Kerugian dari Peretasan Crypto dan Eksploitasi DeFi pada Kuartal 2 Diperkirakan Menyamai Angka Kuartal 1

Lebih dari $320 juta hilang ke tangan aktor jahat dalam ruang crypto pada kuartal pertama tahun ini menurut data yang dikumpulkan oleh platform keamanan kontrak pintar CertiK. Angka tersebut menunjukkan penurunan signifikan dibandingkan kuartal sebelumnya (Q4 2022) dan dibandingkan periode serupa pada tahun sebelumnya. Perusahaan keamanan blockchain tersebut mengaitkan penurunan ini dengan insiden mengkhawatirkan yang mengguncang industri selama tiga bulan tersebut.

Peristiwa penting itu mencakup gejolak pasar stablecoin dan krisis perbankan yang meluas ke aset digital. Kejadian tersebut mendorong investor menyisihkan dana serta mengurangi minat pendatang baru dan arus modal. Sebelum kuartal kedua mencapai pertengahan, kerugian dari serangan baru diperkirakan mendekati angka kuartal pertama. Ini merupakan perkiraan saat itu, bukan hasil akhir seluruh kuartal kedua.

$103 juta hilang karena peretasan, eksploit, dan penipuan pada April

Pada Maret, sekitar 211 juta dolar aset kripto dicuri, terutama melalui peretasan Euler Finance senilai 197 juta dolar. Kerugian April sedikit kurang dari separuhnya: CertiK memperkirakan 103,7 juta dolar hilang akibat eksploitasi kerentanan, peretasan, dan penipuan.

Menurut angka yang dikutip artikel, total kerugian empat bulan pertama mencapai 429,7 juta dolar. Peristiwa besar lainnya ialah serangan terhadap bot perdagangan MEV di Ethereum, ketika validator jahat mengeksploitasi transaksi bot dan menyebabkan kerugian sekitar 25,4 juta dolar. Bursa Bitrue juga dilaporkan kehilangan 23 juta dolar dalam ether dan aset lain dari satu dompet panasnya.

Serangan flash loan

Peristiwa yang terkait Yearn Finance termasuk serangan flash loan terbesar pada April; Yearn menjadi sasaran, bukan pelaku. Dampaknya terkait protokol iEarn lama dan pool likuiditasnya. Menurut PeckShield pada 13 April, penyerang memanfaatkan kesalahan kontrak yUSDT untuk mencetak sekitar 1,3 kuadriliun token dari 10.000 USDT. Angka kuadriliun adalah jumlah token, bukan nilai dolar. Hasil pertukaran diperkirakan bernilai sekitar 11,6 juta dolar, berupa sekitar 61.000 USDP, 1,5 juta TUSD, 1,79 juta BUSD, 1,2 juta USDT, 2,58 juta USDC, dan 3 juta DAI.

Hundred Finance mengalami serangan pada 15 April di Optimism, jaringan lapis kedua Ethereum, dengan kerugian sekitar 7,4 juta dolar menurut perkiraan yang digunakan artikel. Serangan melibatkan flash loan WBTC dan manipulasi kurs hWBTC. Setelah negosiasi tidak membuahkan hasil, proyek menawarkan 500.000 USDC untuk informasi yang mengarah pada penangkapan penyerang dan pengembalian seluruh dana. Pada Maret 2022, Hundred Finance juga kehilangan sekitar 6,5 juta dolar akibat serangan reentrancy. Artikel menyebut total kerugian penipuan exit pada April sebesar 9,4 juta dolar, termasuk peristiwa Merlin.

CertiK menegaskan pengembang nakal mencuri $1,8 juta dalam serangan Merlin

Bursa terdesentralisasi Merlin di zkSync kehilangan sekitar 1,82 juta dolar dalam rangkaian penjualan publik token MAGE selama tiga hari pada akhir April. Bursa mempromosikan imbal hasil simpanan dan audit CertiK. Setelah mengonfirmasi insiden, Merlin meminta pengguna mencabut izin dompet. CertiK menyebut masalah pengelolaan kunci privat.

Dalam sebuah thread yang membahas insiden tersebut, perusahaan keamanan blockchain itu kemudian menyoroti bahwa mereka telah menunjukkan risiko sentralisasi di bawah ‘Upaya Desentralisasi’ dalam laporan audit Merlin mereka. Namun, beberapa orang mempertanyakan kualitas pekerjaan yang dilakukan oleh perusahaan tersebut. Sementara itu, kode berbahaya yang diduga menyebabkan kehilangan dana diidentifikasi oleh eZKalibur, sebuah pertukaran terdesentralisasi, dan launchpad yang juga dibangun di atas zkSync. eZKalibur menunjukkan bahwa fungsi initialize menciptakan semacam pintu belakang, memungkinkan jumlah token tak terbatas ditransfer dari alamat kontrak ke ‘feeTo address’.

