Menyusul peretasan terhadap DeFi PolyNetwork senilai Rp8 triliun dan kini sebagian kripto curian sudah dikembalikan, ini pendapat sejumlah pakar kripto.
Aksi peretasan PolyNetwork pada beberapa waktu lalu, termasuk yang terbesar di sektor DeFi, termasuk yang paling mencengangkan di dunia kripto sejak. Nilainya tak tanggung-tanggung, karena mencapai US$600 juta (Rp8,6 triliun) ketika peretasan terjadi.
Ada puluhan kripto yang melayang, lintas blockchain, yakni Ethereum, Binance Smart Chain dan Polygon.
Penyebabnya adalah peretas berhasil mengakses private key dompet kripto PolyNetwork lewat kelemahan yang ada di smart contract yang digunakan. Dugaan lainnya adalah akses private key diperoleh lewat kelemahan sistem yang tidak terkait dengan sistem blockchain itu sendiri, yakni peretasan ke komputer ataupun perangkat yang menyimpan private key itu.
Pada beberapa hari lalu peretas mengatakan akan mengembalikan semua kripto yang mereka curi.
Terpantau hari ini, sejumlah transaksi memang benar masuk ke wallet kripto yang telah disediakan oleh pihak PolyNetwork.
Anda bisa menelusurinya sendiri di masing-masing tiga wallet ini, Ethereum, Binance Smart Chain dan Polygon.
Untuk Ethereum, baru sekitar US$$4.763.041,86. Sedangkan BS dan Polygon masing-masing US$258.093.363,79 dan US$$84.879.464.18.
Kajian Chainalysis
Beberapa hari setelah peretasan itu, perusahaan peneliti blockchain, Chainalysis menerbitkan kajian khusus soal kasus itu.
Menurut mereka, address pertama peretas menerima 2.857.59 ETH (senilai US$274.461.628,15) dari PolyNetwork dalam pencurian awal.
“Kita dapat melihat bahwa sehari sebelumnya, peretas menarik 0,47 ETH dari Hoo.com, yang digunakan untuk membayar biaya gas pada transaksi yang terkait dengan peretasan. Selain itu, mereka tampaknya telah mengirim 13,37 ETH ke pengguna Hanashiro.eth, yang mengirimkan transaksi ETH kepada peretas dengan pesan yang memperingatkan mereka bahwa USDT yang mereka curi dari Poly Network telah dibekukan,” sebut Chainalysis.
Rupanya, peretas PolyNetwork bersedia membayar banyak uang untuk informasi yang baik.
“Penyerang juga mencuri 673.227 DAI dan 96.389.444 USDC dari PolyNetwork. Penyerang mengirim jumlah penuh keduanya ke protokol Curve DeFi untuk mencetak 95.269.796 token 3CRV. Dalam satu jam, penyerang membakar token 3CRV tersebut untuk menerima 96.942.061 DAI,” tegas Chainalysis.
Dimaz Ankaa Wijaya: Perlu Kajian Lebih Lanjut
Berdasarkan pernyataan awal pihak PolyNetwork sebelumnya, bahwa serangan itu bisa terjadi akibat kelemahan di smart contract mereka di fungsi “contract calls“.
Terkait itu, Dimaz Ankaa Wijaya, ilmuwan blockchain dari Universitas Deakin, Australia mengungkapkan, soal klaim PolyNetwork itu bisa-bisa saja.
“Pernyataan itu artinya, ini artinya, menurut mereka memang celah keamanan/bug ada di smart contract. Jadi, bukan rug pull atau kecolongan private key-nya. Namun demikian perlu kajian lebih lanjut,” tegas Dimaz.
After preliminary investigation, we located the cause of the vulnerability. The hacker exploited a vulnerability between contract calls, exploit was not caused by the single keeper as rumored.
— Poly Network (@PolyNetwork2) August 10, 2021
Damos Hanggara: Mungkin Lewat Brute Force Attack
Menanggapi kasus ini, Pendiri dan CEO Trusti.id, Damos Hanggara menduga peretas bisa mengakses private key, setelah berhasil masuk ke aplikasi off chain yang tidak terkait dengan keamanan blockchain itu sendiri.
“Kalau masuk masuk lewat smart contract, sepertinya mustahil. Saya menduga lewat aplikasi off chain mereka, kemudian masuk ke database di mana informasi private key wallet disimpan. Ini bisa dilakukan dengan cara brute force attack,” sebut Damos belum lama ini melalui Telegram.
Pencurian Kripto Lebih Mudah Dilacak
Seperti yang disebutkan oleh Chainalysis peretasan terhadap PolyNetwork dan pengembalian dana berikutnya menunjukkan bahwa semakin sulit untuk melakukan pencurian kripto yang berskala besar.
“Namun demikian, pencurian kripto lebih sulit untuk dihindari, dibandingkan di sistem perbankan biasa. Sejauh ini, berkat transparansi blockchain, pelacakan kasus pencurian kripto lebih mudah dilacak, kendati perlu koordinasi erat antar anggota di ekosistem,” sebut Chainalysis. [red]