Pada pukul 15:21 tanggal 16 Mei, platform pembuatan mata uang meme Solana, ekosistem Pump.fun, dieksploitasi. Insiden tersebut mengakibatkan hilangnya sekitar 12.300 SOL, senilai hampir $2 juta dengan harga pasar saat ini.
Penyerang mengeksploitasi platform manipulasi pinjaman flash Margin.fi untuk mendapatkan SOL dan membeli token Pump.fun tanpa menggunakan dana mereka sendiri. Eksploitasi terbaru ini telah mengirimkan gelombang kejutan ke seluruh komunitas cryptocurrency.
Menemukan penyerang dari dalam: kelemahan keamanan Pump.fun
Penyerang, awalnya diidentifikasi dengan alamat dompet 7ihN8QaTfNoDTRTQGULCzbUT3PHwPDTu5Brcu4iT2paP, mengeksploitasi Pump.fun dengan membeli semua token untuk proyek baru yang diluncurkan di platform dalam hitungan menit. Tindakan ini mendorong kurva ikatan hingga batasnya.
Dalam dunia keuangan terdesentralisasi (DeFi), kurva ikatan adalah kontrak pintar yang menciptakan pasar token tanpa bergantung pada pertukaran mata uang kripto. Jadi, seperti yang diharapkan, manipulasi ini mencegah token tersebut terdaftar di bursa terdesentralisasi Solana, Raydium DEX.
Menanggapi serangan tersebut, pump.fun meningkatkan kontraknya untuk mencegah kerusakan lebih lanjut. Selain itu, tim menghentikan perdagangan dan meyakinkan pengguna bahwa Total Value Locked (TVL) protokol aman.
“Kami berkomitmen untuk memastikan keselamatan pengguna kami dan bekerja sama dengan pihak terkait, termasuk penegak hukum, untuk meminimalkan kerusakan,” kata tim tersebut.
Menariknya, penyerangnya adalah Jarrett, mantan karyawan Pump.fun yang menggunakan nama samaran STACCOverflow. Jarrett melalui media sosial mengungkapkan ketidakpuasannya terhadap perusahaan dan mengatakan dia bermaksud mengganggu platform tersebut.
"Bos menakutkan yang menyaksikan tangan Anda patah dan menanyakan apa yang terjadi dan Anda bilang Anda tersandung meja kaca akan berkata 'Apakah meja itu baik-baik saja?'" tulis Jarrett setelah serangan itu. "
Dia mengklarifikasi bahwa dia punya rencana untuk "mengubah jalannya sejarah". Lebih lanjut, dia mengaku tidak khawatir masuk penjara.
Di postingan lainnya, Jarrett juga menyatakan bahwa ia akan mendistribusikan jarahannya melalui airdrop ke berbagai komunitas, termasuk Slerf, Stacc, Saga, dan Risklol. Beberapa komunitas kripto menjulukinya “Web3 Robinhood” karena keputusannya untuk melakukan airdrop.
Sekitar lima jam setelah pengumuman awal, pump.fun menerbitkan postmortem. Mereka menerapkan kembali kontrak dan melanjutkan perdagangan dengan biaya 0% selama 7 hari berikutnya. Mereka juga berupaya membangun kumpulan likuiditas (LP) untuk token yang terkena dampak guna memulihkan fungsionalitas perdagangan.
“Token yang mencapai 100% antara pukul 15:21 dan 17:00 berada dalam keadaan limbo, artinya tidak ada yang dapat memperdagangkannya sampai LP diterapkan untuk mereka di Raydium. Agar pengguna tetap utuh, tim pump.fun akan Menambahkan LP dalam 24 berikutnya jam untuk setiap token yang terpengaruh dengan jumlah likuiditas SOL sama atau lebih besar dari likuiditas token tersebut pada pukul 15:21 UTC.