Proyek Perdagangan Margin Ethereum Mengalami Serangan Hacker Sebesar 300.000 Dolar

Pada 30 Maret 2025, sebuah proyek perdagangan margin yang berjalan di Ethereum menjadi target serangan hacker, mengakibatkan kerugian aset lebih dari 300.000 dolar. Tim keamanan melakukan analisis mendalam terhadap kejadian ini, mengungkap rincian dan penyebab serangan.

Latar Belakang Peristiwa

Penyerang memanfaatkan celah pada fitur penyimpanan transien yang diperkenalkan di versi Solidity 0.8.24. Penyimpanan transien adalah lokasi penyimpanan data baru yang dirancang untuk menyediakan cara penyimpanan sementara yang efisien biaya dan berlaku selama transaksi. Namun, implementasi fitur ini dalam proyek tersebut memiliki cacat, menjadi titik masuk bagi serangan Hacker.

Prinsip Serangan

Inti dari serangan terletak pada fakta bahwa data dalam penyimpanan sementara tetap valid selama seluruh periode transaksi, bukannya dihapus setelah setiap pemanggilan fungsi. Penyerang dengan cerdik memanfaatkan fitur ini dengan urutan transaksi yang dirancang dengan baik untuk melewati mekanisme pemeriksaan izin dalam kontrak.

Langkah Serangan

1. Penyerang membuat dua token kustom dan menciptakan pool likuiditas untuk kedua token ini di DEX tertentu.
2. Menggunakan dua token ini untuk membuat pasar perdagangan margin baru di proyek target.
3. Dengan menyimpan token utang untuk mencetak token margin, sambil meninggalkan nilai tertentu di penyimpanan sementara.
4. Buat kontrak jahat yang cocok dengan nilai di penyimpanan sementara.
5. Memanfaatkan kontrak jahat ini untuk memanggil fungsi callback kontrak target, melewati pemeriksaan izin.
6. Terakhir, langsung ambil token berharga lainnya dari kontrak target.

Situasi Kerugian

Berdasarkan analisis on-chain, penyerang berhasil mencuri sekitar 300.000 dolar aset, termasuk:

• 17.814,8626 USDC
• 1.4085 WBTC
• 119.871 WETH

Penyerang kemudian mengonversi semua aset yang dicuri menjadi WETH dan mentransfernya ke alat anonim.

Saran Keamanan

Untuk mencegah serangan serupa, pihak proyek harus:

1. Segera hapus nilai yang disimpan setelah fungsi yang menggunakan penyimpanan transien selesai dipanggil.
2. Memperkuat proses audit kode kontrak dan pengujian keamanan.
3. Gunakan fitur bahasa baru dengan hati-hati dan pahami risiko potensialnya.

Kejadian ini sekali lagi mengingatkan kita bahwa, di saat teknologi blockchain berkembang dengan cepat, masalah keamanan tetap menjadi tantangan yang berkelanjutan. Pengembang proyek perlu selalu waspada, terus memperbarui praktik keamanan untuk melindungi keamanan aset pengguna.