SlowMist: Eksploitasi NEM Menguras $822.000 karena Penyerang Memanipulasi Cadangan Kolam Likuiditas
Perusahaan keamanan blockchain SlowMist melaporkan eksploitasi token NEM senilai $821.920 pada 22 Oktober 2026, yang melibatkan kerentanan pada kontrak pintar NemTokenV2 dan kolam likuiditas USDT/NEM di PancakeSwap. Penyerang dikabarkan memanipulasi akuntansi token dan cadangan likuiditas melalui 42 operasi berulang, menciptakan harga pertukaran yang secara artifisial dinaikkan sebelum menarik USDT. Insiden ini menyoroti kelemahan keamanan pada mekanisme token khusus yang berinteraksi dengan bursa terdesentralisasi. Meskipun kerugian yang dilaporkan signifikan, dampak keuangan akhir serangan, status pemulihan, dan kaitannya dengan blockchain NEM asli memerlukan pembedaan yang cermat.
SlowMist Melaporkan Eksploitasi Token NEM senilai $822K di PancakeSwap
Pengungkapan keamanan tanggal 22 Oktober mengidentifikasi kerentanan akuntansi penyelesaian di NemTokenV2 yang memungkinkan penyerang memanipulasi cadangan kolam likuiditas tanpa menyelesaikan pertukaran token yang sesuai. Serangan tersebut menargetkan pasangan perdagangan USDT/NEM di PancakeSwap, di mana keseimbangan cadangan yang terdistorsi memengaruhi harga tukar token yang dikutip. SlowMist memperkirakan kerugian yang diakibatkan sekitar $821.920, menjadikan insiden ini contoh lain bagaimana kelemahan dalam logika kontrak spesifik token dapat mengekspos likuiditas keuangan terdesentralisasi (DeFi).
Peringatan Keamanan SlowMist pada 22 Oktober dan Kerugian Estimasi $821.920
SlowMist mengidentifikasi NemTokenV2 sebagai kontrak pintar yang terdampak dan menjelaskan urutan di mana penyerang secara berulang mengeksploitasi ketidaksesuaian antara aktivitas penjualan yang tercatat dan penyelesaian pertukaran aktual. Serangan yang dilaporkan melibatkan 42 pengulangan operasi transfer token dan manajemen likuiditas yang secara progresif mengubah saldo cadangan kolam. Penyerang kemudian memanfaatkan ketidakseimbangan harga yang dihasilkan untuk menukar sisa token NEM menjadi USDT dengan tingkat yang secara artifisial dinaikkan. Setiap operasi berulang berkontribusi terhadap kondisi yang membuat pertukaran akhir secara finansial menguntungkan.
Kerugian perkiraan sebesar $821.920 mewakili dampak keuangan yang dilaporkan oleh SlowMist, bukan perhitungan independen atas keuntungan bersih pelaku serangan. Meskipun temuan keamanan awal mengidentifikasi fungsi kontrak yang relevan dan pasangan perdagangan yang terdampak, analisis keuangan rinci transaksi demi transaksi belum ditetapkan secara independen. Jumlah yang akhirnya dipertahankan oleh pelaku serangan dapat berbeda dari perkiraan kerugian kolam setelah mempertimbangkan biaya transaksi, modal awal, dan pergerakan aset lanjutan apa pun. Setiap pengembalian aset yang diekstraksi yang dikonfirmasi juga akan memengaruhi dampak keuangan yang tersisa.
Kerentanan Penyelesaian NemTokenV2 dan Paparan Likuiditas PancakeSwap
Kerentanan yang dilaporkan berkaitan dengan cara NemTokenV2 memproses token yang ditransfer ke kolam likuiditasnya. Logika kontraknya menghitung transfer masuk tertentu sebagai aktivitas penjualan tanpa memverifikasi secara memadai apakah bursa terkait telah menyelesaikan transaksi. Hal ini menciptakan ketidaksesuaian antara akuntansi internal token dan aktivitas perdagangan aktual yang terjadi di kolam. Untuk mekanisme akuntansi yang terkait dengan volume penjualan, perbedaan ini dapat menentukan kapan operasi likuiditas otomatis diaktifkan.
