10 Insiden Keamanan DeFi dan Jembatan Blockchain pada 2021–2022

Sepuluh insiden keamanan historis ini menunjukkan risiko berbeda pada DeFi, jembatan blockchain, dan penyedia layanan kripto. DeFi berarti keuangan terdesentralisasi, mencakup perdagangan, pinjaman, dan penyediaan likuiditas. Desentralisasi tidak menjamin privasi, keamanan, atau keuntungan. Tidak semua perusahaan dalam daftar merupakan protokol terdesentralisasi.

Pertumbuhan disertai kelemahan kontrak, pengelolaan kunci, tata kelola, dan antarmuka web. Daftar ini memilih insiden terkenal pada 2021–2022, bukan peringkat peretasan terbesar saat ini. Nilai dolar merupakan perkiraan historis; aset dicuri, dana terpapar risiko, dan kerugian akhir tidak sama.

1. Ronin Network — sekitar US$625 juta

Jembatan Ronin diserang pada 23 Maret 2022 dan insiden diumumkan pada 29 Maret. Nilai historisnya sekitar US$625 juta. Jembatan menghubungkan Ronin dengan Ethereum dan digunakan antara lain untuk aset pemain Axie Infinity.

Axie Infinity merupakan permainan blockchain tempat pemain mengumpulkan, mempertarungkan, dan mengembangbiakkan makhluk digital. Sifatnya dapat memengaruhi kelangkaan, tetapi hadiah dan nilai pasar tidak dijamin.

Penyerang menguasai kewenangan lima dari sembilan validator sehingga dapat mengesahkan penarikan tidak sah atas 173.600 ETH dan 25,5 juta USDC. Sky Mavis kemudian mengganti dana pengguna, berbeda dari mengambil kembali hasil curian. Pada September 2022, Chainalysis melaporkan lebih dari US$30 juta hasil curian telah disita. Jadi, klaim bahwa tidak ada dana yang ditemukan kembali tidak benar.

2. Poly Network — sekitar US$610 juta

Pada 10 Agustus 2021, Poly Network mengalami pencurian sekitar US$610 juta pada Ethereum, BNB Smart Chain, dan Polygon. Analisis teknis SlowMist menunjukkan penyerang menyalahgunakan pemanggilan kontrak lintas rantai untuk mengganti keeper tepercaya. Ini bukan pencurian kunci privat validator seperti pada Ronin.

Saat pemulihan berlangsung, sebagian besar sisa aset sementara berada dalam dompet multisig yang memerlukan kerja sama proyek dan penyerang. Poly Network menawarkan hadiah US$500.000 dan membahas tidak menuntut pelaku, tetapi tidak dapat menjamin kekebalan dari penegakan hukum pemerintah. Pernyataan bahwa US$268 juta masih terkunci bukan keadaan akhir insiden.

Pada 23 Agustus, Poly Network menyatakan kendali atas sisa aset telah dipulihkan. Tether juga mengirim sekitar 33,43 juta USDT yang dibekukan ke dompet pemulihan pada 25 Agustus. Pada 26 Agustus, proyek menyatakan semua aset terdampak telah pulih. US$33 juta itu bukan dana yang tidak diketahui keberadaannya. Pernyataan pelaku bahwa serangan dilakukan untuk bersenang-senang merupakan klaimnya sendiri.

3. Wormhole Bridge — sekitar US$325 juta

Wormhole menyediakan pesan dan transfer token lintas blockchain. Token terbungkus mewakili aset pada rantai lain dan bergantung pada verifikasi yang benar serta kecukupan aset penopang.

Dalam insiden pada 2 Februari 2022 ini, verifikasi di sisi Solana dilewati. Penyerang mencetak 120.000 wETH tanpa penopang yang sesuai, bukan hanya 93.750. Sebanyak 93.750 kemudian ditukarkan melalui jembatan menjadi ETH di Ethereum. Jump Crypto menambahkan 120.000 ETH untuk menutup kekurangan; penggantian modal itu bukan pengembalian dari pelaku.

4. Nomad Bridge — sekitar US$186–190 juta

Pada 1 Agustus 2022, cacat autentikasi setelah perubahan kontrak Nomad membuat pesan tidak sah diterima. Penarikan tidak memerlukan setoran yang sesuai. Masalahnya bukan fasilitas pinjaman baru yang dibuat penyerang.

Cara tersebut mudah disalin. Nomad melaporkan lebih dari 300 alamat terlibat; alamat tidak selalu mewakili orang berbeda. Tim menerbitkan data alamat dan transaksi, meminta pengembalian dana, serta menyediakan dompet pemulihan dan program imbalan.

Pada 17 Agustus 2022, Nomad menyatakan lebih dari US$37 juta, sekitar 20%, telah kembali. Angka bertanggal ini lebih tepat daripada klaim tanpa tanggal bahwa lebih dari US$30 juta dikembalikan dan seluruh sisanya masih hilang. Pengembalian sukarela berjalan bersama penyelidikan lanjutan.

5. Beanstalk Farms — dampak sekitar US$182 juta, aset non-Bean dicuri sekitar US$77 juta

Beanstalk merupakan protokol stablecoin berbasis kredit. Patokan harga Bean didukung insentif bagi pemberi pinjaman, bukan cadangan biasa satu dolar per token. Stablecoin algoritmik memiliki desain berbeda dan tidak semuanya memakai cadangan digital yang sama.

