$6 Juta Hilang dalam 19 Menit — Dan Brankas Itu Sebenarnya Aman Sepanjang Waktu
Tidak ada yang diretas di sini. Itu yang membuat insiden ini benar-benar mengganggu.
Sebuah brankas DeFi di Base, jaringan lapisan-2 Ethereum milik Coinbase, kehilangan sekitar 1.783 wstETH—sekitar $6 juta—pada 4 Oktober. Peneliti keamanan mengonfirmasi kontrak inti Aave V3 tidak disusupi. Jaringan Base juga tidak dikompromikan. Setiap sistem bekerja persis seperti yang dirancang.
Yang sebenarnya terjadi justru begini: brankas tersebut memakai dompet multisig 3-dari-7, artinya tiga penanda tangan yang berwenang harus menyetujui setiap perubahan. Entah bagaimana, sebuah kontrak yang baru saja dideploy malah ditambahkan ke daftar whitelist peminjam brankas—daftar yang disetujui untuk menarik dana. Setelah dimasukkan ke whitelist, kontrak berbahaya itu langsung meminjam aBaswstETH dan menebuskannya melalui mekanisme sah milik Aave untuk wstETH.
Enam transaksi terpisah, total hanya 19 menit.
Bagian yang membuat tidak nyaman dan terus diulang oleh peneliti keamanan: apakah ini disebabkan perangkat penandatangan yang dikompromikan, penanda tangan yang tertipu untuk menyetujui sesuatu yang tidak mereka pahami sepenuhnya, atau tindakan internal yang disengaja—hingga kini tetap belum dikonfirmasi secara resmi. Data on-chain juga menunjukkan tim proyek tidak pernah menjalankan transaksi treasury apa pun selama 25 hari sebelumnya—yang menimbulkan pertanyaan apakah brankas ini bahkan dipantau secara aktif.
Ini insiden keamanan keempat yang terkait Aave atau Base dalam satu minggu, dan sekitar $31,7 juta aset dilaporkan masih berisiko berada di brankas yang sama yang dikompromikan.
Pelajarannya bukan "hindari DeFi." Melainkan bahwa kontrol akses—siapa yang ditambahkan ke whitelist, dan seberapa cermat keputusan itu diverifikasi—sedang menjadi lapisan keamanan yang sama kritisnya dengan kode kontrak pintar itu sendiri.
Apakah exploit seperti ini membuat Anda lebih khawatir karena secara teknis tidak ada yang "rusak," atau justru karena itu terasa lebih tidak acak dan lebih bisa dicegah? 👇
#Base #Aave #ETH #zyverra #CryptoSecurity
Tidak ada yang diretas di sini. Itu yang membuat insiden ini benar-benar mengganggu.
Sebuah brankas DeFi di Base, jaringan lapisan-2 Ethereum milik Coinbase, kehilangan sekitar 1.783 wstETH—sekitar $6 juta—pada 4 Oktober. Peneliti keamanan mengonfirmasi kontrak inti Aave V3 tidak disusupi. Jaringan Base juga tidak dikompromikan. Setiap sistem bekerja persis seperti yang dirancang.
Yang sebenarnya terjadi justru begini: brankas tersebut memakai dompet multisig 3-dari-7, artinya tiga penanda tangan yang berwenang harus menyetujui setiap perubahan. Entah bagaimana, sebuah kontrak yang baru saja dideploy malah ditambahkan ke daftar whitelist peminjam brankas—daftar yang disetujui untuk menarik dana. Setelah dimasukkan ke whitelist, kontrak berbahaya itu langsung meminjam aBaswstETH dan menebuskannya melalui mekanisme sah milik Aave untuk wstETH.
Enam transaksi terpisah, total hanya 19 menit.
Bagian yang membuat tidak nyaman dan terus diulang oleh peneliti keamanan: apakah ini disebabkan perangkat penandatangan yang dikompromikan, penanda tangan yang tertipu untuk menyetujui sesuatu yang tidak mereka pahami sepenuhnya, atau tindakan internal yang disengaja—hingga kini tetap belum dikonfirmasi secara resmi. Data on-chain juga menunjukkan tim proyek tidak pernah menjalankan transaksi treasury apa pun selama 25 hari sebelumnya—yang menimbulkan pertanyaan apakah brankas ini bahkan dipantau secara aktif.
Ini insiden keamanan keempat yang terkait Aave atau Base dalam satu minggu, dan sekitar $31,7 juta aset dilaporkan masih berisiko berada di brankas yang sama yang dikompromikan.
Pelajarannya bukan "hindari DeFi." Melainkan bahwa kontrol akses—siapa yang ditambahkan ke whitelist, dan seberapa cermat keputusan itu diverifikasi—sedang menjadi lapisan keamanan yang sama kritisnya dengan kode kontrak pintar itu sendiri.
Apakah exploit seperti ini membuat Anda lebih khawatir karena secara teknis tidak ada yang "rusak," atau justru karena itu terasa lebih tidak acak dan lebih bisa dicegah? 👇
#Base #Aave #ETH #zyverra #CryptoSecurity