Insiden ini juga menunjukkan mengapa mekanisme spesifik token memerlukan integrasi hati-hati dengan liquidity pools. Kolam-kolam ini bergantung pada keseimbangan aset yang akurat untuk mendukung perdagangan terdesentralisasi, tetapi fungsi token khusus dapat memperkenalkan risiko tambahan ketika asumsi akuntansi mereka tidak sesuai dengan transaksi yang telah selesai. Kelemahan yang dilaporkan berkaitan dengan NemTokenV2, bukan kompromi yang terbukti terhadap kontrak bursa standar PancakeSwap. Oleh karena itu, insiden ini tidak boleh ditafsirkan sebagai bukti bahwa setiap pasangan perdagangan PancakeSwap terdampak.
Bagaimana Kerentanan NemTokenV2 Memungkinkan 42 Manipulasi Kolam Likuiditas
Eksploitasi NemTokenV2 berpusat pada ketidaksesuaian antara penjualan token yang tercatat dan penyelesaian aktual di bursa. Kontrak yang terdampak dilaporkan memungkinkan transfer ke dalam kolam likuiditas untuk memengaruhi akuntansi terkait penjualan, bahkan ketika tidak ada pertukaran yang dikonfirmasi. Penyerang memanfaatkan kelemahan ini bersama dengan operasi kontrak berulang untuk mengubah saldo cadangan dan menciptakan kondisi perdagangan yang menguntungkan. Memahami mekanisme ini memerlukan pemisahan perilaku automated market maker biasa dari logika token rentan yang berinteraksi dengannya.
Kesalahan Verifikasi Penyelesaian dalam Akuntansi Token NemTokenV2
Di bursa terdesentralisasi, transfer token ke kolam likuiditas tidak secara otomatis menunjukkan bahwa penjualan telah selesai. Pertukaran yang valid melibatkan kontrak pertukaran memproses transaksi dan mencatat aset yang terlibat. NemTokenV2 dilaporkan gagal membuat perbedaan ini saat mencatat beberapa transfer sebagai aktivitas penjualan. Akibatnya, akuntansi internalnya dapat mencerminkan aktivitas yang tidak menghasilkan pertukaran yang selesai secara setara. Verifikasi penyelesaian yang tepat memerlukan kontrak untuk membedakan transfer masuk dari swap yang benar-benar telah dieksekusi.
Penyerang memanfaatkan ketidaksesuaian ini melalui operasi yang melibatkan skim() dan flushLpSellRecycle(). Di PancakeSwap V2, skim() mentransfer saldo token yang melebihi cadangan yang dicatat pasangan, sementara sync() memperbarui cadangan yang dicatat agar sesuai dengan saldo aktual. Fungsi-fungsi ini memiliki tujuan berbeda dan tidak secara inheren rentan. Serangan yang dilaporkan bergantung pada bagaimana logika daur ulang khusus token yang terdampak berinteraksi dengan kolam, memungkinkan manipulasi cadangan berulang-ulang. Perbedaan ini penting karena memanggil skim() saja biasanya tidak mengurangi cadangan yang dicatat pada kolam likuiditas.
Pengurangan Cadangan Berulang dan Inflasi Harga NEM Buatan
SlowMist melaporkan bahwa penyerang mengulangi urutan manipulasi sebanyak 42 kali, menggabungkan transfer token dengan operasi skim() dan flushLpSellRecycle(). Urutan tersebut dikabarkan mengurangi cadangan NEM kolam relatif terhadap kepemilikan USDT-nya. Dalam kolam likuiditas produk konstan, jumlah relatif dua aset memengaruhi nilai tukar yang ditawarkan, sehingga mengurangi cadangan satu aset relatif terhadap yang lain dapat meningkatkan harga implisitnya. Penyerang memanfaatkan ketidakseimbangan ini untuk menjual sisa kepemilikan NEMnya menjadi USDT dalam kondisi harga yang terdistorsi. 42 pengulangan yang dilaporkan tidak boleh secara otomatis dianggap sebagai 42 transaksi blockchain terpisah, karena satu transaksi dapat menjalankan beberapa panggilan kontrak. Perubahan cadangan tepat dan jumlah transaksi individu memerlukan rekonstruksi lengkap di blockchain.
