Eksploitasi kontrak Rain menguras $1,1 juta dari pengguna kartu

Seorang penyerang mengeksploitasi kontrak kartu Rain yang sudah usang pada 28 Agustus, menguras sekitar $1,1 juta dari beberapa program kartu stablecoin yang beroperasi di Solana, menurut perusahaan keamanan blockchain Blockaid.

Ringkasan

• Kontrak Rain Solana yang sudah usang memungkinkan penarikan tidak sah dari akun jaminan kartu di berbagai program.
• Blockaid memperkirakan sekitar $1,1 juta dicuri, dengan hasilnya kemudian masuk ke Tornado Cash di Ethereum.
• Avici melaporkan $500.859 yang diambil dari 1.685 pengguna, sementara Tria mengidentifikasi $431.945 yang mempengaruhi 636 pelanggan secara terpisah.
• Rain mengatakan setiap program yang menggunakan versi kontrak yang rentan telah diperbarui setelah serangan Agustus.
• Dompet yang dikelola sendiri tetap tidak terpengaruh karena penyerang menargetkan kontrak terpisah yang menyimpan saldo kartu yang didanai.

Avici dan Tria termasuk di antara neobank kripto yang terkena dampak. Kedua perusahaan mengungkapkan kerugian gabungan lebih dari $932.800 di antara 2.321 pengguna. Blockaid mengatakan program lain yang didukung Rain juga terpapar, membawa perkiraan kerugian menjadi sekitar $1,1 juta.

Penyerang tidak mengakses dompet yang dikelola sendiri oleh pelanggan atau kunci pribadi. Sebaliknya, eksploitasi menargetkan kontrak jaminan yang menyimpan stablecoin yang telah disetorkan pengguna untuk mendanai saldo kartu mereka.

Rain mengatakan sistem pemantauannya menemukan kerentanan yang mempengaruhi "sejumlah kecil program" yang menggunakan versi kontrak kartu Solana yang sudah usang. Perusahaan tersebut memperbarui setiap program yang masih menjalankan versi yang terpengaruh, menurut pernyataan publiknya.

Seorang penyerang mengeksploitasi kontrak Rain yang sudah usang, menguras $1,1 juta dari saldo kartu pengguna dari @avici, @useTria, dan neobank kripto lainnya.

Pemantauan Onchain Blockaid memberikan penerbit kartu stablecoin kemampuan untuk mendeteksi eksploitasi di seluruh armada penyebaran kontrak mereka.

Baca... pic.twitter.com/vzMQfPkdtT
--- Blockaid (@blockaid_) 2 September 2026

Insiden ini menambah kekhawatiran yang lebih luas tentang kerentanan kontrak dan operasional. Kegagalan keamanan kripto menyebabkan kerugian sekitar $1,1 miliar selama paruh pertama tahun 2026, menurut penelitian yang diterbitkan oleh Blockaid. Anda mungkin juga suka: Blockaid mengungkap eksploitasi senilai $18 juta yang memaksa penghentian perdagangan Ostium

Kekurangan kontrak Rain mengekspos infrastruktur kartu bersama

Rain menyediakan infrastruktur yang memungkinkan perusahaan kripto menerbitkan kartu yang didanai dengan stablecoin. Ketika pelanggan mendanai kartu mereka, aset yang disetorkan bergerak ke akun jaminan yang dikelola melalui kontrak onchain.

Saldo ini terpisah dari aset yang dipegang di dompet pribadi pelanggan. Setelah dana masuk ke kontrak jaminan kartu, keamanannya bergantung pada kode penyedia infrastruktur dan kontrol otorisasi.

Blockaid mengidentifikasi empat penyebaran yang mengandung kode dengan hash opcode yang sama dengan kontrak yang rentan. Perusahaan keamanan tersebut mengatakan penyerang menguras setidaknya dua penyebaran. Dua lainnya dilaporkan memiliki kerentanan yang sama tetapi tidak memiliki kerugian yang terkonfirmasi.

Rain mengonfirmasi bahwa kontrak yang sudah usang menyebabkan insiden tersebut. Namun, perusahaan belum menerbitkan laporan teknis lengkap yang mengidentifikasi setiap penyebaran yang terpengaruh atau menjelaskan mengapa beberapa program terus menggunakan versi yang lebih lama.

