Setelah 660 ribu dicuri, protokol lawas dari 2020 ini langsung «putus» dengan penggunanya!
Langsung ke intinya: saya sudah membaca puluhan pengumuman setelah peretasan—ada yang lempar tanggung jawab, menjanjikan hal muluk-muluk, atau pura-pura tidak terjadi apa-apa. Yang berterus terang seperti ACryptoS ini baru pertama kali saya lihat.
Pagi ini, protokol agregator imbal hasil DeFi senior ACryptoS mengungkapkan bahwa brankasnya diserang: lima blockchain, 77 brankas, dengan total kerugian sekitar 665 ribu dolar AS (angka persis dari SlowMist adalah 665.429 dolar AS).
Celahnya sendiri keterlaluan sederhananya: fungsi depositMulti pada kontrak tidak memvalidasi input. Penyerang hanya perlu menyetor token dalam jumlah sangat kecil untuk mencetak sebagian besar kepemilikan di brankas, lalu menarik uang milik orang lain. Protokol ini diluncurkan pada 2020, dan dokumentasinya sampai sekarang masih menyebutkan, «Sejak diluncurkan, tidak pernah ada celah kode yang dieksploitasi»—rekor tak terkalahkan selama enam tahun itu tumbang gara-gara validasi yang belum dituntaskan.
Namun, yang membuat kejadian ini ramai dibicarakan adalah langkah tim selanjutnya: fungsi setoran ditutup, penarikan tetap dibuka; dana curian sudah dipindahkan, dan tim mengirim pesan kepada penyerang—kembalikan uangnya, kamu boleh menyimpan 10% sebagai hadiah, sekitar 66.500 dolar AS. Lalu, pengumumannya menyatakan dengan jelas: tim sudah tidak punya sumber daya untuk melanjutkan pemeliharaan, proyek berhenti beroperasi, dan pengguna diminta segera menarik aset mereka.
Pengumuman ini bahkan lebih terus terang daripada pesan putus saya: «Aku sudah tidak sanggup, pergilah. Barang-barangmu bawa saja, jangan menoleh lagi.» Tidak ada «kami sedang berupaya sekuat tenaga untuk memulihkan dana», tidak ada «tolong beri kami sedikit waktu lagi», bahkan janji manis pun tak sudi mereka obral.
Yang lebih absurd lagi adalah 10% itu: dalam banyak insiden peretasan, tim proyek menunda pembukaan penarikan dan memakai uang pengguna baru untuk menambal lubang lama; di sini urutannya terbalik—pintu dibuka dulu agar pengguna bisa menarik uang, baru kemudian duduk berhadapan dengan peretas di meja perundingan untuk membicarakan «komisi». Dunia DeFi memang seabsurd ini; terkadang peretas lebih berpegang pada komitmen daripada tim proyek.
Kerugian 665 ribu dolar bukan angka besar, tetapi yang tumbang adalah protokol lawas yang sudah bertahan selama enam tahun. Yang menuliskan akhir kisahnya bukan peretas, melainkan kalimatnya sendiri: «kami sudah kehabisan sumber daya». Buat kalian yang masih membiarkan uang tidur nyenyak di berbagai brankas imbal hasil, malam ini ingat untuk mengecek posisi kalian—ada pintu yang bisa ditutup kapan saja.
$ETH $BNB
Langsung ke intinya: saya sudah membaca puluhan pengumuman setelah peretasan—ada yang lempar tanggung jawab, menjanjikan hal muluk-muluk, atau pura-pura tidak terjadi apa-apa. Yang berterus terang seperti ACryptoS ini baru pertama kali saya lihat.
Pagi ini, protokol agregator imbal hasil DeFi senior ACryptoS mengungkapkan bahwa brankasnya diserang: lima blockchain, 77 brankas, dengan total kerugian sekitar 665 ribu dolar AS (angka persis dari SlowMist adalah 665.429 dolar AS).
Celahnya sendiri keterlaluan sederhananya: fungsi depositMulti pada kontrak tidak memvalidasi input. Penyerang hanya perlu menyetor token dalam jumlah sangat kecil untuk mencetak sebagian besar kepemilikan di brankas, lalu menarik uang milik orang lain. Protokol ini diluncurkan pada 2020, dan dokumentasinya sampai sekarang masih menyebutkan, «Sejak diluncurkan, tidak pernah ada celah kode yang dieksploitasi»—rekor tak terkalahkan selama enam tahun itu tumbang gara-gara validasi yang belum dituntaskan.
Namun, yang membuat kejadian ini ramai dibicarakan adalah langkah tim selanjutnya: fungsi setoran ditutup, penarikan tetap dibuka; dana curian sudah dipindahkan, dan tim mengirim pesan kepada penyerang—kembalikan uangnya, kamu boleh menyimpan 10% sebagai hadiah, sekitar 66.500 dolar AS. Lalu, pengumumannya menyatakan dengan jelas: tim sudah tidak punya sumber daya untuk melanjutkan pemeliharaan, proyek berhenti beroperasi, dan pengguna diminta segera menarik aset mereka.
Pengumuman ini bahkan lebih terus terang daripada pesan putus saya: «Aku sudah tidak sanggup, pergilah. Barang-barangmu bawa saja, jangan menoleh lagi.» Tidak ada «kami sedang berupaya sekuat tenaga untuk memulihkan dana», tidak ada «tolong beri kami sedikit waktu lagi», bahkan janji manis pun tak sudi mereka obral.
Yang lebih absurd lagi adalah 10% itu: dalam banyak insiden peretasan, tim proyek menunda pembukaan penarikan dan memakai uang pengguna baru untuk menambal lubang lama; di sini urutannya terbalik—pintu dibuka dulu agar pengguna bisa menarik uang, baru kemudian duduk berhadapan dengan peretas di meja perundingan untuk membicarakan «komisi». Dunia DeFi memang seabsurd ini; terkadang peretas lebih berpegang pada komitmen daripada tim proyek.
Kerugian 665 ribu dolar bukan angka besar, tetapi yang tumbang adalah protokol lawas yang sudah bertahan selama enam tahun. Yang menuliskan akhir kisahnya bukan peretas, melainkan kalimatnya sendiri: «kami sudah kehabisan sumber daya». Buat kalian yang masih membiarkan uang tidur nyenyak di berbagai brankas imbal hasil, malam ini ingat untuk mengecek posisi kalian—ada pintu yang bisa ditutup kapan saja.
$ETH $BNB