Ekstraksi USDT, Distorsi Harga, dan Perbedaan Antara Token NEM dan XEM
Konsekuensi finansial dari eksploitasi ini melampaui manipulasi cadangan yang dilaporkan. Dengan mengubah saldo aset di dalam kolom perdagangan yang terdampak, penyerang menciptakan nilai tukar yang bisa berbeda secara signifikan dari harga yang didukung oleh aktivitas pasar biasa. Ekstraksi USDT terakhir mencerminkan ketidakseimbangan harga lokal ini, bukan pertumbuhan nilai pasar yang lebih luas dari token yang diverifikasi secara independen. Mengidentifikasi aset yang terdampak sama pentingnya karena token yang disebut dalam laporan keamanan belum secara meyakinkan dikaitkan dengan XEM asli.
Bagaimana Penyerang Mengekstraksi USDT dari Kolam PancakeSwap
Tahap terakhir melibatkan pertukaran sisa token NEM pelaku setelah struktur cadangan kolam diubah. Dengan lebih sedikit token NEM yang tersedia dibandingkan USDT, kolam menawarkan tingkat pertukaran implisit yang lebih tinggi untuk NEM. Pelaku dilaporkan memanfaatkan ketidakseimbangan tersebut untuk menerima USDT dengan harga yang tidak mencerminkan kondisi perdagangan normal. Aktivitas ini berkontribusi terhadap kerugian sekitar $821.920 yang diperkirakan dalam temuan keamanan SlowMist.
Menentukan keuntungan sebenarnya dari pelaku memerlukan lebih dari sekadar angka kerugian yang dilaporkan. Para penyelidik perlu memeriksa catatan transaksi yang diverifikasi, saldo aset awal, transfer USDT, biaya eksekusi, dan semua aset yang tersisa. Mereka juga perlu membedakan nilai yang diambil dari kolam likuiditas dengan jumlah yang akhirnya dikendalikan oleh pelaku. Meninjau pergerakan ini secara kronologis akan membantu memisahkan transfer sementara dari aset yang akhirnya dipertahankan oleh pelaku. Tanpa informasi tersebut, menggambarkan seluruh perkiraan kerugian sebagai keuntungan yang terwujud akan melebih-lebihkan apa yang didukung oleh bukti yang tersedia.
Inflasi Harga Liquidity Pool Dibandingkan Nilai Pasar NEM Sebenarnya
Harga sebuah token dalam kolam likuiditas terdesentralisasi bergantung pada aset yang tersedia dalam pasangan perdagangan tertentu. Ketika saldo cadangan berubah tajam, tingkat pertukaran yang dikutip mungkin menyimpang dari harga yang tersedia di tempat lain. Manipulasi NemTokenV2 yang dilaporkan menciptakan distorsi semacam itu dalam kolom USDT/NEM yang terdampak, tetapi hal itu tidak menunjukkan peningkatan sebanding dalam valuasi pasar yang lebih luas untuk token tersebut. Perbandingan yang andal di seluruh pasar memerlukan harga yang telah dieksekusi dari tempat perdagangan lain selama periode yang sama.
Kedalaman likuiditas dapat memperkuat efek-efek ini. Sebuah kolam yang berisi sejumlah aset yang tersedia relatif sedikit umumnya mengalami dampak harga yang lebih besar akibat perubahan cadangan dibandingkan pasar yang lebih dalam yang menangani transaksi sebanding. Ini berarti harga kolam yang meningkat tajam mungkin tidak mencerminkan tingkat di mana trader biasa dapat mengeksekusi penjualan besar. Tidak ada data harga pasar secara luas yang diverifikasi secara independen yang menunjukkan peningkatan sejajar di tempat perdagangan lainnya, sehingga insiden ini tidak boleh disajikan sebagai reli pasar NEM yang lebih luas.