Situasi ini mirip dengan insiden lain di mana infrastruktur yang sudah usang atau rentan berulang tetap aktif. Dalam liputan terkait, penyerang mengeksploitasi kontrak jembatan Verus yang sama dua kali dalam dua bulan, menimbulkan pertanyaan serupa tentang pembaruan di seluruh penyebaran bersama.

Insiden Rain tidak mewakili kompromi Solana itu sendiri. Blockchain terus memproses transaksi secara normal sementara penyerang mengeksploitasi kode aplikasi yang diterapkan di jaringan.

Tanda tangan yang digunakan kembali melewati kontrol penarikan

Kontrak Rain yang sudah usang memerlukan dua otorisasi independen sebelum mengizinkan tindakan tertentu pada akun. Kontrak ini menggunakan instruksi verifikasi Ed25519 dari Solana untuk mengonfirmasi tanda tangan yang diperlukan.

Menurut analisis Blockaid, penyerang memanipulasi instruksi verifikasi kedua. Tanda tangan, kunci publik, dan offset pesan mengarah kembali ke informasi yang terkandung dalam instruksi pertama.

Kontrak yang rentan ini menerima satu tanda tangan yang dikendalikan penyerang sebagai dua persetujuan independen. Ini memungkinkan penyerang untuk memenuhi persyaratan otorisasi tanpa izin dari pemilik akun jaminan.

Setelah melewati pemeriksaan tanda tangan, penyerang menggunakan instruksi AddCollateralAdmin untuk memberikan hak administratif kepada dirinya sendiri atas akun-akun individu. Ia kemudian memanggil WithdrawCollateralAsset untuk mentransfer USDC dan USDT dari akun-akun tersebut.

Blockaid mencatat 2.945 penambahan administrator dan 5.288 panggilan penarikan. Perusahaan tersebut mengidentifikasi 8.233 transaksi eksploitasi inti selama sekitar dua jam dan 29 menit.

Operasi ini berlangsung dengan kecepatan otomatis. Blockaid menyatakan bahwa dua penarikan yang berhasil pertama terjadi dengan selisih tiga detik, menunjukkan bahwa penyerang telah menyiapkan sistem untuk menargetkan beberapa akun.

Pelanggan tidak mengizinkan transaksi jahat tersebut. Eksploitasi terjadi di tingkat kontrak, yang berarti perlindungan terhadap phishing atau tanda tangan dompet jahat tidak akan mencegah penarikan ini.

Kelemahan di tingkat aplikasi yang berbeda baru-baru ini mengekspos protokol lain ketika kontrol jaminan yang cacat memungkinkan eksploitasi DeFi senilai $75 juta. Dalam kedua kasus, jaringan yang mendasarinya terus beroperasi sementara logika aplikasi memungkinkan aktivitas yang tidak sah.

Penyerang Memindahkan Dana Melalui deBridge

USDC dan USDT yang ditarik terakumulasi dalam satu dompet Solana yang diidentifikasi sebagai FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj.

Penyerang menukar stablecoin tersebut menjadi SOL melalui platform perdagangan terdesentralisasi. Blockaid kemudian melacak hasil dari Solana ke Ethereum melalui protokol lintas rantai deBridge.

Sekitar 455,9 ETH masuk ke Tornado Cash antara pukul 19:20 dan 19:49 UTC, menurut Blockaid. Tornado Cash mengumpulkan setoran dan mengizinkan penarikan ke alamat yang tidak terhubung secara publik dengan dompet pengirim asli.

Mixer ini membuat pergerakan selanjutnya lebih sulit untuk dilacak melalui catatan blockchain publik. Blockaid menyatakan bahwa dana yang dicuri belum dipulihkan setelah masuk ke Tornado Cash.

Penggunaan infrastruktur lintas rantai menambahkan satu tahap lagi ke rute pencucian. Jembatan kripto juga telah menjadi target langsung, dengan eksploitasi transfer palsu menguras $11,5 juta dari jembatan Ethereum Verus pada awal 2026.

