Sebuah Server Seharga 3000 Dolar Hampir Memicu Bencana Kripto Senilai 70 Miliar Dolar

Seorang hacker etis menemukan celah risiko senilai 70 miliar dolar di blockchain Aptos, sementara biaya serangan hanya membutuhkan 3000 dolar.

Penulis: Oliver Knight

Diterjemahkan oleh: Chopper, Foresight News

Sebuah server senilai 3000 dolar sudah cukup bagi seorang peneliti keamanan blockchain untuk mensimulasikan jalur serangan, yang mereka katakan dapat membuat infrastruktur kripto senilai hingga 70 miliar dolar berisiko.

Tokoh utama dalam insiden celah ini adalah blockchain publik Aptos yang berbasis pada bahasa Move, yang berasal dari proyek stablecoin Diem yang ditinggalkan oleh Meta.

Pada akhir Februari, peneliti dari perusahaan keamanan Hexens melaporkan celah berbahaya di mesin virtual Aptos Move kepada tim pengembang Aptos, yang bertanggung jawab atas eksekusi kontrak pintar di blockchain. Inti dari celah ini adalah cacat kebingungan tipe yang disebabkan oleh kegagalan cache: penyerang dapat memanipulasi cache untuk menipu sistem agar mengenali satu jenis sumber daya blockchain sebagai jenis sumber daya lainnya.

Setelah menerima laporan celah, tim Aptos telah menyelesaikan penerapan patch di seluruh jaringan, dan tidak ada kejadian pencurian aset pengguna yang terjadi selama proses tersebut.

Seorang juru bicara Aptos menjawab kepada CoinDesk: "Pada 25 Februari, kami menerima laporan risiko potensial melalui program bounty celah, dan saat itu kami sudah mulai melakukan pemeriksaan celah secara internal. Tim menyelesaikan perbaikan, pengujian, dan penerapan ke jaringan utama dalam beberapa jam setelah konfirmasi celah, tanpa ada kerugian bagi pengguna atau dana." Namun, pihak resmi juga meragukan tingkat eksploitasi celah tersebut, menyatakan bahwa analisis internal menunjukkan bahwa celah tersebut hampir tidak dapat dieksploitasi dalam lingkungan online yang nyata. Namun, rincian celah yang diungkap oleh tim keamanan mengungkapkan bahwa seluruh industri kripto hampir mengalami bencana keamanan besar yang dapat mengubah lanskap industri.

Celah ini sangat berisiko karena mekanisme penyimpanan izin dalam bahasa Move: izin pencetakan, izin pengelolaan jembatan lintas rantai, izin administrator pasar pinjaman, dan izin inti protokol lainnya semuanya disimpan langsung dalam bentuk sumber daya blockchain. Begitu sumber daya izin ini diretas, risikonya tidak akan terbatas pada satu protokol, semua aplikasi yang bergantung pada izin tersebut akan terancam.

Peneliti Hexens memberikan analogi yang sederhana: bahaya celah ini setara dengan munculnya cacat berbahaya di blockchain Ethereum, di mana kontrak penyerang dapat melewati mekanisme keamanan tipe dan langsung menulis atau memanipulasi data penyimpanan kontrak pintar lainnya - padahal keamanan tipe adalah penghalang perlindungan utama yang dirancang dalam bahasa Move.

CTO Polygon Mudit Gupta secara independen memverifikasi paket demonstrasi verifikasi celah, mengonfirmasi bahwa alur serangan adalah nyata dan dapat dilakukan: "Seluruh logika serangan sepenuhnya valid, demonstrasi berhasil direproduksi, dan semua kondisi yang diperlukan untuk serangan di lingkungan jaringan utama dapat dipenuhi." Lembaga keamanan Grego AI juga berhasil mereproduksi celah tersebut secara independen, dan data yang mereka hitung menunjukkan bahwa hanya sekitar 250 juta dolar dari aset terkunci asli di jaringan utama Aptos yang langsung terpapar pada risiko, belum termasuk risiko lintas rantai yang lebih luas.

Risiko 70 Miliar Dolar

Celah ini ditemukan oleh salah satu pendiri dan CTO Hexens, Vahe Karapetyan. Jika tidak segera diperbaiki, celah ini dapat membuka risiko lintas rantai, stablecoin, berbagai protokol DeFi, dan bursa terpusat, yang dapat menyebabkan kerugian aset hingga ratusan miliar dolar dan menciptakan krisis di seluruh industri.

Seluruh lingkungan serangan hanya membutuhkan satu server seharga 3000 dolar, dan penyerang jahat bahkan tidak perlu mensimulasikan kluster secara lengkap, biaya hanya beberapa ratus dolar, dan tidak perlu mengendalikan node validasi, menguasai informasi internal, atau mendapatkan izin tingkat tinggi dari protokol.