NemTokenV2 dan Native XEM Bukanlah Aset yang Secara Otomatis Sama
Perbedaan antara NemTokenV2 dan XEM, mata uang kripto asli dari blockchain NEM asli, sangat penting. Dokumentasi resmi NEM mengidentifikasi XEM sebagai mata uang digital asli jaringan. Laporan insiden tanggal 22 Oktober, bagaimanapun, menggambarkan kontrak pintar bernama NemTokenV2 yang terkait dengan pasangan perdagangan PancakeSwap. Nama proyek atau ticker yang sama tidak menunjukkan bahwa dua aset tersebut identik atau secara resmi terhubung.
Mengonfirmasi hubungan tersebut memerlukan pemeriksaan alamat kontrak terverifikasi token yang terdampak, dokumen penerbitan, dan pernyataan dari operator proyek terkait. Riwayat penyebaran kontrak juga dapat membantu menentukan asal-usulnya dan setiap koneksi yang terdokumentasi dengan proyek NEM. Sampai hubungan tersebut terkonfirmasi, kerugian yang dilaporkan harus ditujukan pada kontrak dan kolam likuiditas yang terdampak, bukan pada blockchain NEM asli atau seluruh pemegang XEM. Perbedaan ini membantu investor menghindari kebingungan antara eksploitasi spesifik token dengan kegagalan keamanan yang memengaruhi seluruh jaringan blockchain.
Dampak Eksploitasi NEM: Risiko Keamanan DeFi, Status Pemulihan, dan Prospek
Dampak dari eksploitasi token NEM menimbulkan kekhawatiran tentang pemulihan dana, eksposur penyedia likuiditas, dan keamanan mekanisme kontrak pintar khusus. Mengikuti pengungkapan SlowMist pada 22 Oktober 2026, pertanyaan paling penting yang belum terjawab meliputi status perbaikan kontrak yang terdampak, pergerakan aset yang diekstraksi, dan keandalan likuiditas perdagangan yang tersisa. Meskipun laporan awal menetapkan sifat kerentanan yang diduga, laporan tersebut tidak memberikan gambaran lengkap tentang upaya pemulihan selanjutnya atau pengaturan kompensasi.
Status Pemulihan Dana dan Perbaikan NemTokenV2
Sebagai tanggal 23 Oktober 2026, laporan insiden yang ditinjau belum menetapkan jumlah dana yang dipulihkan secara terverifikasi, rencana kompensasi yang dikonfirmasi, atau patch keamanan yang selesai untuk NemTokenV2. SlowMist dilaporkan telah menerbitkan alamat yang terkait dengan penyerang, kontrak eksploitasi, dan token yang terdampak, memberikan titik awal potensial untuk investigasi blockchain lebih lanjut. Namun, mengidentifikasi alamat-alamat tersebut tidak menunjukkan bahwa dana telah dibekukan atau dikembalikan. Setiap pemulihan yang dikonfirmasi memerlukan transaksi on-chain yang mendukung atau pernyataan andal dari pihak yang bertanggung jawab. Ketidaktahuan informasi pemulihan yang terverifikasi dalam sumber-sumber yang ditinjau tidak boleh diartikan sebagai bukti bahwa tidak ada aktivitas pemulihan yang terjadi.
Risiko Penyedia Likuiditas DeFi dan Implikasi Perdagangan
Penyedia likuiditas dan pedagang menghadapi risiko berbeda ketika cadangan pool menjadi terdistorsi. Penyedia mungkin mengalami perubahan dalam nilai dan komposisi posisi likuiditas mereka, sementara pedagang dapat mengalami slippage signifikan, kedalaman perdagangan terbatas, dan penawaran bursa yang tidak andal. Kerugian tepat yang dialami oleh peserta individu belum diukur secara independen. Siapa pun yang menilai eksposur harus memverifikasi alamat kontrak yang terdampak dan meninjau transaksi dompet yang relevan, bukan hanya mengandalkan nama token. Juga tidak ada cukup bukti untuk menghubungkan insiden ini dengan penurunan atau pemulihan harga XEM secara luas, sehingga kesimpulan pasar secara keseluruhan masih terlalu prematur.
