Bug Tiga Tahun Memicu Kerugian $1,3 Juta dan Memaksa Penangguhan Blockchain Selama 10 Hari

Sebuah refactor kode Radix yang rutin menciptakan cacat pada vault yang memungkinkan pencurian sekitar $1,3 juta dan kemudian memaksa validator untuk menghentikan blockchain.

Radix Foundation mengatakan pada 17 September bahwa tim pengembangan RDX Works memperkenalkan cacat tersebut selama pembersihan Radix Engine pada Juni 2023, lapisan perangkat lunak yang mengeksekusi transaksi dan menegakkan kepemilikan aset di seluruh jaringan. Kerentanan tersebut tidak terdeteksi selama lebih dari tiga tahun sebelum seorang penyerang mengeksploitasinya pada 31 Agustus.

Rekonstruksi komunitas dari buku besar menunjukkan bahwa penyerang menarik sekitar 458.915 USDC, 72.420 USDT, 61,08 ETH, 6,35 Bitcoin terbungkus, 536,16 SOL, dan 32,91 BNB dalam 26 transaksi. Aset-aset tersebut bernilai sekitar $1,26 juta menggunakan harga pasar pada 31 Agustus, dan para penyerang mengambil tambahan 13.000 XRD dari vault untuk membayar biaya transaksi. Dua stablecoin saja menyumbang sekitar $531.335.

Aset yang dicuri dikirim melalui Hyperlane ke Ethereum, BNB Chain, dan Solana, kemudian dijual untuk ETH, kata Radix. Hyperlane sendiri beroperasi sesuai desain: penyerang telah memperoleh aset melalui Radix Engine sebelum menggunakan jembatan untuk memindahkannya ke tempat lain. Tidak ada kunci pribadi yang dikompromikan.

Namun, kerugian langsung meremehkan potensi eksposur. Penyelidik Radix menyimpulkan bahwa cacat tersebut dapat digunakan terhadap vault mana pun di jaringan, menempatkan token dan aset lainnya di luar kepemilikan yang dijembatani yang menjadi target penyerang dalam risiko.

Akibatnya, validator jaringan dengan sengaja mengambil cukup saham offline untuk mencegahnya mencapai konsensus dan menghentikan transaksi tambahan sementara para pengembang bekerja pada perbaikan.

Audit Radix yang Terlewat Mengubah Bug Pemeliharaan Menjadi Kegagalan Sistemik

Kerentanan tersebut sudah bertahan dari tinjauan keamanan independen sebelum penyerang menemukannya.

Zellic mengaudit protokol Radix pada 2024, termasuk kernel mesin yang mengandung cacat. Tinjauan tersebut tidak mendeteksi cacat otorisasi, meskipun kode yang rentan telah diperkenalkan selama refactor tahun sebelumnya.

Bug tersebut mengubah cara mesin menangani referensi vault. Sebuah transaksi dapat mengidentifikasi vault pengguna lain dengan alamat internalnya dan meneruskan referensi tersebut ke dalam kode kontrak pintar yang dirancang khusus. Mesin kemudian mengizinkan fungsi penarikan biasa untuk dipanggil tanpa menegakkan batas kepemilikan yang seharusnya menolak permintaan tersebut.

Itu memberi penyerang akses ke aset yang dipegang oleh akun pengguna, aplikasi, dan kolam likuiditas tanpa mendapatkan tanda tangan pemilik.

Foundation mengatakan penyerang menyelesaikan 26 transaksi eksploitasi antara 16:02 dan 16:57 UTC pada 31 Agustus. Setelah penyelidik menentukan bahwa kerentanan ada di lapisan eksekusi dan bukan pada aplikasi tunggal, validator berkoordinasi untuk menghentikan finalisasi transaksi.

Penangguhan berlangsung lebih dari 10 hari. Perbaikan protokol menambahkan pemeriksaan yang mencegah referensi vault yang dibatasi digunakan untuk penarikan biasa, dan transaksi pengguna dilanjutkan pada 11 September, menurut rekonstruksi buku besar komunitas.

Insiden tersebut juga menghasilkan kerugian sekunder di kolam likuiditas setelah penyerang menghapus aset yang dijembatani dari satu sisi pasangan perdagangan. Harga yang terdistorsi memungkinkan akun lain untuk mengekstrak jutaan XRD dari kolam yang terkena dampak, menunjukkan bagaimana kegagalan lapisan eksekusi dapat terus menyebabkan kerugian ekonomi bahkan setelah aset awal telah meninggalkan jaringan.

Radix mengatakan sedang menambahkan pengujian regresi, memperkuat proses tinjauan keamanannya, dan memformalkan prosedur darurat yang digunakan validator untuk memutuskan kelangsungan hidup jaringan.

Foundation juga mengatakan pekerjaan keamanan di masa depan harus memperhitungkan alat analisis kode yang didukung AI yang semakin canggih, yang diyakini dapat membantu penyerang mengidentifikasi cacat yang sudah ada selama bertahun-tahun.

Bagi pengembang dan validator, tantangan berikutnya adalah mencegah pekerjaan pemeliharaan yang rutin serupa mengubah asumsi keamanan yang mungkin terlewatkan oleh audit eksternal.

Tugas itu melampaui perbaikan kode yang dieksploitasi. Radix sekarang harus memperkuat proses tinjauan seputar perubahan logika otorisasi sambil memulihkan kepercayaan di antara pengguna dan penyedia likuiditas yang asetnya pada akhirnya bergantung pada mesin yang menegakkan batasan tersebut dengan benar.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.