Sekitar US$24 juta (Rp352 miliar) raib dari layanan keuangan aset kripto Harvest Finance, pada Senin pagi (26 Oktober 2020).
Penyerang menyasar kumpulan likuiditas layanan itu, melakukan serangan arbitrase menggunakan pinjaman kilat yang besar. Pinjaman jenis ini biasanya tak menggunakan agunan. Pencurian berlangsung dalam tujuh menit saja.
Like other arbitrage economic attacks, this one originated with a large flashloan, and manipulated prices on one money lego (curve y pool) to drain another money lego (fUSDT, fUSDC), many times.
The attacker then converted the funds to renBTC and exited to BTC
— Harvest Finance (@harvest_finance) October 26, 2020
Pihak Harvest Finance mengungkapkan bahwa peretas memanipulasi harga pada satu lego money (curve y pool) untuk menguras lego money lainnya yang bernilai dolar, yakni fUSDT, termasuk fUSDC secara berkali-kali.
Peretas kemudian menukar kedua stablecoin itu menjadi renBTC dan menukarnya menjadi Bitcoin. RenBTC aset kripto bernilai sama dengan Bitcoin, tetapi diterbitkan di blockchain Ethereum.
Sementara itu harga Farm, token bawaan Harvest, turun 54 persen menjadi US$101,79 akibat kasus ini, berdasarkan data Coingecko.
Setelah serangan itu, jumlah dana yang ter-lock di layanan tersebut pun berkurang, karena pengguna khawatir serangan akan berlanjut.
Harvest Finance pun mengumumkan 10 address Bitcoin peretas, di mana diyakini bahwa dana yang dicuri mungkin telah dipindahkan.
Pihaknya juga memohon bantuan Binance, Coinbase dan Huobi untuk memblokir address itu agat tidak bisa ditukar menjadi uang fiat.
Flashloan attacker's 10 BTC addresses:
1Paykw4s2WX4SaVjDrQkwSiJr16AiANhiM
1Paykw4s2WX4SaVjDrQkwSiJr16AiANhiM
1HLG86DDEzAxAGmEzxr1SUfPCWcnWA6bMm
14stnrgMFNR4LesqQRUdo5n1VUx9xdAMeg
18w2Bm2cCsbLjWQU9BcnjzK8ErmzozrVa31/2
— Harvest Finance (@harvest_finance) October 26, 2020
Harvest Finance yang baru berusia 3 bulan itu mengatakan bahwa pelaku peretasan sangat dikenal di komunitas DeFi. Kendati demikian Harvest Finance menawarkan hadiah kepada siapa saja yang bisa menghubungi orang yang dimaksud. Hadiahnya lumayan, US$100 ribu. [red]