Peningkatan Keamanan Kontrak Pintar dan Investigasi Lebih Lanjut
Kerentanan yang dilaporkan menyoroti pentingnya memvalidasi pertukaran yang telah selesai sebelum memperbarui catatan penjualan spesifik token. Pengembang yang meninjau mekanisme serupa harus memeriksa bagaimana akuntansi transfer berinteraksi dengan fungsi manajemen likuiditas, terutama ketika panggilan berulang dapat memicu perubahan pada cadangan. audit kontrak pintar independen, simulasi transaksi, dan pengujian operasi berulang dapat membantu mengidentifikasi kelemahan yang diabaikan oleh pemeriksaan transaksi terpisah. Secara lebih umum, memahami bagaimana eksploitasi kontrak pintar muncul dapat membantu menjelaskan mengapa logika akuntansi spesifik token memerlukan tinjauan ketat, bahkan ketika fungsi pertukaran dasar beroperasi sesuai desain. Untuk NemTokenV2, perbaikan teknis yang telah dikonfirmasi dan implementasi yang ditinjau secara independen akan memberikan bukti yang lebih kuat atas perbaikan dibandingkan jaminan tanpa dukungan.
Prospek Masa Depan Likuiditas Token NEM dan Kepercayaan Investor
Perkembangan penting berikutnya akan berupa respons teknis yang terdokumentasi, pergerakan atau pemulihan USDT yang telah diekstraksi yang telah diverifikasi, dan informasi andal mengenai kondisi kolam perdagangan yang terdampak. Perbaikan kontrak yang dikonfirmasi atau investigasi yang transparan dapat membantu peserta pasar menilai apakah kerentanan yang teridentifikasi telah ditangani. Sebaliknya, kelemahan akuntansi yang belum teratasi dan likuiditas yang tidak stabil dapat mempersulit perdagangan dan penentuan harga. Ini adalah skenario potensial, bukan perkiraan yang telah terkonfirmasi, dan tidak ada jadwal pemulihan atau target harga token yang telah diverifikasi. Signifikansi jangka panjang insiden ini akan bergantung pada bukti perbaikan yang efektif dan pelaporan yang transparan, bukan prediksi pasar spekulatif.
Kesimpulan
Eksploitasi token NEM pada 22 Oktober 2026 menunjukkan bagaimana kelemahan dalam akuntansi kontrak pintar khusus dapat mengekspos likuiditas bursa terdesentralisasi terhadap kerugian finansial. SlowMist memperkirakan kerusakan sekitar $821.920, dengan serangan yang dilaporkan melibatkan 42 operasi berulang yang memanipulasi cadangan sebelum ekstraksi USDT.
Pertanyaan-pertanyaan penting yang belum terjawab berkaitan dengan dampak keuangan akhir, dana yang berhasil dipulihkan, keamanan kontrak yang terdampak, dan hubungannya dengan XEM asli. Sampai detail-detail tersebut diverifikasi secara independen, insiden ini paling baik dipahami sebagai eksploitasi terhadap liquidity pool NemTokenV2 yang dilaporkan, bukan sebagai bukti kompromi terhadap blockchain NEM asli. Bagi peserta DeFi, hal ini memperkuat pentingnya verifikasi penyelesaian, identifikasi kontrak yang andal, dan pelaporan keamanan yang transparan.
FAQ
Bagaimana pengguna dapat memverifikasi kontrak NemTokenV2 yang terdampak?
