Seorang peretas menguras lebih dari $49 juta dalam USDC dari bank stablecoin Infini. Eksploitasi tersebut mungkin terjadi karena akses orang dalam ke kontrak pintar, di mana pengembang tetap memiliki akses setelah mengirimkannya ke Infini.
Akses admin ke kontrak pintar memungkinkan seorang eksploitator menguras $49 juta dari protokol Infini, sebuah bank DeFi stablecoin. Infini sendiri belum bereaksi terhadap eksploitasi tersebut, atau menjelaskan sifat peretasan tersebut. Infini adalah penerbit kartu kripto, yang mengambil agunan stablecoin untuk melakukan pembayaran harian.
Infini mengiklankan layanan pembayarannya sebagai neobank, yang memadukan kripto dan keuangan tradisional. Produk tersebut menarik 500% lebih banyak pengguna dalam beberapa minggu terakhir, saat memulai kampanye kartunya. Neobank tersebut juga menawarkan produk pendapatan dengan hasil tinggi, yang menyebabkan peningkatan likuiditas yang tersedia bagi para eksploitator.
Produk hasil yang tepat adalah yang menciptakan kondisi untuk eksploitasi, karena dana dilaporkan diambil dari Morpho MEV Capital Usual USDC Vault. Morpho belum mengeluarkan peringatan atau melaporkan dana yang hilang.
Eksploitasi dicatat setelah transaksi paus yang terlihat biasa, di mana dompet baru menarik semua dana yang terkunci dalam kontrak. Dompet penyerang diketahui oleh Infini, karena proyek tersebut dilaporkan memerintahkan pelaku eksploitasi untuk membuat kontrak pintar. Tanpa diketahui oleh proyek, penyerang mempertahankan hak admin dan dapat melakukan panggilan untuk menguras semua likuiditas.
🚨PERINGATAN🚨Hari ini, @0xinfini mengalami eksploitasi $49 juta $USDC akibat peretas yang menyalahgunakan hak administratif yang dipertahankan.
Penyerang, yang beroperasi dari 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, awalnya mengembangkan kontrak sebagai bagian dari proyek Infini. Namun, setelah… pic.twitter.com/olguOyNCJr
— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) 24 Februari 2025
Tindakan langsung dari pelaku eksploitasi adalah menukar USDC untuk membeli 17.696 ETH. Pelaku eksploitasi melalui DAI, yang tersedia melalui protokol terdesentralisasi. Dana bergerak melalui Uniswap, Sky Protocol, dan 0x Protocol. Menukar USDC secepat mungkin memungkinkan peretas untuk memindahkan dana ke ETH, yang tidak dapat dibekukan, hanya dapat diblacklist dari bursa.
Setelah itu, penyerang membagi hasil menjadi jumlah yang lebih kecil dan beberapa alamat. Pelaku eksploitasi menggunakan dompet baru untuk mengirimkan sejumlah kecil ETH untuk gas dan menyelesaikan transaksi. Pendanaan awal untuk dompet tersebut berasal dari Tornado Cash, menyembunyikan sebagian dari keberadaan on-chain peretas.
Setelah itu, ETH dipindahkan melalui serangkaian transfer. Pada saat penulisan, dana masih belum dicampur.
Apakah para peretas DPRK menyerang lagi?
Identitas pembuat kontrak tetap tidak diketahui, karena Infini belum mengungkapkan siapa yang diperintahkan untuk membangun kontrak pintar.
Peretasan Infini mengikuti eksploitasi terbesar 2025, di mana bursa Bybit kehilangan hingga $1,5 miliar dalam Ethereum (ETH). Peretas Bybit memiliki pendekatan serupa dengan membagi ETH sebelum dicampur. Penyelidik on-chain ZachXBT telah menunjukkan beberapa contoh bahwa pendekatan ini adalah salah satu langkah khas dari kelompok peretas Lazarus. Untuk saat ini, Infini belum menghubungkan dompet pelaku eksploitasi dengan alamat Lazarus lainnya yang dikenal.
Kali ini, tidak ada kunci pribadi yang bocor, dan Infini belum menghentikan penarikan dan setoran.
Pendiri Infini, @christianeth, mengambil tanggung jawab penuh atas eksploitasi tersebut, menyatakan bahwa ia lalai dalam proses transfer otoritas dari pengembang ke proyek. Pendiri meyakinkan pengguna bahwa protokol tetap likuid, dan akan mengeluarkan kompensasi penuh dalam skenario terburuk.
“Kunci pribadi saya tidak bocor, jadi tidak perlu khawatir terlalu banyak. Saya lalai saat mentransfer otoritas sebelumnya. Ini akhirnya adalah tanggung jawab saya. Ini telah membunyikan alarm… Tidak ada masalah dengan likuiditas. Kompensasi penuh dapat dibayarkan dan dana sedang dilacak,” tulis @christianeth di X.
Analisis on-chain lainnya menunjukkan potensi kebocoran kunci pribadi, yang memungkinkan peretas mengakses kontrak. PeckShield mencatat bahwa insinyur yang berubah menjadi peretas telah diidentifikasi. Setelah serangan, salah satu pendiri Infini, @0xsexybanana, menghapus akun X-nya. Pencurian saat ini dicurigai sebagai serangan dari dalam, karena insinyur tersebut dipercaya cukup untuk membuat kontrak pintar.
Eksploitasi dan penimbunan ETH baru-baru ini menimbulkan pertanyaan tentang penggunaan rantai untuk pencucian uang dan potensi pendanaan rezim yang bermusuhan. Pada saat yang sama, eksploitasi tersebut memicu kenaikan kecil ETH, di mana aset tersebut naik di atas $2.800 untuk pertama kalinya dalam beberapa minggu. Kerugian ETH berarti bahwa bursa harus memulihkan cadangan mereka, yang mengarah pada permintaan tambahan.
Akademi Cryptopolitan: GRATIS Web3 Resume Cheat Sheet - Unduh Sekarang