Memperbaiki Kerentanan di Jaringan Aptos yang Mengekspos USD 70 Miliar ke Serangan USD 3.000

• Kerentanan ini memungkinkan pengambilalihan peran yang mengizinkan penerbitan stablecoin seperti USDC.
• Para peneliti menguji bahwa antara 17 hingga 18 dari setiap 20 percobaan serangan berhasil.

Sebuah kerentanan kritis di jaringan Aptos telah diperbaiki pada bulan Februari lalu, setelah perusahaan keamanan Hexens menunjukkan bahwa kerentanan tersebut dapat mengekspos hingga USD 70 miliar dalam dana di dalam ekosistem Aptos melalui serangan yang hanya membutuhkan biaya USD 3.000, biaya yang disebutkan oleh para peneliti untuk menyewa server dengan kekuatan komputer desktop. Perbaikan diterapkan sebelum kerentanan tersebut dieksploitasi, sehingga tidak ada pengguna yang kehilangan uang.

Meskipun penemuan dan perbaikannya terjadi pada bulan Februari, rincian teknis lengkap dan bukti konsep (PoC) dari Hexens baru diumumkan minggu ini, ketika Hexens dan tim Aptos mempublikasikannya.

Dari Hexens, mereka memastikan bahwa dari setiap 20 percobaan saat mensimulasikan serangan, antara 17 hingga 18 berakhir dengan sukses dalam lingkungan pengujian dengan lebih dari 30 node (komputer yang memverifikasi dan mengonfirmasi operasi di dalam jaringan). Tim Aptos mengonfirmasi pada 4 Juli lalu di sebuah media bahwa penemuan tersebut dilaporkan pada 25 Februari melalui program penghargaan untuk melaporkan kerentanan keamanan, dan perbaikan dikembangkan, diuji, dan diterapkan di jaringan utama setelahnya.

Kesalahan tersebut berasal dari mesin virtual Move (MoveVM), program yang menjalankan kode kontrak pintar di dalam Aptos untuk melaksanakan operasi jaringan, yang dirancang menggunakan bahasa pemrograman Move. Program ini, pada gilirannya, mengatur data dari setiap kontrak dalam struktur, cara di mana MoveVM menyimpan, misalnya, saldo akun atau izin pengelolaan dari sebuah protokol.

Sistem menyimpan nomor identifikasi untuk setiap struktur tersebut dalam memori sementara, agar tidak mengulangi proses yang sama di setiap operasi. Masalah muncul ketika sistem mengosongkan sebagian dari memori tersebut untuk membebaskan ruang, tetapi tidak semuanya: nomor yang mengidentifikasi sebuah struktur bisa secara keliru terasosiasi dengan data dari struktur yang sama sekali berbeda. Ini dikenal sebagai kebingungan tipe, kesalahan di mana program akhirnya memperlakukan informasi dari satu akun seolah-olah milik akun lain.

Dengan kesalahan tersebut, menurut penjelasan Hexens dalam laporan teknis yang dipublikasikan pada 6 Juli, seorang penyerang dapat mengambil alih peran administrator utama, fungsi yang mengizinkan penerbitan stablecoin, atau kemampuan tanda tangan yang mengontrol pengelolaan dana di dalam sebuah kontrak. Para peneliti mengklaim telah mengambil alih peran administrator utama dan mencapai langkah sebelum mengizinkan penerbitan, tanpa mengeksekusinya.

Tim Hexens juga menunjukkan bahwa kerentanan tersebut menjangkau jalur yang menghubungkan Aptos dengan jembatan antar jaringan, seperti yang dioperasikan oleh Wormhole dan LayerZero, serta dengan protokol yang digunakan oleh perusahaan Circle untuk memindahkan stablecoin USDC di antara berbagai jaringan, yang dikenal dengan singkatan dalam bahasa Inggris sebagai CCTP (Cross-Chain Transfer Protocol).

Menurut perusahaan Hexens, seorang penyerang juga dapat memaksa pengosongan lengkap dari memori sementara tersebut (cache) setelah percobaan, baik yang berhasil maupun gagal, untuk tidak meninggalkan jejak manipulasi. Ini menjelaskan sebagian mengapa perusahaan bersikeras bahwa percobaan yang gagal tidak menghentikan jaringan atau mengekspos serangan yang sedang berlangsung.

Selain itu, para peneliti Hexens membandingkan masalah ini dengan skenario setara di jaringan berbasis Ethereum, di mana kode yang berada di bawah kendali penyerang dapat langsung menulis ke ruang penyimpanan kontrak lain, melewati jaminan sistem tipe yang dirancang khusus untuk didukung oleh Move.

Hexens melaporkan kerentanan tersebut mengikuti praktik pengungkapan yang bertanggung jawab, yaitu memberi tahu secara pribadi kepada Aptos sebelum mempublikasikan rincian apapun secara publik. Selain itu, sebuah ruang darurat diaktifkan yang dikoordinasikan oleh SEAL911, sebuah jaringan respons sukarela yang digunakan oleh berbagai proyek di sektor untuk mengoordinasikan reaksi terhadap insiden keamanan yang serius.

Tim Aptos, di sisi lain, menilai eksploitabilitas praktis dari kerentanan tersebut sebagai <>. Penilaian tersebut bertentangan dengan tingkat keberhasilan antara 17 dan 18 dari setiap 20 percobaan yang dikatakan Hexens berhasil dalam simulasi mereka, dan juga dengan tinjauan independen dari dua pihak ketiga: Mudit Gupta, direktur teknologi (CTO) dari Polygon, menyatakan bahwa bukti konsep berfungsi seperti yang dijelaskan, sementara perusahaan Grego AI, di sisi lain, memperkirakan risiko langsung terhadap aset asli Aptos sebesar USD 250 juta, angka yang jauh lebih kecil dibandingkan dengan USD 70 miliar yang diperkirakan Hexens untuk dampak yang lebih luas terhadap ekosistem lainnya.

Akhirnya, Charles Guillemet, direktur teknologi Ledger, menunjukkan bahwa jenis penemuan ini, dengan jejak lengkap dari mesin virtual dan dua bukti konsep fungsional, sebelumnya membutuhkan waktu berbulan-bulan dari seorang spesialis dan sekarang, dengan alat kecerdasan buatan, lebih cepat dan lebih murah untuk diproduksi. Menurut penilaiannya, jika tim keamanan dapat saat ini menelusuri setiap baris kode dan membangun serangan fungsional dengan biaya rendah, maka sebaiknya diasumsikan bahwa kelompok penyerang, termasuk yang terkait dengan Korea Utara seperti Lazarus, memiliki kemampuan serupa.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.