Biaya 15 dolar, membawa kabur 2,5 miliar dolar 🦖
Sekitar pukul 20.20 UTC pada 29 Oktober, seorang peretas menggunakan transaksi dengan biaya sekitar 15 dolar untuk memberikan izin delegasi pada sebuah hot wallet Binance di Ethereum
📢 ⏰ 消息群里第一时间说
Tiga setengah menit kemudian, izin yang sama digunakan untuk memindahkan sekitar 2,5 miliar dolar sekaligus, setara dengan 40% dari total 6,3 miliar dolar yang dicuri
Bagian yang benar-benar bikin merinding terjadi setelahnya
Saat uang dipindahkan, platform sudah mendeteksi penyusupan dan menghentikan penarikan
Namun, mereka tidak bisa berbuat apa-apa di blockchain 💥
Ulasan Bloomberg kali ini mengungkap seluruh prosesnya
Hot wallet Binance dengan kode nama Binance 14 menjadi sasaran. Ibarat mesin kasir online, dompet ini menyimpan banyak ether, stablecoin, dan puluhan jenis token
Jika dipindahkan satu per satu, setiap transaksi berisiko dihentikan oleh sistem pengendalian risiko. Jadi, peretas mengambil jalan pintas
Jalan pintas ini disebut EIP 7702, yang diluncurkan pada Mei 2025
Tujuan awalnya adalah membuat dompet lebih mudah digunakan: dompet dapat mengizinkan sepotong kode untuk bertindak atas namanya dan mengemas beberapa tindakan menjadi satu eksekusi
Analisis on-chain dari perusahaan keamanan Blockaid menunjukkan bahwa peretas mula-mula membayar sekitar 15 dolar agar kode tersebut mendapat izin untuk bertindak atas nama dompet
Transaksi itu sendiri tidak memindahkan dana apa pun. Transaksi itu hanya memberi tahu Ethereum bahwa setelahnya, kode tersebut boleh melakukan tindakan atas nama dompet ini
Setelah izin aktif, hanya diperlukan satu transaksi untuk menguras isinya
Sebanyak 167.464 ether, ditambah lebih dari 60 token lainnya. Bagian terbesarnya adalah USDT senilai 1,6 miliar dolar
Menurut perhitungan perusahaan intelijen blockchain Elliptic, izin yang sama kemudian digunakan berulang kali, dengan total sekitar 3,6 miliar dolar dipindahkan, termasuk 823 juta dolar lainnya dan empat kali pengurasan tambahan ⚠️
Hal yang fatal adalah izin ini tercatat di blockchain, bukan di server platform
Menghentikan penarikan atau menonaktifkan hot wallet tidak dapat mencabutnya. Sementara itu, saluran deposit masih mengirimkan dana ke alamat ini, yang sama saja dengan terus memasok amunisi kepada penyerang
Juru bicara Binance mengonfirmasi kepada Bloomberg bahwa EIP 7702 berperan penting dalam insiden tersebut. Mereka menyatakan telah mencabut izin delegasi yang terdampak, membangun kembali infrastruktur dompet yang terdampak, serta memperbarui mekanisme penandatanganan dan pemantauan. Dana pengguna aman, dan kerugian ditanggung sendiri oleh platform
Menurut saya, kasus ini sama sekali tidak melibatkan kunci privat dari awal hingga akhir
Yang dicuri bukan kata sandi, melainkan batas kewenangan yang diberikan
Dompet semakin mirip aplikasi perbankan. Izin yang bisa disetujui dengan sekali klik pun semakin luas. Pengguna tidak bisa melihat baris kode itu, atau tahu apakah izinnya sudah dicabut 🔑
Dulu, yang ditakuti semua orang adalah kebocoran frasa pemulihan
Sekarang, yang perlu ditakuti adalah apa saja yang pernah kita setujui
Bagi pengguna biasa, yang sebaiknya dilakukan adalah rutin memeriksa catatan izin dompet dan mencabut delegasi yang tidak lagi digunakan, terutama untuk DApp yang hanya pernah digunakan sekali
Yuk, bahas di kolom komentar: kapan terakhir kali kamu memeriksa izin dompet?
