1 miliar DOT diciptakan begitu saja, tetapi peretas hanya menghasilkan 230.000 dolar.

Pengarang: Zhou, Penangkap Rantai

Pada tanggal 13 April pukul 10 pagi waktu Beijing, platform pemantauan on-chain mengeluarkan peringatan: terjadi penerbitan aset jembatan yang tidak normal di jaringan Ethereum dari Polkadot.
Menurut analisis CertiK, penyerang mengirimkan permintaan lintas rantai yang dirancang dengan cermat ke kontrak HandlerV1 di sisi Ethereum melalui protokol ISMP dari Hyperbridge, bersama dengan bukti MMR asli yang diterima secara historis, dan berhasil melewati mekanisme verifikasi.

BlockSec Phalcon kemudian merilis peringatan teknis, mengklasifikasikan kerentanan ini sebagai kerentanan pemutaran ulang bukti MMR. Menurut analisis mereka, akar kerentanan terletak pada kenyataan bahwa perlindungan pemutaran ulang (replay protection) dari kontrak HandlerV1 hanya memverifikasi apakah hash dari permintaan tertentu telah digunakan sebelumnya, tetapi proses verifikasi bukti tidak mengikat muatan permintaan yang dikirimkan ke bukti yang telah diverifikasi.

Celah logis ini memungkinkan penyerang untuk memutar ulang bukti yang secara historis valid dan memasangkannya dengan permintaan berbahaya yang baru dibuat, sehingga mengeksekusi operasi ChangeAssetAdmin melalui jalur TokenGateway.onAccept(), mentransfer hak admin dan pencetakan kontrak DOT yang dibungkus di Ethereum (alamat: 0x8d...8F90b8) ke alamat yang dikendalikan oleh penyerang.

Menurut data on-chain, setelah memperoleh hak pencetakan, penyerang mencetak 1 miliar bridged DOT, yang kira-kira 2805 kali lipat dari pasokan beredar yang dilaporkan sekitar 356.000 token tersebut di Ethereum pada saat itu.

Selanjutnya, penyerang menukarkan semua chip tersebut dengan sekitar 108,2 ETH melalui Odos Router dan pool likuiditas Uniswap V4, mentransfernya ke akun eksternal penyerang, dan memperoleh keuntungan sekitar $237.000 berdasarkan harga pada saat itu, dengan seluruh serangan hanya menghabiskan sekitar $0,74 untuk biaya gas.

BlockSec Phalcon juga menyebutkan bahwa sebelumnya telah terjadi serangan menggunakan metode yang sama, yang menargetkan token MANTA dan CERE, mengakibatkan kerugian sekitar $12.000. Total kerugian akibat kedua serangan tersebut mencapai sekitar $242.000.

Setelah insiden tersebut, bursa terkemuka Korea Selatan, Upbit dan Bithumb, mengumumkan penangguhan layanan deposit dan penarikan untuk jaringan DOT dan AssetHub Polkadot untuk mencegah potensi risiko deposit palsu.

Para pejabat Polkadot menyatakan bahwa kerentanan ini hanya memengaruhi DOT yang terhubung ke Ethereum melalui Hyperbridge dan tidak berdampak pada aset DOT di dalam ekosistem Polkadot atau DOT yang ditransfer melalui jembatan lintas rantai lainnya. Polkadot dan parachain-nya, serta DOT asli, tetap aman dan tidak terpengaruh. Saat ini, Hyperbridge telah ditangguhkan untuk menyelidiki masalah tersebut.

Perlu disebutkan bahwa meskipun skala pencetakan mencapai 1 miliar, kerugian aktual jauh lebih rendah daripada angka teoretis. Karena likuiditas on-chain Wrapped DOT di Ethereum sangat terbatas, aksi jual besar-besaran sebanyak 1 miliar token langsung menjatuhkan harga Wrapped DOT dari $1,22 menjadi $0,00012831, penurunan sebesar 99,98%, sehingga sebagian besar token menjadi tidak efektif untuk dilikuidasi.