Tim penelitian melakukan sekitar 20 putaran simulasi serangan di lingkungan jaringan utama yang disimulasikan, berhasil 17 hingga 18 kali. 2 hingga 3 kali kegagalan yang tersisa tidak akan menyebabkan jaringan terhenti, penyerang dapat mencoba lagi hingga berhasil. Kluster simulasi mereplikasi lingkungan lengkap jaringan utama yang nyata: membangun lebih dari 30 node validasi, mereproduksi distribusi staking yang nyata, dan mereplikasi volume transaksi harian serta skenario kemacetan blok. Tim tersebut juga menggunakan teknik pra-kalibrasi tanpa serangan untuk menghitung status memori, pengemasan blok, dan operasi sebelum melakukan serangan, secara signifikan mengurangi ketidakpastian yang disebabkan oleh variabilitas serangan, dan secara signifikan meningkatkan tingkat keberhasilan dalam praktik.

Hexens, berdasarkan data publik di blockchain, menghitung bahwa risiko langsung dari DeFi asli Aptos, aset tokenisasi, stablecoin, dan protokol staking likuid mencapai puluhan miliar dolar.

Risiko dari celah di lapisan dasar blockchain tidak pernah terbatas pada satu blockchain saja. Mengingat jembatan lintas rantai, protokol komunikasi lintas rantai, jalur penerbitan stablecoin, bursa terpusat, dan risiko lainnya, perkiraan skala risiko sistemik keseluruhan dapat mencapai 70 miliar dolar. CEO Grego AI Justus Hanna menyatakan bahwa penyerang dapat menggunakan celah ini untuk merebut izin pengelolaan inti dari infrastruktur lintas rantai utama seperti LayerZero, Wormhole, dan protokol transmisi lintas rantai CCTP, secara teoritis dapat mengosongkan semua dana terkunci yang terkait.

Uji coba simulasi ini cukup untuk membuktikan bahwa celah yang tersembunyi di lapisan dasar blockchain dapat membawa risiko industri yang menghancurkan.

Jika hacker memanfaatkan celah ini untuk melakukan serangan nyata, skala kerugian akan jauh melebihi insiden pencurian 1,5 miliar dolar di bursa Bybit tahun lalu. Pada bulan Juni, Zcash anjlok 38% karena celah berbahaya yang terpendam selama empat tahun di kolam privasi, yang memungkinkan penyerang untuk mencetak token palsu tanpa batas dan sulit terdeteksi; sebelumnya, beberapa insiden pencurian di jembatan lintas rantai dan kontrak pintar yang mencapai miliaran dolar telah terus menggoyahkan kepercayaan pasar terhadap infrastruktur.

Perkiraan risiko 70 miliar dolar didasarkan pada skenario ekstrem di mana penyerang mencetak USDC secara massal dan menggunakan Circle CCTP untuk melintasi beberapa blockchain. Secara teoritis, jika insiden ini terjadi, Circle kemungkinan besar akan menghentikan transfer USDC, tetapi Circle sebelumnya menyatakan bahwa mereka tidak akan membekukan aset pengguna tanpa otorisasi hukum, sehingga ada ketidakpastian dalam pelaksanaannya. Bahkan jika platform terkait melakukan pengendalian risiko darurat, dampak dari celah ini akan sangat merugikan seluruh pasar kripto.

Tim penelitian melalui verifikasi demonstrasi membuktikan bahwa celah ini dapat merebut izin pengelolaan tingkat atas dari sistem lintas rantai, termasuk izin kontrol utama pencetakan, izin tanda tangan, dan kontrol keuangan protokol. Mereka sepenuhnya mereproduksi proses pengambilalihan izin kontrol utama, tidak mencetak token secara nyata, tetapi dengan jelas membuktikan bahwa risiko ini harus dimasukkan dalam model ancaman keamanan. Jalur utama penyebaran risiko adalah saluran lintas rantai yang terhubung antara Aptos dan bursa terpusat, di mana penyerang dapat memanipulasi data pencatatan setoran pengguna bursa.

Tanggapan dan Pengungkapan

Pada hari yang sama Hexens mengajukan laporan, sebuah tim tanggap darurat bernama "SEAL911" dibentuk untuk mengoordinasikan langkah-langkah respons. Beberapa jam setelah pembentukan tim tanggap, proyek menerima laporan lengkap tentang celah tersebut. Pada sore hari, empat proyek inti hulu menerima dokumen demonstrasi celah dan analisis risiko izin.

Pada 27 Februari, catatan pengiriman perbaikan kode resmi dipublikasikan, Aptos menyatakan bahwa patch privat untuk node validasi telah diterapkan sebelum kode publik dirilis. Sementara itu, Hexens menyatakan hingga saat ini belum menerima bantahan teknis dari pihak Aptos yang didukung oleh data, pihak tersebut hanya mengajukan bahwa ada ambang probabilitas untuk serangan.

Meskipun tidak ada dana yang dicuri, hasil simulasi menunjukkan bahwa dalam serangan di tingkat blockchain, pembatasan lalu lintas, pembekuan oleh penerbit, pengendalian lintas rantai, pemantauan bursa, dan patch untuk validator bukanlah langkah-langkah keamanan yang sepele. Mereka secara langsung menentukan apakah celah tersebut adalah kecelakaan kecil atau keruntuhan sistemik di seluruh industri.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.