Setiap hari, kami mengajakmu mengikuti isu keamanan kripto dan regulasi terkini. Bukan sekadar melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
Klik foto profil untuk menonton siaran langsung
Sekitar pukul 20.20 UTC pada 29 Oktober, seorang peretas menggunakan transaksi dengan biaya sekitar 15 dolar untuk memberikan izin delegasi pada sebuah hot wallet Binance di Ethereum
📢 ⏰ 消息群里第一时间说
Tiga setengah menit kemudian, izin yang sama digunakan untuk memindahkan sekitar 2,5 miliar dolar sekaligus, setara dengan 40% dari total 6,3 miliar dolar yang dicuri
Bagian yang benar-benar bikin merinding terjadi setelahnya
Saat uang dipindahkan, platform sudah mendeteksi penyusupan dan menghentikan penarikan
Namun, mereka tidak bisa berbuat apa-apa di blockchain 💥
Ulasan Bloomberg kali ini mengungkap seluruh prosesnya
Hot wallet Binance dengan kode nama Binance 14 menjadi sasaran. Ibarat mesin kasir online, dompet ini menyimpan banyak ether, stablecoin, dan puluhan jenis token
Jika dipindahkan satu per satu, setiap transaksi berisiko dihentikan oleh sistem pengendalian risiko. Jadi, peretas mengambil jalan pintas
Jalan pintas ini disebut EIP 7702, yang diluncurkan pada Mei 2025
Tujuan awalnya adalah membuat dompet lebih mudah digunakan: dompet dapat mengizinkan sepotong kode untuk bertindak atas namanya dan mengemas beberapa tindakan menjadi satu eksekusi
Analisis on-chain dari perusahaan keamanan Blockaid menunjukkan bahwa peretas mula-mula membayar sekitar 15 dolar agar kode tersebut mendapat izin untuk bertindak atas nama dompet
Transaksi itu sendiri tidak memindahkan dana apa pun. Transaksi itu hanya memberi tahu Ethereum bahwa setelahnya, kode tersebut boleh melakukan tindakan atas nama dompet ini
Setelah izin aktif, hanya diperlukan satu transaksi untuk menguras isinya
Sebanyak 167.464 ether, ditambah lebih dari 60 token lainnya. Bagian terbesarnya adalah USDT senilai 1,6 miliar dolar
Menurut perhitungan perusahaan intelijen blockchain Elliptic, izin yang sama kemudian digunakan berulang kali, dengan total sekitar 3,6 miliar dolar dipindahkan, termasuk 823 juta dolar lainnya dan empat kali pengurasan tambahan ⚠️
Hal yang fatal adalah izin ini tercatat di blockchain, bukan di server platform
Menghentikan penarikan atau menonaktifkan hot wallet tidak dapat mencabutnya. Sementara itu, saluran deposit masih mengirimkan dana ke alamat ini, yang sama saja dengan terus memasok amunisi kepada penyerang
Juru bicara Binance mengonfirmasi kepada Bloomberg bahwa EIP 7702 berperan penting dalam insiden tersebut. Mereka menyatakan telah mencabut izin delegasi yang terdampak, membangun kembali infrastruktur dompet yang terdampak, serta memperbarui mekanisme penandatanganan dan pemantauan. Dana pengguna aman, dan kerugian ditanggung sendiri oleh platform
Menurut saya, kasus ini sama sekali tidak melibatkan kunci privat dari awal hingga akhir
Yang dicuri bukan kata sandi, melainkan batas kewenangan yang diberikan
Dompet semakin mirip aplikasi perbankan. Izin yang bisa disetujui dengan sekali klik pun semakin luas. Pengguna tidak bisa melihat baris kode itu, atau tahu apakah izinnya sudah dicabut 🔑
Dulu, yang ditakuti semua orang adalah kebocoran frasa pemulihan
Sekarang, yang perlu ditakuti adalah apa saja yang pernah kita setujui
Bagi pengguna biasa, yang sebaiknya dilakukan adalah rutin memeriksa catatan izin dompet dan mencabut delegasi yang tidak lagi digunakan, terutama untuk DApp yang hanya pernah digunakan sekali
Yuk, bahas di kolom komentar: kapan terakhir kali kamu memeriksa izin dompet?
Setiap hari, kami mengajakmu mengikuti isu keamanan kripto dan regulasi terkini. Bukan sekadar melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
Klik foto profil untuk menonton siaran langsung
