Satu izin yang tidak pernah dicabut, 4 orang kehilangan 5131 dolar AS
Kontrak penyelesaian proyek Pennysia yang diterapkan di Ethereum dibobol pada 12 November pukul 21.59.11 waktu Beijing. Dengan memanfaatkan kuota token yang pernah diizinkan pengguna dan tak kunjung dicabut, penyerang menguras aset dari dompet 4 orang. Lembaga keamanan memperkirakan nilainya sekitar 5131 dolar AS.
Transaksi di blockchain mencatat semuanya dengan jelas. Dari 4 orang tersebut, masing-masing dikuras 5000 USDC, 6.133489 USDC, 0.05 wstETH, dan 101000 YUNO. Sekitar 36 detik kemudian, 5006.133489 USDC itu ditransfer lagi ke alamat lain.
Serangan ini mengeksploitasi celah pemanggilan eksternal arbitrer dalam kontrak penyelesaian. Penyerang juga menerapkan token palsu untuk melewati pemeriksaan pengeluaran, lalu memanfaatkan izin yang masih diberikan pengguna kepada kontrak untuk menguras token.
Lembaga keamanan mengeluarkan peringatan pada 13 November pukul 14.57 waktu Beijing, mengimbau siapa pun yang pernah memberikan izin kepada kontrak penyelesaian ini agar segera mencabutnya. Alamat kontraknya adalah 0x3aad…795e. Hingga saat unggahan ini dibuat, pihak proyek belum memberikan penjelasan publik mengenai kejadian ini.
Menurut saya, lebih aman mencabut kuota yang sudah diizinkan tetapi tidak lagi digunakan. Jumlah yang dikuras kali ini memang tidak besar, tetapi bagi mereka yang belum mencabut izinnya, risikonya belum berlalu.
Untuk pemula, sebaiknya lebih banyak mengamati dan jangan terlalu sering bertransaksi. Kalau mau membeli kripto, cukup beli $BTC
Kontrak penyelesaian proyek Pennysia yang diterapkan di Ethereum dibobol pada 12 November pukul 21.59.11 waktu Beijing. Dengan memanfaatkan kuota token yang pernah diizinkan pengguna dan tak kunjung dicabut, penyerang menguras aset dari dompet 4 orang. Lembaga keamanan memperkirakan nilainya sekitar 5131 dolar AS.
Transaksi di blockchain mencatat semuanya dengan jelas. Dari 4 orang tersebut, masing-masing dikuras 5000 USDC, 6.133489 USDC, 0.05 wstETH, dan 101000 YUNO. Sekitar 36 detik kemudian, 5006.133489 USDC itu ditransfer lagi ke alamat lain.
Serangan ini mengeksploitasi celah pemanggilan eksternal arbitrer dalam kontrak penyelesaian. Penyerang juga menerapkan token palsu untuk melewati pemeriksaan pengeluaran, lalu memanfaatkan izin yang masih diberikan pengguna kepada kontrak untuk menguras token.
Lembaga keamanan mengeluarkan peringatan pada 13 November pukul 14.57 waktu Beijing, mengimbau siapa pun yang pernah memberikan izin kepada kontrak penyelesaian ini agar segera mencabutnya. Alamat kontraknya adalah 0x3aad…795e. Hingga saat unggahan ini dibuat, pihak proyek belum memberikan penjelasan publik mengenai kejadian ini.
Menurut saya, lebih aman mencabut kuota yang sudah diizinkan tetapi tidak lagi digunakan. Jumlah yang dikuras kali ini memang tidak besar, tetapi bagi mereka yang belum mencabut izinnya, risikonya belum berlalu.
Untuk pemula, sebaiknya lebih banyak mengamati dan jangan terlalu sering bertransaksi. Kalau mau membeli kripto, cukup beli $BTC