Pada 17 April 2022, penyerang memakai pinjaman kilat untuk memperoleh kekuatan suara dan menjalankan proposal tata kelola berbahaya yang memindahkan aset protokol. Dampak sekitar US$182 juta yang sering dikutip bukan hasil bersih pelaku. Beanstalk menyatakan sekitar US$77 juta aset selain Bean dicuri.

Transfer kecil sekitar US$250.000 dikirim ke alamat donasi Ukraina. Klaim bahwa pelaku menyimpan sekitar US$70 juta dan menyumbangkan seluruh sisa US$182 juta kepada pengungsi tidak benar. Pelunasan pinjaman kilat dan perbedaan antara dampak bruto serta hasil bersih bukan donasi amal yang sangat besar.

6. Wintermute — sekitar US$160 juta

Wintermute adalah pembentuk pasar kripto. Pada 20 September 2022, sekitar US$160 juta dicuri dari operasinya di DeFi. Insiden dikaitkan dengan alamat khusus yang dibuat memakai Profanity dan kelemahan pembuatan kunci. Vanity wallet bukan nama produk penyimpanan untuk semua nasabah.

Menyimpan kunci secara luring dapat membatasi paparan serangan daring, misalnya dengan pemisahan fisik dari jaringan. Namun, penyimpanan dingin tidak memperbaiki semua cacat kontrak atau persetujuan token berbahaya. Pembuatan kunci yang aman, pembatasan kewenangan, dan pengelolaan dompet operasional tetap penting.

7. Compound — distribusi COMP keliru, bukan kerugian bersih US$150 juta yang terbukti

Compound merupakan protokol pinjaman yang tetap beroperasi setelah insiden. Pada 29 September 2021, proposal 62 menimbulkan kesalahan perhitungan imbalan COMP. Cacat yang kadang disebut keran bocor ini membagikan terlalu banyak COMP yang sudah ada; tidak mencetak token baru tanpa batas.

Angka awal 280.000 COMP merupakan imbalan tersedia dalam kontrak Comptroller, bukan kumpulan likuiditas yang dibuat peretas. Tambahan COMP kemudian dapat mengalir dari Reservoir. Perbaikan memerlukan proposal tata kelola dan masa tunggu sehingga tidak dapat dijalankan seketika.

Pada 14 Oktober, Compound melaporkan 163.000 COMP yang salah diklaim telah dikembalikan, 130.000 tetap dalam Comptroller, dan sekitar 200.000 yang salah dibagikan masih beredar di luar. Proposal 64 memperbaiki cacat pada 8 Oktober, dengan koreksi akuntansi lanjutan diperlukan. Ini menyangkut distribusi imbalan, bukan pencurian US$150 juta dari seluruh simpanan pengguna. Angka tersebut juga tidak membuktikan klaim umum bahwa lebih dari setengah suatu total tetap berhasil dipulihkan.

8. Vulcan Forged — sekitar US$140 juta

Serangan Desember 2021 terhadap Vulcan Forged menargetkan dompet pemain. Platform ini menyediakan permainan blockchain dan pasar NFT. Penggunaan token pada aplikasi lain tidak menjamin peningkatan keuntungan.

Menurut Venly, server Vulcan Forged disusupi; PIN dan kredensial perusahaan disalahgunakan untuk mengekspor sedikitnya 96 dompet. Venly menyatakan servernya sendiri tidak diretas. PYR yang dicuri saat itu diperkirakan bernilai US$140 juta. Pada 13 Desember, Venly menyebut Vulcan Forged mengganti sebagian besar dari kasnya sendiri, bukan bahwa seluruh kerugian langsung dibayar.

9. BadgerDAO — sekitar US$120 juta

Serangan 2 Desember 2021 menimbulkan kerugian sekitar US$120 juta menurut perkiraan waktu itu. Daftar awal menyebut sekitar 2.100 BTC dan 151 ETH; angka Bitcoin mencakup token perwakilan atau nilai Bitcoin, bukan BTC asli dalam kontrak Ethereum. BadgerDAO menyediakan produk DeFi berorientasi Bitcoin. Serangan menargetkan antarmuka web.

Kode berbahaya pada antarmuka membuat pengguna menandatangani izin token yang tidak diinginkan. Laporan teknis menjelaskan penyalahgunaan kunci API Cloudflare untuk lingkungan Badger, bukan bukti seluruh Cloudflare diretas. Belakangan, situs proyek menjelaskan penghentian produk vault lama. Ini merupakan perubahan produk terpisah, bukan bukti semua kontrak protokol berhenti saat serangan.

10. Horizon Bridge — sekitar US$100 juta

Serangan Horizon Bridge terjadi pada 23 Juni 2022 dan diumumkan pada 24 Juni. Sekitar US$100 juta dicuri dari sisi Ethereum jembatan. Harmony membatasi operasi dan memulai penyelidikan dengan mitra keamanan serta otoritas.

Kunci privat yang disusupi memungkinkan tanda tangan tidak sah. Ambang awalnya dua dari lima penanda tangan, bukan dua dari empat. Harmony kemudian menyatakan ambang ditingkatkan menjadi empat dari lima. Kekhawatiran atas ambang rendah telah dibahas terbuka sebelum serangan. Keamanan multisig bergantung pada ambang dan pengelolaan kunci yang aman serta independen.

Pelajaran dari berbagai insiden

Teknologi baru tidak menghapus risiko penipuan dan serangan. Kasus-kasus ini menunjukkan kelemahan berbeda dalam tata kelola dengan suara pinjaman, logika kontrak, pengelolaan kunci, dan antarmuka web. Penyelidikan serta pemulihan dapat membantu, tetapi serangan sebelumnya tidak menjamin pencegahan pada platform lain atau pengembalian dana korban.