Pengguna dapat membandingkan alamat kontrak yang dipublikasikan dalam peringatan keamanan SlowMist dengan catatan Penjelajah blockchain, termasuk kode sumber yang diverifikasi, transfer token, dan interaksi kontrak. Memeriksa alamat yang tepat lebih andal daripada hanya menggunakan nama token, karena proyek mata uang kripto yang tidak terkait dapat menggunakan nama atau simbol ticker yang serupa.
Bagaimana para trader dapat memeriksa apakah dompet mereka berinteraksi dengan kolam likuiditas yang terdampak?
Pedagang dapat meninjau riwayat transaksi dompet mereka di Penjelajah blockchain yang relevan dan mengidentifikasi pertukaran sebelumnya, setoran likuiditas, atau penarikan yang melibatkan pasangan USDT/NEM yang terpengaruh. Alamat kontrak dan catatan transaksi dapat membantu menentukan apakah sebuah dompet berinteraksi dengan pasar tersebut. Namun, interaksi sebelumnya tidak secara otomatis menunjukkan kerugian finansial.
Apakah eksploitasi token NEM membahayakan stablecoin USDT itu sendiri?
Tidak ada bukti terverifikasi bahwa kontrak pintar dasar USDT telah dikompromikan. Insiden yang dilaporkan melibatkan penarikan USDT melalui harga yang dimanipulasi di kolam likuiditas PancakeSwap tertentu. Kerentanan pada satu kontrak token atau pasangan perdagangan tidak menunjukkan kegagalan keamanan yang memengaruhi USDT di jaringan atau bursa lainnya.
Apakah persetujuan token berarti dompet terdampak oleh eksploitasi?
No. Persetujuan token memberikan izin kepada kontrak pintar untuk mentransfer jumlah mata uang kripto tertentu, tetapi persetujuan saja tidak menunjukkan bahwa dana telah dipindahkan atau hilang. Pengguna dapat meninjau izin pengeluaran yang ada dan mencabut persetujuan yang tidak lagi mereka butuhkan. Mencabut izin tidak memulihkan aset yang sudah diambil dari kolam likuiditas.
Apakah trader dapat menjual token dengan harga kolam likuiditas yang dipicu secara buatan?
Tidak selalu. Kurs yang ditampilkan mungkin berbeda dari harga eksekusi sebenarnya karena setiap perdagangan mengubah keseimbangan aset dalam pool dan dapat melibatkan slippage dan biaya. Penjualan besar mungkin menerima jauh lebih sedikit daripada penawaran awal, terutama di pool dengan likuiditas terbatas. Harga yang secara artifisial dinaikkan sebaiknya tidak dianggap sebagai indikasi yang andal terhadap nilai pasar yang dapat direalisasikan.
Apakah 42 manipulasi yang dilaporkan mewakili 42 transaksi blockchain yang terpisah?
Tidak selalu. Angka yang dilaporkan SlowMist merujuk pada 42 pengulangan urutan manipulasi, bukan jumlah transaksi terpisah yang diverifikasi secara independen. Satu transaksi blockchain dapat menjalankan beberapa panggilan kontrak. Mengonfirmasi jumlah transaksi memerlukan tinjauan terhadap hash dan jejak eksekusi yang relevan.
Penafian: Informasi pasar umum ini, yang mungkin berasal dari sumber pihak ketiga, komersial, atau bersponsor, diberikan hanya untuk referensi dan tujuan pendidikan, dan tidak merupakan saran keuangan atau investasi, penawaran, ajakan, atau jaminan. Kami melepaskan tanggung jawab atas keakuratannya, kelengkapan, keandalannya, dan setiap kerugian yang timbul. Investasi/perdagangan berisiko; kinerja masa lalu tidak menjamin hasil masa depan. Pengguna harus melakukan penelitian, menilai dengan bijak, dan mengambil tanggung jawab penuh. Untuk detail lebih lanjut, silakan konsultasikan Ketentuan Penggunaan dan Pengungkapan Risiko KuCoin.
Penafian: Halaman ini diterjemahkan menggunakan teknologi AI untuk kenyamanan Anda. Untuk informasi yang paling akurat, lihat versi bahasa Inggris aslinya.