Menurut data CoinMarketCap, harga token DOT asli juga sempat turun hampir 5% karena sentimen pasar.

Para pengguna di X secara jujur ​​menyatakan bahwa siapa yang menyangka mitos lintas rantai DOT, yang pernah berdiri sejajar dengan Ethereum, akan meledak di media sosial dengan cara seperti ini. Jembatan lintas rantai sekali lagi menjadi "titik lemah" dunia kripto, berubah dari area yang sebelumnya diabaikan menjadi tempat terjadinya kehancuran. Ketika 1 miliar DOT muncul entah dari mana, semua indikator teknis menjadi tidak berguna.

Beberapa pengguna bercanda bahwa likuiditas yang rendah menyelamatkan Polkadot kali ini, sehingga kerugian sebenarnya tetap sekitar $237.000.

Namun, likuiditas rendah dari aset yang dijembatani, meskipun membatasi keuntungan peretas, justru mengungkap potensi kerentanan lapisan interoperabilitas lintas rantai.

Dilaporkan bahwa Hyperbridge, yang dikembangkan oleh Polytope Labs, adalah proyek interoperabilitas lintas rantai dalam ekosistem Polkadot, yang telah lama mengandalkan bukti kriptografi alih-alih komite multi-tanda tangan sebagai mekanisme keamanan intinya, memposisikan dirinya sebagai infrastruktur lintas rantai yang meminimalkan kepercayaan. Proyek tersebut sebelumnya telah menekankan ketahanannya terhadap serangan jembatan yang umum terjadi.

Namun insiden ini mungkin menunjukkan bahwa integritas mekanisme bukti kriptografi saja tidak cukup untuk menjamin keamanan; logika implementasi spesifik dari kontrak Gateway di sisi Ethereum juga merupakan celah keamanan.

Dari perspektif yang lebih luas, insiden ini mencerminkan situasi keamanan yang parah yang terus berlanjut di DeFi sejak tahun 2026. Beberapa serangan signifikan telah terjadi tahun ini, termasuk Venus yang menghasilkan piutang macet sebesar $2,15 juta akibat manipulasi harga, Resolve yang mencetak uang kertas USR berlebih sebanyak 80 juta, dan Drift yang diretas sehingga kehilangan aset senilai lebih dari $285 juta, dengan berbagai metode serangan dan cakupan wilayah yang luas.

Mengambil alih hak pencetakan uang logam untuk penerbitan tanpa batas bukanlah model serangan baru. Namun, karena likuiditas Hyperbridge yang sangat rendah, kerugian tersebut secara tak terduga diminimalkan.

Menurut data CertiK, terdapat 46 insiden keamanan yang tercatat pada bulan Maret saja, dengan total kerugian sekitar $39,8 juta, menandai rekor bulanan tertinggi sejak November 2024. CertiK juga menunjukkan bahwa frekuensi eksploitasi kerentanan kode telah meningkat, kemungkinan terkait dengan meningkatnya alat pendeteksi kerentanan yang dibantu AI.

Meningkatnya frekuensi serangan juga mendorong industri untuk meninjau kembali batasan keamanan dan regulasi. Chief Strategy Officer Circle, Dante Disparte, sebelumnya menyerukan agar protokol, dompet, bursa, dan penerbit stablecoin memandang keamanan dan akuntabilitas sebagai kewajiban bersama sebagai respons terhadap insiden pencurian Drift Protocol. Ia menyarankan agar protokol DeFi dapat mengembangkan langkah-langkah perlindungan teknis on-chain yang merujuk pada mekanisme circuit breaker pasar tradisional dan mempromosikan legislasi terkait untuk memasukkan hak milik dan standar perlindungan privasi keuangan ke dalam hukum sebelum insiden besar berikutnya terjadi.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.