Eksploitasi CCC menguras $117K setelah penyerang menargetkan kolam likuiditas BSC

Token CCC di BSC telah mengalami eksploitasi yang menyebabkan kerugian diperkirakan sebesar $117.000 setelah seorang penyerang memanipulasi fungsi sell() kontrak token dan membakar token yang dipegang dalam kolam likuiditasnya.

Summary

• CCC mengalami eksploitasi diperkirakan sebesar $117.000 di BSC setelah penyerang menargetkan fungsi sell() kontrak token.
• TenArmorAlert mengatakan bahwa fungsi tersebut digunakan untuk membakar token CCC yang dipegang dalam kolam likuiditas, menyebabkan pergerakan harga yang tidak normal.
• Perusahaan keamanan belum mengungkapkan urutan serangan secara lengkap atau menjelaskan bagaimana penyerang dapat memicu fungsi yang terpengaruh.
• Tidak ada laporan post mortem, rencana pemulihan dana, atau proposal kompensasi yang diumumkan pada saat peringatan.

Menurut perusahaan keamanan blockchain TenArmorAlert, sistem pemantauannya mendeteksi aktivitas mencurigakan yang melibatkan CCC di BSC pada 28 Agustus dan melacak insiden tersebut ke fungsi sell() kontrak token. Perusahaan tersebut mengatakan bahwa fungsi tersebut digunakan untuk membakar token CCC langsung dari pasangan penyedia likuiditas, yang diikuti oleh pergerakan harga token yang tidak normal.

TenArmorAlert memperkirakan kerugian dari serangan tersebut sekitar $117.000. Perusahaan tersebut mengidentifikasi transaksi serangan yang dimulai dengan "0x89d805064" dalam peringatan keamanannya tetapi tidak memberikan rincian lengkap tentang aset yang dihapus atau hasil akhir penyerang.

Informasi yang tersedia tidak mengidentifikasi bagaimana penyerang memperoleh kemampuan untuk memicu fungsi yang terpengaruh, apakah kontrol akses dilanggar, atau apakah interaksi kontrak lain diperlukan sebelum token dapat dibakar.

Eksploitasi CCC menargetkan token di dalam kolam likuiditas

Serangan yang dilaporkan berpusat pada token CCC yang dipegang oleh pasangan LP alih-alih penarikan langsung aset dari kolam.

TenArmorAlert mengatakan bahwa fungsi sell() kontrak membakar CCC dari pasangan LP. Menghapus token dari pasangan perdagangan dengan cara ini dapat mengubah saldo token yang digunakan oleh kolam, meskipun perusahaan keamanan belum menerbitkan analisis teknis rinci yang menjelaskan urutan lengkap transaksi dalam insiden CCC.

Perusahaan tersebut secara khusus mengaitkan aktivitas tersebut dengan pergerakan harga CCC yang tidak normal setelah pembakaran. Laporan independen yang diterbitkan setelah peringatan membawa kerugian yang diperkirakan sama sebesar $117.000 dan penjelasan fungsi sell().

Tidak ada informasi yang tersedia pada saat penulisan menunjukkan apakah tim CCC telah menghentikan kontrak yang terpengaruh, mengubah izin, memulihkan dana, atau mengumumkan kompensasi untuk penyedia likuiditas yang terpengaruh.

Detail tentang token CCC itu sendiri tetap terbatas dalam peringatan keamanan. TenArmorAlert mengidentifikasi jaringan yang terpengaruh sebagai BSC, yang dikenal sebagai BNB Smart Chain, tetapi pos awalnya tidak menyebutkan bursa terdesentralisasi yang menjadi tuan rumah pasangan LP.

Mekanisme yang dijelaskan oleh TenArmorAlert memiliki kesamaan dengan eksploitasi token sebelumnya di mana fungsi kontrak dimanipulasi untuk mengubah saldo token yang dipegang oleh kolam likuiditas.

BNB Chain telah melihat eksploitasi kontrak lainnya dalam beberapa bulan terakhir

Insiden CCC mengikuti beberapa serangan yang melibatkan kontrak token dan infrastruktur likuiditas di BNB Chain tahun ini.

