Drift Protocol, sebuah bursa terdesentralisasi (DEX) berbasis Solana, mengonfirmasi pada hari Kamis bahwa mereka menjadi target dalam eksploitasi sekitar $280 juta, menggambarkannya sebagai "operasi yang sangat canggih."
Platform tersebut mengambil ke X untuk membagikan temuan dari investigasi awal, mengatakan bahwa para penyerang mengeksploitasi nonce tahan lama Solana, sebuah mekanisme yang memungkinkan transaksi yang sudah ditandatangani sebelumnya, untuk mengambil alih kontrol dan menguras dana. Protokol tersebut sebelumnya mengatakan bahwa mereka mengalami serangan aktif dan menangguhkan setoran dan penarikan sambil berkoordinasi dengan perusahaan keamanan, jembatan, dan bursa.
Serangan dimulai pada hari Rabu, dengan pencurian yang melibatkan beberapa aset, termasuk USDC (USDC) milik Circle dan berbagai altcoin. Data onchain kemudian menunjukkan bahwa pelaku berpindah sebagian besar aset ke dalam USDC, dengan dana kemudian dijembatani ke Ethereum.
Insiden ini menarik perhatian tidak hanya karena tampaknya melibatkan penyalahgunaan fitur transaksi Solana yang sah daripada kegagalan kontrak pintar biasa, tetapi juga bagaimana dana berpindah antar rantai selama berjam-jam tanpa dibekukan, menimbulkan pertanyaan tentang intervensi oleh penerbit stablecoin terpusat.
Sumber: Drift
Apa itu fitur nonce tahan lama Solana?
Nonce tahan lama Solana adalah fitur unik yang memungkinkan transaksi untuk melewati jendela kedaluwarsa tertentu dan memungkinkan pengguna untuk menandatangani transaksi sebelumnya untuk eksekusi di masa depan, penandatanganan offline, atau alur kerja multisig yang kompleks.
Drift mengatakan pelaku menggunakan transaksi yang ditandatangani sebelumnya berbasis nonce tahan lama untuk mendapatkan akses administratif yang tidak sah dan melakukan tindakan jahat dengan cepat setelah pengajuan.
Sumber: Drift
Nonce tahan lama tidak secara luas terkait dengan eksploitasi besar-besaran secara mandiri, tetapi pengembang telah mencatat bahwa fitur yang memungkinkan eksekusi tertunda dapat memperkenalkan kompleksitas dan risiko potensial jika disalahgunakan atau digabungkan dengan kerentanan lain.
Pertanyaan tentang respons Circle
Insiden ini memicu kritik terhadap penerbit USDC Circle, karena pelaku membutuhkan waktu berjam-jam untuk menukar $270 juta ke stablecoin sebelum menjembatani ke Ethereum.
Detektif onchain ZachXBT dan lainnya mengatakan perusahaan memiliki setidaknya enam jam untuk membekukan dana tetapi tidak bertindak, yang bertolak belakang dengan respons pada kasus sebelumnya di mana dompet-dompet diblacklist.
Pelaku Drift telah membeli 130,262 ($267 juta) Ether secara total pada waktu publikasi. Sumber: Lookonchain
Beberapa tokoh industri menunjukkan kesenjangan antara kemampuan Circle untuk membekukan dana dan kewajiban apa pun untuk melakukannya.
“Circle dapat membekukannya. Tetapi mereka tidak diwajibkan untuk melakukannya,” tulis pengguna pseudonim Molu di X, menambahkan bahwa kerangka regulasi yang diusulkan seperti GENIUS Act dapat mengubah dinamika itu dengan mewajibkan intervensi berdasarkan aturan yang telah ditetapkan.
Insiden ini menandai kasus lain dalam debat yang sedang berlangsung tentang intervensi oleh platform terpusat selama serangan, dengan ZachXBT berulang kali mengkritik Circle atas masalah ini.
Penyidik sebelumnya mempertanyakan respons Circle terhadap USDC yang terkait dengan peretasan terkait Bybit pada akhir Februari, mendorong respons dari CEO Circle Jeremy Allaire, yang mengatakan perusahaan bertindak atas permintaan penegak hukum sebelum membekukan dana.
Majalah: Tidak ada yang tahu apakah kriptografi aman kuantum bahkan akan berhasil