Pada tanggal 1 Januari 2024, menurut data pemantauan dari Beosin EagleEye, proyek Orbit Chain mengalami serangan yang mengakibatkan kerugian setidaknya $80 juta. Analisis Beosin Trace mengungkapkan bahwa alamat peretas (0x27e2cc59a64d705a6c3d3d306186c2a55dcd5710) memulai serangan skala kecil sehari sebelumnya, menggunakan ETH yang dicuri sebagai sumber biaya transaksi untuk lima alamat tersisa yang terlibat dalam serangan tersebut.
Orbit Chain adalah platform jembatan lintas rantai, yang memungkinkan pengguna untuk menggunakan berbagai aset terenkripsi dari berbagai blockchain dalam satu rantai. Proyek ini untuk sementara menangguhkan kontrak jembatan lintas rantai dan sedang berkomunikasi dengan peretas. Tim keamanan Beosin segera melakukan analisis terhadap insiden keamanan ini.
Analisis Peristiwa
Aspek utama dari insiden ini melibatkan penyerang yang secara langsung memanggil fungsi penarikan Orbit Chain: Kontrak jembatan untuk mentransfer aset.
Analisis lebih lanjut terhadap kode fungsi penarikan mengungkapkan bahwa fungsi tersebut menggunakan metode verifikasi tanda tangan untuk memastikan keamanan dan keabsahan pinjaman.
Dalam transaksi blockchain, verifikasi tanda tangan adalah mekanisme keamanan umum yang digunakan untuk mengonfirmasi apakah pemrakarsa transaksi memiliki izin dan kontrol yang memadai. Dalam fungsi penarikan, metode verifikasi tanda tangan memastikan bahwa hanya pengguna atau kontrak yang berwenang yang dapat berhasil memanggil fungsi tersebut dan mentransfer aset.
Saat memasuki fungsi verifikasi tanda tangan (_validate), dapat diamati bahwa fungsi tersebut mengembalikan jumlah tanda tangan pemilik, informasi penting untuk memverifikasi keabsahan dan keamanan transaksi.
Dengan mengembalikan nomor tanda tangan pemilik, kepatuhan dan keaslian transaksi dapat diverifikasi sampai batas tertentu. Bergantung pada implementasi spesifiknya, jumlah tanda tangan pemilik dapat dibandingkan dengan ambang batas yang telah ditentukan sebelumnya untuk menentukan apakah kondisi untuk melaksanakan transaksi terpenuhi.
Langkah selanjutnya melibatkan pemeriksaan apakah kuantitas ini lebih besar atau sama dengan nilai yang diperlukan. Jika kondisi terpenuhi, penarikan dilakukan.
Menurut data on-chain, ada total 10 alamat yang mengelola kontrak ini. Nilai yang diperlukan adalah 7, yang menunjukkan bahwa 70% tanda tangan administrator diperlukan untuk menjalankan transaksi penarikan.
Singkatnya, penyebab insiden tersebut tampaknya adalah kompromi pada server yang menyimpan kunci pribadi administrator.
Proses Serangan
Menurut data on-chain, peretas memulai serangan terhadap proyek Orbit Chain secara progresif mulai tanggal 30 Desember 2023, 15:39:35+UTC. Jumlah ETH yang dicuri oleh peretas relatif kecil, dan ETH yang dicuri dikirimkan ke beberapa alamat peretas lain sebagai biaya transaksi.
Beberapa alamat peretas lainnya kemudian menyerang DAI, WBTC, ETH, USDC, dan USDT Orbit Chain pada tanggal 31 Desember 2023, pukul 21.00+UTC.
Pelacakan Dana
Pada saat penulisan, dana yang dicuri telah ditransfer ke lima alamat yang disebutkan sebelumnya setelah serangan resmi dimulai. Dalam lima transaksi terpisah, masing-masing dikirim ke dompet baru, Orbit Bridge mengirimkan stablecoin senilai $50 juta (30 juta Tether, 10 juta DAI, dan 10 juta USDC), 231 wBTC (sekitar $10 juta), dan 9,500 ETH (sekitar $21,5 juta) .
Insiden keamanan jembatan lintas rantai ini berfungsi sebagai pengingat keamanan, menekankan bahwa keamanan harus selalu menjadi pertimbangan utama dalam merancang dan mengimplementasikan sistem blockchain.
Pertama, perhatian harus diberikan pada keamanan kode. Kode kontrak adalah komponen inti dari sistem blockchain, dan oleh karena itu, praktik terbaik dan standar keamanan harus diikuti saat menulis dan meninjau kode kontrak untuk menghindari kerentanan keamanan umum dan vektor serangan.
Kedua, otentikasi dan verifikasi identitas sangat penting. Dalam sistem blockchain, memastikan bahwa hanya pengguna atau kontrak yang berwenang yang dapat melakukan operasi penting sangat penting untuk mencegah akses tidak sah dan hilangnya aset. Mengadopsi mekanisme verifikasi identitas yang kuat, multi-tanda tangan, dan langkah-langkah manajemen izin dapat secara efektif membatasi akses dan memastikan bahwa hanya entitas resmi yang dapat melakukan operasi sensitif.
Kontak
Jika Anda memerlukan layanan keamanan blockchain, selamat datang untuk menghubungi kami:
Situs Resmi Beosin EagleEye Twitter Telegram Linkedin