untuk memperoleh 8.000 stETH melalui DEX berbasis Ethereum, Kyber Networks, dan melakukan beberapa perdagangan serupa melalui protokol DeFi seperti 1Inch sambil terus meningkatkan leverage. Aktor ilegal tersebut menerima tambahan DAI senilai $1,5 juta, yang juga ditukar menjadi 923 stETH.

$61 juta dipindahkan untuk mencari arbitrase pada aset yang dipatok Ether

Kripto yang diperoleh secara tidak sah dari salah satu peretasan jembatan terbesar di industri kripto tahun lalu juga bergerak bulan lalu. PeckShield mengamati bahwa dompet terkait peretas juga menunjukkan aktivitas pada Februari, mentransfer aset kripto senilai $46 juta. Serangan utama entitas peretasan tersebut berhasil mencuri lebih dari $320 juta Wrapped ETH (wETH) pada Februari 2022. Aktor tersebut memindahkan 95.630 ETH senilai $155 juta pada 12 Februari, mengirimnya ke DEX terdesentralisasi OpenOcean, kemudian mengonversinya menjadi aset yang dipatok Ether – wstETH dan stETH milik Lido.

Firma keamanan blockchain tersebut juga mencatat bahwa peretas, yang sejak itu mengabaikan tawaran bug bounty $10 juta, tampaknya mencari peluang hasil atau arbitrase dengan aset yang dicuri karena mereka ditukar menjadi 16,6 juta DAI, stablecoin MakerDAO. Penyerang menempatkan tambahan 8,8k wstETH ($15 juta) ke MakerDAO. Wormhole juga menegaskan kembali tawarannya kepada penyerang untuk mengembalikan dana dan menerima bug bounty $10 juta.