Tinjauan Kejadian Keamanan Jembatan Lintas Rantai: Sepuluh Kasus Melibatkan Lebih dari 1,9 Miliar Dolar

Dalam beberapa tahun terakhir, dengan pesatnya perkembangan ekosistem blockchain, cross-chain bridges sebagai infrastruktur dasar yang menghubungkan berbagai blockchain publik telah menjadi perhatian utama terkait keamanannya. Namun, karena mereka memegang sejumlah besar dana dan sering melakukan operasi lintas rantai, cross-chain bridges menjadi sasaran utama serangan peretas. Artikel ini akan meninjau sepuluh insiden keamanan besar yang melibatkan cross-chain bridges, dengan total dana yang terlibat melebihi 1,9 miliar dolar, di mana sekitar 1,55 miliar dolar telah berhasil dipulihkan atau dibayarkan.

1. ChainSwap: Kerugian sekitar 8,08 juta dolar akibat dua serangan

Pada bulan Juli 2021, ChainSwap mengalami dua kali serangan hacker. Kerugian pertama sekitar 800.000 USD, dan kerugian kedua sekitar 8.000.000 USD, yang mempengaruhi lebih dari 20 proyek yang menggunakan ChainSwap untuk melakukan cross-chain. Penyebab insiden adalah protokol yang tidak memverifikasi validitas tanda tangan dengan ketat. Beberapa proyek yang terkena dampak memilih untuk melakukan snapshot dan menerbitkan kembali token, untuk memberikan kompensasi kepada pemegang dan penyedia likuiditas.

2. Poly Network: Semua 6,1 juta dolar AS yang dicuri telah dipulihkan

Pada bulan Agustus 2021, Poly Network mengalami serangan peretasan, yang mengakibatkan kerugian sekitar 610 juta dolar AS di Ethereum, Binance Smart Chain, dan Polygon. Penyerang memanfaatkan celah dalam manajemen izin kontrak untuk berhasil mengganti alamat validator di rantai target. Akhirnya, peretas tersebut mengembalikan semua dana, dan Poly Network bahkan mengundangnya untuk menjabat sebagai kepala penasihat keamanan.

3. Multichain: Kerentanan menyebabkan kerugian 6 juta dolar, sudah dibayar

Pada Januari 2022, Multichain menemukan celah penting yang memengaruhi berbagai token. Sekitar 7962 alamat pengguna terpengaruh, menyebabkan kerugian sekitar 6,04 juta dolar AS. Penyebabnya adalah masalah dalam kontrak saat memverifikasi keabsahan token yang dikirimkan oleh pengguna. Tim telah memulihkan hampir 50% dari dana yang dicuri, dan memberikan kompensasi kepada pengguna yang segera mencabut otorisasi.

4. QBridge: 80 juta dolar AS dicuri, hanya kompensasi 2%

Pada akhir Januari 2022, jembatan lintas rantai QBridge dari protokol pinjaman Qubit diserang, dengan kerugian sekitar 80 juta dolar. Penyerang memanfaatkan celah dalam kontrak saat memproses token whitelist untuk mencetak sejumlah besar token xETH secara sembarangan di BSC. Saat ini, penggunaan Qubit sangat rendah, dan 98% dana yang dicuri belum terbayar.

5. Meter.io: Kerugian 4,4 juta USD, berjanji akan mengganti dengan pendapatan di masa depan

Pada bulan Februari 2022, jembatan cross-chain Meter Passport diserang, mengakibatkan kerugian sebesar 4,4 juta dolar AS. Masalah terletak pada "asumsi kepercayaan yang salah" dalam kode dasar, yang memungkinkan peretas untuk memalsukan transfer BNB dan ETH. Meter memutuskan untuk menerbitkan token baru PASS untuk mengganti rugi pengguna, dan berjanji untuk membeli kembali dengan pendapatan di masa depan, tetapi belum dilaksanakan.

6. Ronin: $620 juta dicuri, telah dibayar penuh

Pada bulan Maret 2022, rantai Ronin di balik Axie Infinity diserang dengan kerugian sebesar 620 juta dolar AS. Para peretas mendapatkan kendali atas validator melalui teknik rekayasa sosial. Meskipun dana yang dicuri tidak dapat dipulihkan, pengembang Sky Mavis mengumpulkan 150 juta dolar AS melalui pendanaan untuk mengganti kerugian pengguna.

7. Wormhole: Kerugian 326 juta USD, telah dibayar

Pada bulan Februari 2022, Wormhole diserang oleh hacker, dengan kerugian sekitar 326 juta USD. Penyerang memanfaatkan celah verifikasi tanda tangan di kontrak sisi Solana untuk memalsukan pesan dan mencetak sejumlah besar whETH. Jump Crypto dengan cepat menyuntikkan 120.000 ETH ke Wormhole, menutupi semua kerugian.

8. EvoDeFi: Diperkirakan kehilangan lebih dari sepuluh juta dolar, belum ditangani

Pada bulan Juni 2022, USDT di DEX ValleySwap ekosistem Oasis mengalami depeg yang serius, diperkirakan kerugian mencapai puluhan juta dolar. Penyebabnya mungkin adalah kurangnya likuiditas pada rantai sumber jembatan cross-chain EvoDeFi atau adanya pintu belakang. Pihak terkait tidak memberikan solusi apapun, kerugian pengguna tidak dapat dipulihkan.

9. Horizon: Hampir 100 juta dolar dicuri, rencana kompensasi sedang disusun

Pada bulan Juni 2022, jembatan lintas rantai resmi Harmony, Horizon, diserang, dengan kerugian sekitar 100 juta dolar AS. Pendiri mengakui bahwa kemungkinan kebocoran kunci pribadi menjadi penyebabnya. Pihak proyek sedang berunding dengan komunitas untuk merumuskan rencana kompensasi.

10. Nomad: 190 juta dolar AS dicuri, dalam penanganan

Pada bulan Agustus 2022, likuiditas sebesar 190 juta dolar AS di dalam jembatan Nomad cepat habis. Penyebabnya adalah kesalahan dalam pembaruan kontrak yang secara keliru menginisialisasi root yang dapat dipercaya menjadi 0x00, sehingga siapa pun dapat menarik dana. Pihak proyek belum memberikan rencana kompensasi yang jelas, beberapa peretas putih menyatakan bersedia mengembalikan dana.

Ringkasan

Frekuensi kecelakaan keamanan pada jembatan lintas rantai mengingatkan kita untuk tetap waspada. Bahkan jembatan dengan peringkat likuiditas tinggi seperti Multichain, Wormhole, dan Poly Network pernah mengalami serangan. Secara relatif, proyek dengan latar belakang yang kuat dan modal yang cukup cenderung dapat menangani masalah keamanan dengan lebih baik dalam hal kompensasi lanjutan atau pemulihan aset. Selain itu, kemampuan tim untuk memantau secara real-time dan merespons dengan cepat juga merupakan kunci untuk mencegah serangan. Pengguna ketika memilih jembatan lintas rantai, sebaiknya mempertimbangkan proyek yang memiliki reputasi baik dan dukungan teknis yang kuat untuk mengurangi risiko potensial.