Seorang peretas mengidentifikasi cacat dalam protokol keuangan terdesentralisasi (DeFi) Resupply pada Kamis pagi yang membantu mereka mencuri hampir $9,6 juta dalam aset digital. Penyerang dilaporkan memanipulasi harga token melalui kerentanan kontrak pintar.
Menurut analis keamanan blockchain, Resupply, platform stablecoin DeFi yang terintegrasi dengan Convex Finance dan Yearn Finance, adalah target utama eksploitasi. Penyerang menggunakan taktik manipulasi harga yang rumit pada cvcrvUSD, token yang terikat dengan Convex, untuk menipu sistem dan mendapatkan pinjaman menggunakan jaminan yang hampir tidak berharga.
Bug kontrak pintar menyebabkan nilai tukar nol
Poin utama pelanggaran ditemukan pada kontrak ResupplyPair, yang dikerahkan pada hari Kamis di alamat Ethereum “0x6e…6bd6″. Kontrak ini menggunakan harga cvcrvUSD untuk menghitung nilai tukar internal untuk pinjaman yang dijamin.
Sekali lagi, protokol pinjaman dieksploitasi melalui manipulasi nilai tukar di pasar dengan likuiditas rendah—bahkan yang kosong!
Secara khusus, penyerang secara artifisial meningkatkan harga saham #cvcrvUSD melalui donasi. Kontrak ResupplyPair @ResupplyFi (https://t.co/yo2N5lScHi, dibuat ~2 jam yang lalu) menggunakan… https://t.co/MelEYFLr98 pic.twitter.com/2qXC9IiREL
— BlockSec Phalcon (@Phalcon_xyz) 26 Juni 2025
Penyerang memanfaatkan ketergantungan ini dengan secara artifisial meningkatkan harga token cvcrvUSD melalui transaksi donasi yang terkoordinasi. Ketika nilai token melonjak, input harga dalam kontrak ResupplyPair meningkat pesat.
Namun, cacat dalam kode protokol, khususnya penggunaan pembagian bulat, menyebabkan nilai tukar dibulatkan ke nol begitu harga melewati ambang yang diukur.
Dengan nilai tukar diatur menjadi nol, penyerang dapat meminjam sejumlah besar stablecoin asli Resupply, reUSD, hanya dengan menggunakan 1 wei cvcrvUSD sebagai jaminan. Pemeriksaan insolvensi platform, yang bergantung pada nilai tukar ini, secara efektif dapat dihindari.
“Penyerang memanipulasi harga token, memicu bug (nilai tukar nol) dalam kontrak pintar Resupply, membiarkan mereka meminjam sejumlah besar uang dengan hampir tanpa biaya,” jelas Hakan Unal, pemimpin operasi keamanan senior di firma risiko blockchain Cyvers.
Tornado Cash digunakan untuk anonimitas transaksi
Aktivitas blockchain menunjukkan bahwa peretas awalnya mendanai dompet mereka melalui Tornado Cash, pengaduk protokol privasi terdesentralisasi yang digunakan oleh penjahat untuk menyembunyikan asal dana. Titik masuk serangan adalah transaksi di Cow Swap yang melibatkan 2 ETH, menurut analisis oleh firma keamanan blockchain PeckShield.
Setelah pelanggaran, mereka melikuidasi aset yang dicuri dengan mengonversi reUSD menjadi stablecoin dan Ethereum melalui Curve dan Uniswap, keduanya adalah bursa terdesentralisasi.
Profit sebesar $9,6 juta dibagi antara dua alamat Ethereum terpisah. Penyerang menggunakan baik USDC maupun wrapped Ethereum (wETH) untuk menyimpan hasil akhir.
Kemudian di hari itu, Resupply mengonfirmasi pelanggaran dan mengakui bahwa eksploitasi telah mempengaruhi pasar wstUSR mereka. Platform segera menghentikan semua kontrak untuk mencegah kerusakan lebih lanjut.
“Pengguna harus menghindari brankas reUSD dan menarik dana jika memungkinkan,” kata Unal kepada para investor yang menggunakan protokol tersebut.
Peretasan terkait crypto di 2025 semakin merajalela
Pelanggaran Resupply menambah rangkaian peretasan bernilai tinggi yang menargetkan baik keuangan terdesentralisasi maupun platform terpusat. Firma forensik blockchain Chainalysis melaporkan bahwa lebih dari $2,3 miliar sudah dicuri dalam peretasan crypto sejak awal 2025, angka yang melampaui total tahun lalu pada pertengahan tahun.
Hanya beberapa hari sebelum insiden Resupply, pada 18 Juni, bursa cryptocurrency yang berbasis di Iran, Nobitex, mengalami pelanggaran yang menghancurkan. Peretas mencuri lebih dari $90 juta dalam aset digital dari beberapa blockchain, termasuk Bitcoin, Ethereum, Dogecoin, Ripple, Solana, Tron, dan Ton.
Penyelidikan sebelumnya telah mengaitkan dompet di Nobitex dengan aktor yang berafiliasi dengan Korps Pengawal Revolusi Islam (IRGC), dan jaringan yang terkait dengan pemberontak Houthi di Yaman dan operatif Hamas.
Biro Nasional untuk Pemberantasan Pendanaan Terorisme (NBCTF) Israel telah mengidentifikasi platform tersebut sebagai saluran untuk dana ke beberapa entitas yang dikenakan sanksi. Ini termasuk outlet media pro-Hamas Gaza Now, yang diduga merupakan sayap propaganda al-Qaeda, dan bursa cryptocurrency Rusia yang dikenakan sanksi, Garantex dan Bitpapa.
Akademi Cryptopolitan: Ingin mengembangkan uang Anda di 2025? Pelajari cara melakukannya dengan DeFi di kelas web kami yang akan datang. Amankan Tempat Anda