Protokol pinjaman multichain Hundred Finance telah mengalami pelanggaran keamanan yang signifikan pada Optimisme blockchain lapisan-2 Ethereum. Menurut protokol di Twitter, kerugiannya mencapai $7,4 juta.

Hundred Finance mengumumkan eksploitasi tersebut pada tanggal 15 April, mengatakan pihaknya telah menghubungi peretas dan bekerja dengan berbagai tim keamanan mengenai insiden tersebut. Meskipun protokol tidak mengungkapkan bagaimana serangan itu dilakukan, perusahaan keamanan blockchain Certi mencatat bahwa itu adalah serangan pinjaman kilat:

Penyerang#CertiKSkynetAlert@HundredFinance memanipulasi nilai tukar antara token ERC-20 dan htokens yang memungkinkan mereka menarik lebih banyak token daripada yang awalnya mereka setorkan. Perkiraan kerugian akibat serangan ini adalah sekitar $7,4 juta. Tetap waspada! https://t.co/1hxAnFoNjj

— Peringatan CertiK (@CertiKAlert) 15 April 2023

Serangan pinjaman kilat terjadi ketika peretas meminjam sejumlah besar dana melalui pinjaman kilat (sejenis pinjaman tanpa jaminan) dari protokol peminjaman. Peretas kemudian menggabungkannya dengan teknik lain untuk memanipulasi harga suatu aset pada platform keuangan terdesentralisasi (DeFi). 

Dalam kasus Hundred, penyerang memanipulasi nilai tukar antara token ERC-20 dan hTOKENS, memungkinkan mereka menarik lebih banyak token daripada yang disimpan sebelumnya, menurut Certik. Perusahaan keamanan blockchain melanjutkan:

"Rumus nilai tukar dimanipulasi melalui nilai tunai. Uang tunai adalah jumlah WBTC yang dimiliki kontrak hBTC. Penyerang memanipulasinya dengan menyumbangkan WBTC dalam jumlah besar ke kontrak hToken sehingga nilai tukar naik."

Certi mengatakan bahwa pinjaman dalam jumlah besar diambil dengan nilai tukar yang dimanipulasi. Hundred Finance sedang menyiapkan laporan postmortem atas insiden tersebut.

Serangan ini terjadi hampir 12 bulan setelah Hundred terkena eksploitasi lain di Gnosis Chain. Saat itu, peretas menghabiskan seluruh likuiditas protokol melalui serangan re-entrancy. Lebih dari $6 juta hilang. Dalam eksploitasi yang sama, peretas juga mencuri dana dari protokol Agave.

Sejak tahun lalu, sejumlah pelaku telah menggunakan serangan pinjaman flash untuk menargetkan protokol DeFi. Kasus terbaru termasuk serangan terhadap Euler Finance ($196 juta) dan Mango Markets ($46 juta). Sementara peretasan Euler mengembalikan sebagian besar dana, pencuri Mango telah ditangkap oleh otoritas Amerika Serikat.

Majalah: Haruskah proyek kripto bernegosiasi dengan peretas? Mungkin