Rencana kompensasi sedang disiapkan

CertiK mengatakan pada 26 April bahwa mereka sedang mengeksplorasi rencana kompensasi bagi yang terdampak sambil tetap mendesak individu yang bertanggung jawab untuk mengembalikan 80% dana dan menyisakan sisanya sebagai hadiah white hat. Mereka lebih lanjut menyatakan bahwa bukan serangan, melainkan Merlin menjadi korban pengembang nakal – yang menjelaskan mengapa entitas tersebut dapat menyedot pool likuiditas dengan begitu mudah. Tim keamanan blockchain tersebut mengatakan pelaku diyakini berada di Eropa dan mereka bekerja dengan lembaga penegak hukum untuk membawa mereka ke pengadilan jika negosiasi langsung menemui kebuntuan.

Dalam pembaruan situasi pada hari Jumat, CertiK menegaskan bahwa semua ini adalah rug pull oleh pengembang Merlin yang memanfaatkan hak istimewa dompet mereka untuk menipu pengguna. Mereka menambahkan bahwa upaya berkolaborasi dengan tim Merlin yang tersisa dihadapkan pada tantangan karena beberapa anggota inti tidak bersedia memverifikasi identitas mereka, sehingga validasi dan bantuan akhir bagi korban menjadi sulit. CertiK telah membekukan $160.000 dari dana yang dicuri sejauh ini dan memantau dengan cermat sisa jumlah tersebut dengan harapan pemulihan. Mereka bekerja dengan lembaga penegak hukum di AS dan Inggris untuk upaya ini serta menjanjikan $2 juta untuk membantu korban dan memerangi penipuan exit.

Peretas memanipulasi oracle harga untuk mencuri $2 juta dari protokol pinjaman Polygon 0VIX

0VIX terkena manipulasi oracle harga pada akhir April, dengan perkiraan kerugian awal lebih dari 2 juta dolar. Serangan terkait vGHST, token yang mewakili GHST milik proyek permainan Aavegotchi dalam GotchiVault; permainan itu terinspirasi Tamagotchi. Menurut perkiraan PeckShield yang dikutip artikel, penyerang menggunakan flash loan stablecoin sekitar 6,12 juta dolar untuk membuka posisi pinjaman vGHST.

Penyerang memanipulasi perhitungan nilai vGHST dan posisi pinjaman. Pengiriman GHST ke kontrak menaikkan kurs token vault, kemudian likuidasi posisi memungkinkan pengambilan dana dan meninggalkan utang bermasalah. Ini bukan sekadar kenaikan harga GHST di seluruh pasar. Tim menghentikan pasar pinjaman Polygon PoS dan zkEVM serta mulai menangani situasi.

0VIX Protocol Association kemudian mengumumkan pembukaan kembali pasar zkEVM, sehingga pengguna dapat mengakses dananya tanpa pembatasan. Pengguna diminta memeriksa posisi serta health factor dan melunasi utang. Penghentian zkEVM hanya langkah pencegahan karena pasar itu tidak terkena serangan. Asosiasi menahan detail tambahan demi penyelidikan dan menyatakan terus bekerja dengan mitra keamanan untuk memulihkan dana yang dicuri.

Kesalahan mekanisme imbalan Level Finance memungkinkan pencurian token LVL senilai sekitar 1 juta dolar

Pada awal Mei, Level Finance kehilangan token LVL senilai sekitar 1 juta dolar. Bursa spot dan kontrak perpetual nonkustodial berbasis BNB Chain itu mengonfirmasi pada 1 Mei bahwa kontrak referral LevelReferralControllerV2 menjadi sasaran. Kesalahan klaim berulang memungkinkan sekitar 214.000 LVL diambil lalu ditukar menjadi 3.345 BNB.

Perusahaan keamanan blockchain PeckShield mengatakan bahwa peretasan tersebut disebabkan oleh bug yang memungkinkan klaim rujukan berulang (dalam epoch yang sama), yang Level Finance konfirmasi berasal dari pembaruan terbaru pada mekanisme insentifnya. Platform tersebut sementara menghentikan program rujukannya untuk menghentikan serangan, meskipun peristiwa ini tidak memengaruhi pool likuiditas atau DAO yang terhubung.

Deus Finance menghentikan kontrak dan membakar DEI setelah peretasan $6 juta

Deus Finance mengumumkan pada awal Mei bahwa stablecoin DEI diserang di BNB Smart Chain dan Arbitrum. Perkiraan kerugian awal melebihi 6 juta dolar. Kesalahan pengaturan izin dalam fungsi burnFrom DEI memungkinkan transfer tanpa izin, dan beberapa transaksi eksploit didahului pihak lain. Artikel menyebut 1.337.375 BUSD diambil dari pool DEI/BUSD serta kerugian sekitar 5 juta dolar di Arbitrum; angka kedua bukan pool perdagangan ARB/ETH. Deus menghentikan kontrak dan membakar token DEI di blockchain untuk membatasi kerugian. Tim mengevaluasi jaminan DEI serta merencanakan pemulihan dan penebusan berdasarkan saldo sebelum pembakaran.

Deus menyatakan sedang menilai apakah transaksi orang yang terjebak dalam arbitrase setelah serangan dapat segera dibalik. Menurutnya, sistem Deus v3 terpisah dari DEI dan tidak terkena dampak. Proyek meminta pengembalian 80% dana dan membolehkan sisanya sebagai imbalan white hat. Dalam unggahan saat itu, Deus melaporkan pengembalian 2.023 ETH ke alamat dompet multisig pemulihan yang dikelola anggota tepercaya terkait Yearn Finance.