🚨 Ada masalah dengan swETH/rswETH milik Swell: bukan tokennya yang dicuri langsung, melainkan “nilai tukarnya” yang dimanipulasi
Pagi ini, peneliti on-chain Spreek mengeluarkan peringatan: kunci terkait administrator untuk dua token staking likuid milik Swell DAO, swETH dan rswETH, diduga telah dicuri. Ia sendiri masih belum yakin dan menduga insiden ini mungkin berkaitan dengan gangguan platform cloud Railway dalam beberapa hari terakhir. Belum ada kesimpulan saat ini.
Situasi yang terlihat saat ini:
🔹 Penyerang menaikkan NAV kedua token ini (berapa ETH yang diwakili setiap token), hingga maksimal 1% per jam, tanpa dukungan ETH sungguhan
🔹 Empat kontrak upgrade berbahaya telah di-deploy secara on-chain. Menurut Spreek, eksekusinya masih menunggu proses multisig. Jika dieksekusi, kontrak tersebut berpotensi menguras sekitar 2.500 ETH
🔹 Ada laporan yang menyebut pihak Swell mengatakan bahwa sejauh ini belum ada ETH yang keluar dari kontrak
Menurut saya, hal yang paling perlu diperhatikan orang awam dari insiden ini adalah metode “menaikkan nilai tukar”.
Harga token staking likuid sering kali bukan ditentukan oleh pasar, melainkan oleh nilai tukar yang dilaporkan oracle. Jika nilai tukar dinaikkan begitu saja, seseorang bisa menggunakan swETH yang nilainya sudah digelembungkan sebagai jaminan di protokol pinjaman untuk meminjam aset sungguhan, atau menukarkannya dengan lebih banyak ETH di pool. Yang dirugikan mungkin bukan Swell sendiri, melainkan semua platform yang menetapkan harga token tersebut berdasarkan nilai tukar ini.
Hal lain yang patut dicermati adalah multisig. Kontrak berbahaya memang sudah di-deploy, tetapi masih tertahan dalam proses multisig. Inilah alasan multisig dan timelock dibuat: jika kunci hilang, masih ada satu pintu terakhir. Apakah suatu proyek memiliki timelock dan bagaimana distribusi para penandatangannya biasanya jarang diperhatikan, tetapi saat terjadi insiden, hal-hal itulah yang menjadi penentu hidup dan mati.
Jika kamu memiliki swETH/rswETH atau LP terkait:
🔹 Jangan buru-buru membeli saat harganya “diskon” di tengah simpang siur informasi; nilai tukarnya sendiri mungkin palsu
🔹 Periksa protokol pinjaman mana saja yang menggunakan token ini sebagai jaminan
🔹 Hanya ikuti pengumuman dari akun resmi Swell. Tautan “klaim kompensasi” atau “migrasi” yang beredar setelah insiden biasanya adalah phishing
Dalam seminggu ini, mulai dari kerentanan PHP, Railway, hingga GitLab, semakin banyak risiko di dunia kripto yang berasal dari infrastruktur Web2. Token staking yang kamu miliki, tahukah kamu siapa yang melaporkan nilai tukarnya dan siapa yang bisa mengubahnya?
#Swell #流动性质押 #链上安全 #ETH