OVIX, protokol peminjaman berbasis Polygon, baru-baru ini mengalami kemunduran besar setelah terkena eksploitasi yang merugikan platform setidaknya $2 juta.
Sebagai tanggapan, OVIX untuk sementara menghentikan operasi POS dan zkEVM sementara OVIX berupaya mengatasi masalah tersebut dan meminimalkan dampaknya terhadap penggunanya.
Intrusi tersebut awalnya dilaporkan oleh perusahaan keamanan blockchain CertiK, dan kemudian dibuktikan oleh Arkham Intelligence.
Protokol OVIX memungkinkan peminjaman terhadap berbagai stablecoin, termasuk turunan Ethereum dan token MATIC asli Polygon, serta token yang dipertaruhkan Aavegotchi, vGHST.
Arkham mengklaim bahwa pengeksploitasi sengaja menaikkan harga vGHST untuk mendapatkan pinjaman USDC yang besar. Setelah berada di mainnet Ethereum (ETH), peretas menukar stablecoin dengan 757 ETH.
Penyusup memanfaatkan stablecoin yang dipinjam untuk mendapatkan akses ke kumpulan pinjaman vGHST dan platform pinjaman OVIX.
Memompa Harga GHST
Data Blockchain dari CoinMarketCap menunjukkan bahwa mereka meminjam vGHST dalam jumlah besar, sehingga menaikkan harga mata uang asli $GHST sebanyak 25% hanya dalam waktu setengah jam.
Pelaku mengambil agunan tersebut dan kemudian menukarnya dengan lebih banyak token.
Proyek game blockchain Aavegotchi menggunakan vGHST sebagai token stakingnya. Ini berfungsi sebagai token berbagi untuk token asli Aavegotchi, $GHST.
Blocksec, sebuah organisasi keamanan dan audit, telah memverifikasi bahwa nilai vGHST ditingkatkan secara artifisial, dan bahwa ramalan harga telah dirusak.
Peretas telah menggunakan token vGHST untuk mengeksploitasi protokol, menurut temuan studi oleh perusahaan keamanan blockchain PeckShield.
0VIX bekerja sama dengan mitra keamanannya untuk menyelidiki situasi terkini yang tampaknya terkait dengan vGHST.
Akibatnya, pasar POS dan zkEVM telah dihentikan sementara, termasuk menghentikan sementara transfer oToken, pencetakan, dan likuidasi.
Hanya POS yang saat ini terpengaruh tetapi zkEVM…
— 0VIX | langsung di zkEVM (@0vixProtocol) 28 April 2023
Dalam pernyataan yang dikeluarkan pada tanggal 28 April, OVIX mengakui masalah ini dan mengatakan bahwa pihaknya sedang menyelidiki masalah tersebut dengan mitra keamanannya.
Menurut CoinGecko, nilai GHST meningkat dari $1.13 menjadi $1.41.
OVIX Menghentikan Perdagangan
OVIX telah menangguhkan perdagangan POS dan zkEVM karena pelanggaran tersebut. Selain itu, disebutkan bahwa hal ini akan berdampak pada penerbitan, pengalihan, dan likuidasi oToken.
Serangan semacam itu, yang dikenal di komunitas DeFi sebagai “peretasan manipulasi harga Oracle,” tersebar luas.
Saat membahas kerentanan dalam sistem keuangan terdesentralisasi (DeFi), istilah “peretasan manipulasi harga oracle” biasanya digunakan.
Platform DeFi bisa mendapatkan data real-time tentang nilai berbagai mata uang kripto dan aset lainnya melalui price oracle, yang merupakan layanan eksternal.
Memanipulasi harga yang dilaporkan oleh oracle atau mengkompromikan data feed oracle merupakan metode memanipulasi harga oracle.
Untuk memfasilitasi serangan lain, seperti pinjaman kilat atau eksploitasi kumpulan likuiditas, penyerang mungkin memanfaatkan informasi palsu ini untuk meningkatkan atau menurunkan nilai aset secara artifisial.
Istilah “serangan pinjaman kilat” digunakan untuk menggambarkan jenis peretasan tertentu yang digunakan untuk memanipulasi ramalan harga. Penyerang dalam skenario ini akan meminjam banyak uang dari platform DeFi, menggelembungkan nilai aktual aset dengan data palsu, dan kemudian menjualnya dengan harga yang melambung.
Setelah pinjaman dilunasi, penyerang menyimpan hasilnya.
Tantangan Dalam Deteksi
Karena sifat banyak platform DeFi dan ramalan harga yang saling berhubungan, mendeteksi dan mencegah serangan manipulasi pada sistem ini dapat menjadi tantangan.
Prosedur keamanan, seperti otentikasi multi-tanda tangan dan metode verifikasi data, harus diterapkan oleh platform DeFi dan penyedia oracle harga untuk mengurangi kemungkinan serangan ini.
Pesan resmi kepada penyerang: Pada pukul 8 pagi UTC tanggal 1 Mei 2023, proses penegakan hukum dijadwalkan akan dimulai jika tidak ada dana yang dikembalikan. Kami akan mengambil petunjuk yang telah kami peroleh sejauh ini (terima kasih kepada masyarakat atas hal ini), menggabungkannya dengan penelusuran yang telah kami lakukan…
— 0VIX | langsung di zkEVM (@0vixProtocol) 29 April 2023
Sementara itu, protokol OVIX telah mengeluarkan pernyataan yang memperingatkan para pelaku bahwa pihak berwenang akan terlibat jika mereka tidak merespons.