1,4 juta dolar AS menguap dalam semalam: Bagaimana kontrak yang tidak terverifikasi menjadi mesin penarikan otomatis bagi peretas

Decentralized exchange TMX di jaringan Arbitrum mengalami serangan terhadap kontrak yang belum diverifikasi, dengan kerugian sekitar 1,4 juta dolar AS. Berdasarkan data pemantauan CertiK, hacker melakukan serangan dengan operasi berulang yang dirancang secara matang, secara sistematis menguras aset USDT, wrapped SOL, dan WETH dalam kontrak tersebut. Peristiwa ini kembali mengungkapkan risiko yang sangat diremehkan dalam ekosistem DeFi: kontrak yang belum diaudit dan diverifikasi seperti brankas yang tidak dikunci, menunggu untuk dibobol.

Bagaimana hacker melakukannya

Metode serangan hacker tidak rumit, tetapi sangat efisien:

• Membuat TMX LP token yang dipasangkan dengan USDT
• Menukar USDT menjadi USDG
• Melepas staking TMX LP
• Menjual USDG untuk mendapatkan lebih banyak aset
• Mengulangi operasi tersebut secara berulang

“Loop arbitrase” ini berhasil karena logika kontrak memiliki celah—hacker menemukan perbedaan harga yang bisa dimanfaatkan berulang kali atau kekurangan mekanisme pertukaran. Dengan pengulangan berkali-kali, akhirnya likuiditas dalam kontrak tersedot habis.

Mengapa disebut “kontrak yang belum diverifikasi”

Istilah “belum diverifikasi” di sini adalah kata kunci. Artinya:

Menurut berita terbaru, banyak proyek baru untuk cepat meluncurkan platform melewati proses audit. Pendekatan ini tampaknya menghemat biaya, tetapi sebenarnya bertaruh pada probabilitas—bertaruh bahwa tidak akan ada yang menemukan celah. Padahal, hacker adalah orang yang paling teliti dalam memeriksa kode.

Apa yang dipelajari dari kasus ini

Secara permukaan, ini adalah kerugian TMX. Tetapi masalah yang lebih dalam adalah:

Kurangnya kesadaran perlindungan dari pengguna DeFi

Banyak orang yang terlibat dalam liquidity mining atau trading jarang memeriksa apakah kontrak sudah diaudit. Sebaliknya, proyek seperti Mutuum Finance yang berhasil menarik lebih dari 18.600 pemilik, salah satu alasannya adalah mereka telah menjalani audit keamanan ganda oleh Halborn dan CertiK. Ini menjadi perbandingan yang mencolok.

Kekurangan manajemen risiko dari pihak proyek

Peluncuran kontrak yang belum diverifikasi sendiri sudah menjadi tanda bahaya. Jika proyek resmi, seharusnya langsung diaudit setelah fungsi lengkap, bukan menunggu masalah muncul baru diperbaiki.

Biaya serangan hacker semakin menurun

Setiap keberhasilan serangan seperti ini menambah “metode” baru bagi hacker. Kontrak yang belum diverifikasi berikutnya mungkin menghadapi risiko serupa.

Apa yang perlu diperhatikan selanjutnya

• Apakah pihak proyek TMX akan mengeluarkan pernyataan resmi dan rencana kompensasi
• Apakah jaringan Arbitrum akan meningkatkan peringatan risiko untuk kontrak baru
• Apakah aset yang dicuri sebesar 1,4 juta dolar AS ini akan dilacak dan dibekukan
• Berapa banyak kontrak yang belum diverifikasi lainnya yang masih berisiko

Kesimpulan

Pelajaran utama dari kejadian ini sangat sederhana: dalam DeFi, verifikasi kontrak bukan pilihan, melainkan keharusan. Jika sebuah proyek diluncurkan tanpa audit keamanan resmi, setiap dana yang terlibat sebenarnya bertaruh pada kemampuan kode dari pihak proyek. Dan hacker adalah “audit kode” yang paling teliti dan serius.

Bagi pengguna, sebelum berpartisipasi dalam proyek DeFi apa pun, sebaiknya cek terlebih dahulu di Etherscan apakah kontrak tersebut memiliki laporan audit dari CertiK, OpenZeppelin, atau lembaga lain. Langkah ini tidak memerlukan latar belakang teknis, tetapi dapat secara signifikan mengurangi risiko. Bagi pihak proyek, biaya audit jauh lebih rendah daripada biaya terkena serangan—1,4 juta dolar AS adalah pelajaran terbaik.