4 juta dolar AS Ethereum dicuri! Seluruh proses pencucian uang hacker terungkap, mekanisme multi-tanda tangan diretas

Unleash Protocol minggu Selasa mengungkapkan kerugian akibat peretasan sebanyak 1.337 ETH senilai 4 juta dolar AS. Peckshield dan CertiK melacak bahwa peretas mencuci uang melalui Tornado Cash, telah mengirim beberapa transaksi 100 ETH ke layanan pencampuran. Pelaku serangan mendapatkan kendali sistem tata kelola multi-tanda secara tidak sah, kemungkinan melalui rekayasa sosial untuk menjalankan peningkatan kontrak yang tidak disetujui, melewati pemeriksaan dan menarik dana.

Rekaman Pelacakan Pencucian Uang Tornado Cash

Berdasarkan dinamika di blockchain dan laporan dari beberapa perusahaan keamanan, peretas mencoba menggunakan protokol Tornado Cash di Ethereum untuk melakukan pencucian uang. Tornado Cash adalah layanan pencampuran cryptocurrency yang mengaburkan sumber dan tujuan dana dengan mencampurkan dana dari berbagai pengguna, memutus hubungan yang dapat dilacak antara sumber dan tujuan dana, sehingga mempersulit penegak hukum melacak aliran dana.

Peckshield menunjukkan bahwa pelaku serangan tampaknya telah mengirim banyak transaksi 100 ETH ke layanan pencampuran cryptocurrency yang populer ini. Strategi transfer bertahap ini adalah metode pencucian uang yang khas, karena memindahkan sejumlah besar dana sekaligus lebih mudah dideteksi oleh sistem pemantauan. Membagi 1.337 ETH menjadi 13 hingga 14 transaksi 100 ETH, dengan jeda waktu antar transaksi, dapat mengurangi risiko deteksi langsung.

CertiK mulai menandai Wrapped ETH dan token IP yang mencurigakan, yang dikirim ke sebuah akun eksternal yang tampaknya dikonfigurasi menggunakan SafeProxyFactory. Detail teknis ini mengungkapkan tingkat keahlian pelaku serangan, karena SafeProxyFactory adalah pabrik kontrak Gnosis Safe (sekarang disebut Safe) yang digunakan untuk menyebarkan dompet multi-tanda baru. Peretas menggunakan alat ini untuk membuat dompet sementara yang menerima dana hasil kejahatan, menunjukkan pemahaman mendalam tentang ekosistem Ethereum.

Aset yang terdampak termasuk WIP, USDC, WETH, stIP, dan vIP, sebagian besar telah dijembatani ke Ethereum dan dikirim ke Tornado Cash. Proses jembatan ini sendiri menambah kesulitan pelacakan, karena aset selama proses lintas rantai melewati berbagai kontrak dan alamat, setiap transfer mengurangi jejak pelacakan. Setelah masuk ke Tornado Cash, dana akan dicampur dengan deposit pengguna lain, membentuk sebuah “kotak hitam”, sehingga dana di output tidak dapat dikaitkan langsung dengan input.

Perlu dicatat bahwa Tornado Cash sejak dikenai sanksi oleh Departemen Keuangan AS pada 2022, penggunaan layanan ini sendiri sudah melanggar hukum. Namun, sanksi tersebut tidak sepenuhnya menghentikan operasinya, karena Tornado Cash adalah protokol terdesentralisasi berbasis kontrak pintar yang tidak dapat dimatikan seperti layanan terpusat. Peretas bersedia mengambil risiko hukum menggunakan Tornado Cash, menunjukkan tingkat kewaspadaan mereka terhadap teknologi pelacakan.

Bagaimana Sistem Multi-Tanda Dapat Ditembus

Selasa pagi, Unleash mengungkapkan adanya kerentanan keamanan. Proyek ini telah dihentikan sementara dan mulai melakukan analisis forensik terhadap serangan tersebut, yang tampaknya berasal dari kerusakan mekanisme multi-tanda. Unleash menulis di X: “Investigasi awal kami menunjukkan bahwa sebuah alamat milik eksternal memperoleh kendali manajemen melalui tata kelola multi-tanda Unleash, dan melakukan peningkatan kontrak tanpa izin.”

