🧨 Tidak membocorkan private key, tidak mengeklik tautan phishing, tapi dana senilai US$820 ribu tetap terkuras
Sebuah token bernama NEM di BNB Chain (kontrak NemTokenV2, jangan sampai tertukar dengan NEM/XEM yang sudah lama ada) dilaporkan mengalami insiden sekitar 22 Oktober. Pool USDT/NEM di PancakeSwap terkuras sekitar US$820 ribu, dan CertiK juga menandai serangan senilai sekitar US$820 ribu ini.
Masalahnya ada pada kode token itu sendiri. Menurut analisis SlowMist, seseorang di X merangkum kira-kira prosesnya:
🔹 Kontrak menganggap setiap operasi “transfer masuk ke pool” sebagai “penjualan”, lalu mencatat jumlah yang akan dibakar, tanpa memeriksa apakah pertukaran benar-benar terjadi
🔹 Penyerang mentransfer token ke pool, lalu menggunakan skim() untuk menariknya kembali dalam jumlah yang sama, tetapi jatah pembakarannya tetap tercatat
🔹 Selanjutnya, ia memanggil flushLpSellRecycle() untuk membakar NEM yang memang sudah ada di pool
🔹 Proses ini diulang 42 kali. Jumlah NEM di pool makin sedikit dan harganya terus naik, lalu sisa NEM yang dimiliki ditukar dengan USDT
Catatan transaksinya bisa dilihat secara publik di BscScan.
Menurut saya: banyak koin kecil suka menambahkan fitur-fitur seperti “pembakaran otomatis”, “pengembalian dana”, dan “pajak penjualan”. Saat dipromosikan, fitur-fitur ini disebut sebagai keuntungan deflasi. Namun, setiap fitur tambahan berarti ada lebih banyak kode yang berpotensi bermasalah. Dalam kasus ini, bahkan tak perlu ada peretas—kodenya sendiri yang menguras pool.
Ke depannya, saat melihat token baru dengan mekanisme khusus, setidaknya periksa tiga hal: apakah kode sumber kontraknya sudah diverifikasi, apakah logika transfernya dikustomisasi, dan apakah auditnya juga mencakup interaksi dengan pool.
Saat membeli koin, apakah kamu memeriksa kontraknya, atau hanya melihat grafik harga dan ramainya komunitas? 👇
#BNBChain #DeFi安全 #PancakeSwap #链上风险
Sebuah token bernama NEM di BNB Chain (kontrak NemTokenV2, jangan sampai tertukar dengan NEM/XEM yang sudah lama ada) dilaporkan mengalami insiden sekitar 22 Oktober. Pool USDT/NEM di PancakeSwap terkuras sekitar US$820 ribu, dan CertiK juga menandai serangan senilai sekitar US$820 ribu ini.
Masalahnya ada pada kode token itu sendiri. Menurut analisis SlowMist, seseorang di X merangkum kira-kira prosesnya:
🔹 Kontrak menganggap setiap operasi “transfer masuk ke pool” sebagai “penjualan”, lalu mencatat jumlah yang akan dibakar, tanpa memeriksa apakah pertukaran benar-benar terjadi
🔹 Penyerang mentransfer token ke pool, lalu menggunakan skim() untuk menariknya kembali dalam jumlah yang sama, tetapi jatah pembakarannya tetap tercatat
🔹 Selanjutnya, ia memanggil flushLpSellRecycle() untuk membakar NEM yang memang sudah ada di pool
🔹 Proses ini diulang 42 kali. Jumlah NEM di pool makin sedikit dan harganya terus naik, lalu sisa NEM yang dimiliki ditukar dengan USDT
Catatan transaksinya bisa dilihat secara publik di BscScan.
Menurut saya: banyak koin kecil suka menambahkan fitur-fitur seperti “pembakaran otomatis”, “pengembalian dana”, dan “pajak penjualan”. Saat dipromosikan, fitur-fitur ini disebut sebagai keuntungan deflasi. Namun, setiap fitur tambahan berarti ada lebih banyak kode yang berpotensi bermasalah. Dalam kasus ini, bahkan tak perlu ada peretas—kodenya sendiri yang menguras pool.
Ke depannya, saat melihat token baru dengan mekanisme khusus, setidaknya periksa tiga hal: apakah kode sumber kontraknya sudah diverifikasi, apakah logika transfernya dikustomisasi, dan apakah auditnya juga mencakup interaksi dengan pool.
Saat membeli koin, apakah kamu memeriksa kontraknya, atau hanya melihat grafik harga dan ramainya komunitas? 👇
#BNBChain #DeFi安全 #PancakeSwap #链上风险