Blockaid menghubungkan dua alamat Ethereum dengan pembiayaan awal aktivitas penyerang Rain di Solana. Baik Rain maupun pihak berwenang penegak hukum belum secara publik mengidentifikasi orang-orang yang mengendalikan alamat tersebut.

Pernyataan perusahaan tentang mendeteksi serangan dan melacak dana mewakili temuan mereka sendiri. Blockaid menyediakan layanan keamanan dan pemantauan untuk perusahaan kripto, termasuk penerbit kartu stablecoin.

Avici dan Tria Mengungkap Kerugian Pelanggan

Avici melaporkan bahwa penyerang menghapus $500.859,22 dari saldo kartu milik 1.685 pengguna. Perusahaan tersebut menyatakan telah mengembalikan semua pelanggan yang terkena dampak dan memberikan cashback 10% setelah insiden tersebut.

Tria mengungkapkan kerugian sekitar $431.945 di antara 636 pelanggan. Dalam pembaruan resmi, mereka menyatakan bahwa setiap pelanggan yang terkena dampak sedang direimburse.

Kedua pengungkapan tersebut mencakup $932.804,22 dari total kerugian yang diperkirakan. Blockaid juga menyebut Solayer Pay sebagai program yang terkena dampak, tetapi tidak ada angka yang diverifikasi secara independen untuk kerugian tersebut tersedia.

Perbedaan antara kerugian Avici dan Tria yang diungkapkan serta estimasi Blockaid sebesar $1,1 juta tampaknya melibatkan program-program lain yang didukung oleh Rain. Rincian lengkapnya belum dipublikasikan.

Token Avici jatuh 49% dari puncak harian setelah laporan tentang eksploitasi muncul, menurut data pasar. Token tersebut mencapai titik terendah yang dilaporkan sebesar $0,217 sebelum pulih sebagian. Token Tria juga mengalami penurunan lebih dari 10% pada satu titik.

Pergerakan harga tersebut mengikuti laporan publik tentang serangan, meskipun kondisi pasar yang lebih luas juga mungkin mempengaruhi perdagangan.

Pembaruan Rain Mempengaruhi Penyebaran Kontrak

Rain mengatakan semua program kartu yang menggunakan kontrak usang telah diperbarui. Perusahaan melaporkan tidak ada aktivitas tidak sah tambahan setelah menyelesaikan perubahan.

Perusahaan juga mengatakan pengguna yang terdampak akan mendapatkan kompensasi. Rain belum mengungkapkan apakah mereka akan mengganti program kartu secara langsung atau apakah penyedia individu yang akan menanggung biaya tersebut.

Beberapa pertanyaan tetap belum terjawab. Rain belum merilis riwayat versi lengkap dari kontrak yang rentan, tanggal di mana cacat tersebut diperkenalkan, atau alasan mengapa penyebaran yang lebih lama tetap aktif.

Perusahaan juga belum mengungkapkan apakah audit telah mengidentifikasi cacat otorisasi sebelum serangan. Tidak ada pemulihan dana yang disetorkan ke Tornado Cash yang dilaporkan secara publik.

Episode ini menghidupkan kembali pertanyaan tentang apakah audit berkala memberikan perlindungan yang cukup setelah kontrak memasuki produksi. Penelitian industri terbaru menemukan bahwa lembaga semakin menginginkan pemantauan berkelanjutan di samping audit keamanan tradisional, terutama untuk kontrak yang menyimpan aset pengguna.

Laporan teknis yang rinci akan memungkinkan peneliti luar untuk mengonfirmasi kerentanan dan menentukan apakah kode serupa tetap aktif di tempat lain. Penyedia kartu juga dapat meninjau bagaimana mereka melacak versi kontrak dan membatasi izin administratif di seluruh infrastruktur bersama.

Pengguna dapat mempertahankan kontrol atas dompet pribadi mereka sambil tetap menghadapi risiko setelah menyetorkan dana ke program kartu. Keamanan saldo tersebut tergantung pada kontrak yang memegang jaminan, penyedia yang memeliharanya, dan operator yang merespons ketika kerentanan muncul.
Baca lebih lanjut: Fairshake memasuki pemilihan AS dengan dana perang sebesar $122 juta