Dengan kata lain, pelaku serangan mendapatkan kendali atas sistem tata kelola Unleash Protocol secara tidak sah, kemungkinan melalui rekayasa sosial phishing atau celah keamanan lainnya, sehingga mereka dapat melakukan peningkatan yang melewati pemeriksaan normal dan menarik dana pengguna dari protokol. Pola serangan ini tidak jarang di bidang DeFi, tetapi keberhasilannya menembus mekanisme multi-tanda tetap menimbulkan kekhawatiran.

Dompet multi-tanda (Multi-Signature Wallet) adalah mekanisme perlindungan aset yang paling umum di protokol DeFi. Ia mengharuskan beberapa pemilik kunci pribadi menandatangani transaksi bersama, secara teori bahkan jika satu kunci dicuri, peretas tidak dapat mencuri dana. Namun, serangan ini menunjukkan bahwa mekanisme multi-tanda tidak sepenuhnya aman.

Tiga Kemungkinan Kegagalan Mekanisme Multi-Tanda

Serangan rekayasa sosial: Peretas melalui email phishing atau pesan palsu menipu beberapa penandatangan untuk mengungkapkan kunci pribadi

Kecurangan internal: Personel internal yang memegang kunci multi-tanda bersekongkol atau dibeli, secara aktif bekerjasama dengan peretas

Eksploitasi celah kontrak: Kontrak multi-tanda sendiri memiliki bug kode yang memungkinkan pelaku serangan melewati persyaratan tanda tangan

Pernyataan Unleash menekankan bahwa “alamat milik eksternal” memperoleh kendali, mengisyaratkan ini mungkin bukan dilakukan oleh internal, melainkan oleh penyerang eksternal melalui teknik atau rekayasa sosial yang mendapatkan hak tanda tangan yang cukup. Peningkatan ini memungkinkan pengambilan dana tanpa persetujuan tim Unleash, dan terjadi di luar prosedur tata kelola dan operasi yang diharapkan, menunjukkan pelaku serangan memiliki kendali penuh atas manajemen.

Peringatan Keamanan Ekosistem Story Protocol

Unleash menyatakan: “Insiden ini berasal dari kerangka tata kelola dan hak akses protokol Unleash,” dan menambahkan bahwa “sepertinya hanya terbatas pada kontrak dan kendali manajemen khusus Unleash,” serta “tidak ada bukti bahwa kontrak Story Protocol, validator, atau infrastruktur dasar lainnya terganggu.” Pernyataan ini berusaha membatasi dampak kerusakan pada Unleash saja, agar tidak meluas ke seluruh ekosistem Story Protocol.

Unleash adalah salah satu dari banyak aplikasi terkenal yang dibangun di atas Story Protocol. Story Protocol adalah protokol Layer 1 yang relatif baru, fokus pada aplikasi tokenisasi kekayaan intelektual. PIP Labs, yang mendukung Story, telah mengumpulkan pendanaan sebesar 1,4 miliar dolar AS, dengan investor termasuk beberapa venture capital top. Jika insiden pencucian uang ini menimbulkan keraguan terhadap keamanan ekosistem Story Protocol, hal ini dapat mempengaruhi aplikasi lain berbasis protokol tersebut dan valuasi keseluruhan.

Tim Unleash telah memperingatkan pengguna untuk tidak berinteraksi dengan protokol, dan menyatakan bahwa begitu informasi yang dapat dipercaya diperoleh, mereka akan segera membagikan pembaruan terkait serangan dan langkah pemulihan potensial. Penutupan sementara protokol adalah langkah standar untuk mencegah peretas memanfaatkan celah lebih jauh dan mencuri dana, tetapi juga berarti pengguna sah sementara tidak dapat mengakses aset mereka.

Secara lebih luas, insiden pencucian uang ini kembali menyoroti risiko tata kelola di protokol DeFi. Mekanisme multi-tanda meskipun lebih aman daripada tanda tunggal, tetap bergantung pada operasi manusia, dan manusia adalah bagian yang paling rentan terhadap serangan. Dengan nilai terkunci di DeFi yang terus meningkat, serangan terhadap sistem tata kelola bisa menjadi lebih sering dan kompleks.