Kelemahan PLONK milik Dusk, lapisan privasi senilai 600 ribu dolar AS nyaris ditembus oleh pemalsuan sebuah bukti
Setelah saya membaca laporan keamanan yang diungkapkan OtterSec pada 30 April 2026, saya terdiam kira-kira lima menit. Verifikator pada dusk-plonk sama sekali tidak memverifikasi empat komitmen polinomial yang diberikan oleh pembuktinya. Sederhananya, penyerang dapat memalsukan bukti nol pengetahuan palsu tanpa perlu aset nyata apa pun untuk mencetak token DUSK dan mentransfer keuntungan ilegal. Sebuah protokol privasi yang dirancang untuk pasar keuangan teregulasi, tetapi inti kriptografinya punya celah yang memungkinkan penyerang menciptakan token tanpa dasar. Infrastruktur yang mengklaim membuat institusi merasa aman untuk dipasang di blockchain—di lapisan privasi, terdapat cacat mendasar seperti ini.
Narasi kepatuhan di dalam whitepaper terlihat sangat bagus, tapi di kode justru nyaris ada pintu belakang untuk pencetakan tak terbatas. Anda bisa mengatakan bahwa celahnya sudah diperbaiki. Namun, celah seperti ini muncul pada proses verifikasi di lapisan privasi—dan itu sendiri merupakan tamparan bagi penetapan posisi “privacy first”. Proyek yang hidup dari ZK, tetapi implementasi ZK-nya bermasalah. Setelah membaca laporan itu, pertanyaan pertama yang muncul di kepala saya adalah—jika sebuah blockchain privasi yang bergantung pada ZK masih dapat menghasilkan celah seperti ini dalam implementasi ZK, apa lagi yang tidak akan bermasalah?
Nilai pasar Dusk yang sempat di puncak sudah turun cukup banyak; jika 600 ribu dolar AS itu dihitung berdasarkan harga koin saat itu, dan penyerang memanfaatkan celah ini untuk mencetak token dalam jumlah besar, harga bisa langsung anjlok.
@Dusk
Saya menemukan dan menelusuri laporan audit Dusk. Pihak yang mengaudit adalah Dust Labs. Ruang lingkup audit hanya mencakup sebagian modul, lalu apakah logika verifikasi dusk-plonk memang berada di dalam ruang lingkup audit tersebut? Saya tidak menemukan penjelasan yang jelas. Jika kode inti lapisan privasi suatu proyek justru terlewat dalam audit, atau jika audit itu sendiri tidak mencakup area yang diperlukan, maka nilai laporan audit perlu dinilai ulang. Audit bukan sesuatu yang dilakukan sekali lalu selesai.
Saya tidak mengatakan Dusk tidak dapat dipercaya, tetapi proyek yang menulis “privasi” dalam namanya—dan pada lapisan verifikasi ZK paling inti justru ada celah mendasar seperti ini—sulit bagi saya untuk meyakinkan diri sendiri agar terus memegangnya. Tunggu sampai inti kriptografi melewati beberapa putaran verifikasi lagi. Untuk saat ini saya taruh dulu di daftar pantauan, sambil melihat apakah akan ada pengungkapan celah baru di kemudian hari. Jika modul yang sama kembali bermasalah, maka itu bukan lagi sekadar masalah teknis, melainkan masalah proses.
#dusk $DUSK
Setelah saya membaca laporan keamanan yang diungkapkan OtterSec pada 30 April 2026, saya terdiam kira-kira lima menit. Verifikator pada dusk-plonk sama sekali tidak memverifikasi empat komitmen polinomial yang diberikan oleh pembuktinya. Sederhananya, penyerang dapat memalsukan bukti nol pengetahuan palsu tanpa perlu aset nyata apa pun untuk mencetak token DUSK dan mentransfer keuntungan ilegal. Sebuah protokol privasi yang dirancang untuk pasar keuangan teregulasi, tetapi inti kriptografinya punya celah yang memungkinkan penyerang menciptakan token tanpa dasar. Infrastruktur yang mengklaim membuat institusi merasa aman untuk dipasang di blockchain—di lapisan privasi, terdapat cacat mendasar seperti ini.
Narasi kepatuhan di dalam whitepaper terlihat sangat bagus, tapi di kode justru nyaris ada pintu belakang untuk pencetakan tak terbatas. Anda bisa mengatakan bahwa celahnya sudah diperbaiki. Namun, celah seperti ini muncul pada proses verifikasi di lapisan privasi—dan itu sendiri merupakan tamparan bagi penetapan posisi “privacy first”. Proyek yang hidup dari ZK, tetapi implementasi ZK-nya bermasalah. Setelah membaca laporan itu, pertanyaan pertama yang muncul di kepala saya adalah—jika sebuah blockchain privasi yang bergantung pada ZK masih dapat menghasilkan celah seperti ini dalam implementasi ZK, apa lagi yang tidak akan bermasalah?
Nilai pasar Dusk yang sempat di puncak sudah turun cukup banyak; jika 600 ribu dolar AS itu dihitung berdasarkan harga koin saat itu, dan penyerang memanfaatkan celah ini untuk mencetak token dalam jumlah besar, harga bisa langsung anjlok.
@Dusk
Saya menemukan dan menelusuri laporan audit Dusk. Pihak yang mengaudit adalah Dust Labs. Ruang lingkup audit hanya mencakup sebagian modul, lalu apakah logika verifikasi dusk-plonk memang berada di dalam ruang lingkup audit tersebut? Saya tidak menemukan penjelasan yang jelas. Jika kode inti lapisan privasi suatu proyek justru terlewat dalam audit, atau jika audit itu sendiri tidak mencakup area yang diperlukan, maka nilai laporan audit perlu dinilai ulang. Audit bukan sesuatu yang dilakukan sekali lalu selesai.
Saya tidak mengatakan Dusk tidak dapat dipercaya, tetapi proyek yang menulis “privasi” dalam namanya—dan pada lapisan verifikasi ZK paling inti justru ada celah mendasar seperti ini—sulit bagi saya untuk meyakinkan diri sendiri agar terus memegangnya. Tunggu sampai inti kriptografi melewati beberapa putaran verifikasi lagi. Untuk saat ini saya taruh dulu di daftar pantauan, sambil melihat apakah akan ada pengungkapan celah baru di kemudian hari. Jika modul yang sama kembali bermasalah, maka itu bukan lagi sekadar masalah teknis, melainkan masalah proses.
#dusk $DUSK