Pada bulan Juli, crypto.news sebelumnya melaporkan bahwa Swan Treasury kehilangan $625.000 setelah penyerang memperoleh kunci penandatangan off-chain yang digunakan oleh kontrak ZhaiquanBuy-nya. Kunci yang dikompromikan memungkinkan penyerang untuk menghasilkan tanda tangan yang valid dan membeli token STY dengan diskon besar sebelum menjualnya melalui kolam likuiditas STY-USDT.

Perusahaan keamanan blockchain Defimon Alerts menemukan bahwa insiden Swan Treasury melibatkan fungsi buy() kontrak. Fungsi tersebut menghitung jumlah STY yang didistribusikan berdasarkan nilai diskon yang ditandatangani, dan penandatangan yang dikompromikan memungkinkan penyerang untuk menghasilkan tanda tangan yang mengatur parameter tersebut menjadi satu. Penyerang kemudian dapat memperoleh STY dengan harga sekitar seratus dari harga yang dimaksudkan.

Token lain yang berbasis BNB Chain mengalami penurunan harga tajam pada bulan Juli setelah eksploitasi terpisah. Balance Coin jatuh lebih dari 99% setelah perusahaan keamanan mengaitkan dua transaksi mencurigakan dengan serangan yang diperkirakan bernilai $915.000 yang melibatkan 42DAO.

TenArmor melaporkan dalam kasus ini bahwa satu transaksi mencetak sekitar 4,5 juta token BLC yang tidak didukung sebelum dipindahkan ke PancakeSwap V2. Pelaku dilaporkan menukarkan token tersebut dengan USDT dan BTCB yang dipatok ke Binance, sementara BLC jatuh dari hampir $1 yang diinginkan menjadi terendah sepanjang masa di $0,001209.

Serangan pada kolam likuiditas telah memanfaatkan kelemahan kontrak yang berbeda

Serangan lain tahun ini telah mencapai kolam likuiditas melalui kelemahan pada tingkat kontrak yang berbeda.

Pada bulan Juni, Token of Power mengalami eksploitasi senilai $1,58 juta yang melibatkan kolam Balancer V1 TOP/WETH. Blockaid menggambarkan insiden tersebut sebagai serangan pengambilalihan pemerintahan, sementara Cyvers melacak kerugian tersebut ke kolam Balancer yang terkena dampak.

Pelaku menguras 944,2 WETH dari kolam, meninggalkannya sangat tereduksi dengan token TOP. PeckShield kemudian melacak 945,1 ETH yang dikirim ke Tornado Cash. Perusahaan keamanan belum menerbitkan laporan teknis lengkap tentang serangan tersebut pada saat laporan bulan Juni.

Serangan pada bulan Mei terhadap DxSale melibatkan bentuk manipulasi kontrak lain di BNB Chain. Seorang pelaku diduga menggunakan pintu belakang kontrak tersembunyi untuk menarik BNB yang terkunci oleh lebih dari 1.400 penyedia likuiditas, dengan kerugian diperkirakan mencapai $7,3 juta. PeckShield kemudian melacak sekitar $1,87 juta dalam BNB yang berpindah dari alamat yang dikendalikan pelaku ke dua dompet utama sebelum aset tersebut didistribusikan ke beberapa alamat deposit Binance.

Insiden BNB Chain yang lebih lama memberikan perbandingan teknis yang lebih dekat dengan mekanisme yang dijelaskan dalam peringatan CCC. SafeMoon kehilangan sekitar $8,9 juta pada bulan Maret 2023 setelah seorang pelaku mengeksploitasi fungsi pembakaran publik yang memungkinkan token milik alamat lain untuk dibakar. Kerentanan tersebut diperkenalkan melalui pembaruan proyek dan digunakan terhadap kolam likuiditas protokol.

TenArmorAlert belum menyatakan apakah fungsi sell() CCC mengandung kelemahan izin yang sebanding atau apakah serangan tersebut memerlukan urutan panggilan kontrak yang berbeda. Peringatan pada 28 Agustus hanya mengidentifikasi fungsi tersebut, pembakaran token CCC dari pasangan LP, perilaku harga abnormal yang dihasilkan, dan kerugian yang diperkirakan sebesar $117.000.

Pada saat peringatan, tidak ada post-mortem terperinci, rencana pemulihan, atau informasi lebih lanjut tentang pelaku yang diungkapkan.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.