Peretas Menguras $31,6 Juta Setelah Dua Pelanggaran pada Crypto Bridge dalam 7 Jam

Masalah keamanan lintas rantai tetap menjadi titik nyeri utama bagi pasar kripto, setelah penyelidik melaporkan dua eksploitasi terkait jembatan yang terjadi hanya beberapa jam berselang. Menurut perusahaan analitik on-chain Blockaid, total pencurian mencapai lebih dari $31,6 juta, dengan dana diambil dari infrastruktur jembatan yang digunakan oleh bursa perpetual terdesentralisasi AFX dan Verus Ethereum Bridge.

Blockaid mengatakan jembatan AFX kehilangan $24,15 juta pada Rabu, sebelum serangan lain menargetkan Jembatan Ethereum Verus yang menyebabkan sekitar $7,5 juta ditarik dari cadangan jembatan. Insiden berturut-turut ini menunjukkan bagaimana operator jembatan—dan protokol yang mengintegrasikannya—dapat terpapar bahkan ketika eksploitasi tidak terkait dengan kelemahan tingkat rantai tunggal.

• Blockaid melaporkan kerugian sebesar $24,15 juta dari jembatan yang dioperasikan AFX di Arbitrum dan sekitar $7,5 juta yang ditarik dari Verus Ethereum Bridge dalam hitungan jam.
• Co-founder Offchain Labs, Stephen Goldfeder, mengatakan jembatan asli Arbitrum tidak diretas, menunjukkan aktivitas yang berasal dari protokol pihak ketiga.
• Peneliti keamanan menyarankan insiden AFX mungkin melibatkan kunci yang dikompromikan, bukan kelemahan logika kontrak pintar.
• Blockaid mengatakan eksploitasi Verus tampaknya meniru insiden Mei sebelumnya, menggunakan metode serupa sambil melibatkan dompet penyerang yang berbeda.
• Kedua kasus tersebut menunjukkan bahwa jembatan tetap menjadi target bernilai tinggi karena mengelola kumpulan aset besar dan memindahkan nilai antar ekosistem.

Blockaid mengatakan bahwa pihaknya mendeteksi eksploitasi pada pukul 21:30 UTC yang menargetkan jembatan yang dioperasikan oleh AFX, sebuah bursa perpustakaan terdesentralisasi yang berjalan di Arbitrum. Investigasi menggambarkan peristiwa ini sebagai kompromi jembatan yang memengaruhi integrasi pihak ketiga, bukan pelanggaran terhadap infrastruktur jembatan inti Arbitrum.

Menurut co-founder Offchain Labs, Stephen Goldfeder, laporan peretasan jembatan yang beredar secara online telah memengaruhi transaksi yang berasal dari protokol pihak ketiga, dan jembatan asli Arbitrum sendiri tidak dieksploitasi. Goldfeder menyatakan bahwa transaksi yang dimaksud berasal dari protokol lain dan menekankan bahwa jembatan asli Arbitrum “tidak pernah diretas atau dieksploitasi sama sekali.”

Analisis tambahan dari SunSec, pendiri komunitas keamanan DeFi DeFiHackLabs dan kontributor SEAL, menyarankan bahwa bukti lebih mengarah pada kompromi kunci daripada kerentanan dalam logika kontrak pintar. Meskipun perbedaan ini penting untuk respons insiden—kompromi kunci biasanya memerlukan rotasi kredensial segera dan tinjauan akses yang lebih luas—hal ini juga menandakan bahwa titik terlemah mungkin tidak selalu berada pada kontrak jembatan itu sendiri.

Cointelegraph meminta komentar dari AFX mengenai eksploit yang dilaporkan, tetapi pelaporan tambahan yang tersedia di sini berfokus pada apa yang diamati oleh Blockaid dan penyelidik terkait selama insiden tersebut.

Dalam insiden terpisah, Blockaid melaporkan eksploitasi yang menargetkan Verus Ethereum Bridge yang menguras sekitar $7,5 juta dari berbagai aset yang disimpan di cadangan jembatan. Token yang terdaftar mencakup Ether (ETH), tBTC, USDC, USDt, EURC, MKR, dan scrvUSD.

Blockaid mengatakan metode serangan tampak mirip dengan insiden Verus Ethereum Bridge sebelumnya yang dilaporkan pada Mei, yang mengakibatkan pencurian $11,58 juta. Dalam kasus sebelumnya itu, Blockaid mengatakan pendekatan keseluruhan yang sama digunakan, tetapi oleh dompet penyerang yang berbeda.

Menurut Blockaid, penyerang menggunakan "import path" jembatan untuk memicu "pembayaran sisi Ethereum yang tidak didukung." Secara praktis, ini menunjukkan kelemahan pada tingkat alur kerja: penyerang mungkin dapat memicu jembatan untuk melepaskan aset di satu sisi sistem tanpa dukungan yang sesuai di sisi lain, menciptakan jalur langsung menuju penipisan cadangan.

Untuk pengguna dan integrator, sifat berulang dari taktik ini menimbulkan risiko yang terus-menerus: bahkan ketika tim memperbaiki satu kerentanan, mekanisme operasional bagaimana impor dan pembayaran ditangani tetap dapat dieksploitasi jika asumsi dasarnya tidak ditangani sepenuhnya.

Eksploitasi jembatan sulit dihilangkan sepenuhnya karena infrastruktur lintas rantai sering menggabungkan beberapa komponen: kepemilikan aset, mekanisme pengiriman pesan atau impor/ekspor, dan izin untuk memicu alur penyelesaian. Ketika penyerang menemukan celah di antara elemen-elemen tersebut—baik melalui kredensial yang dikompromikan, otorisasi yang salah, atau kelemahan dalam cara validasi status lintas rantai—hasilnya sering kali penarikan dana yang cepat.

Investigator on-chain TheCrypticWolf merangkum masalah yang lebih luas dalam sebuah postingan di X, berargumen bahwa jembatan tetap menjadi titik lemah sampai “keamanan ditingkatkan.” Meskipun pernyataan itu mencerminkan pandangan umum daripada bukti spesifik insiden baru, dua serangan yang dilaporkan dalam hari yang sama memberikan dukungan konkret: cadangan jembatan bernilai tinggi membuat sistem ini menarik, dan kompleksitas tinggi membuat penguatan menyeluruh menjadi sulit.

Ada juga ketidakseimbangan penting di antara dua insiden tersebut. Laporan Blockaid mengenai kasus AFX disertai klarifikasi dari Goldfeder bahwa jembatan asli Arbitrum tidak disusupi, yang menunjukkan bahwa masalahnya terletak pada integrasi pihak ketiga atau kontrol jembatan yang terkait dengan protokol tertentu. Sebaliknya, deskripsi Blockaid mengenai insiden Verus menekankan bagaimana mekanisme impor jembatan dapat menyebabkan pembayaran di sisi Ethereum yang tidak didukung dengan benar—masalah yang mungkin lebih terkait langsung dengan logika penyelesaian dan asumsi status.

Insiden terkait bridge biasanya mengarah pada tindakan darurat seperti pengendalian jeda, pemantauan yang ditingkatkan, dan perubahan pada alur kerja penitipan atau otorisasi. Pembaca harus memperhatikan pengungkapan lanjutan dari AFX dan ekosistem Verus, terutama mengenai apa yang ditentukan oleh Blockaid dan penyelidik lainnya tentang penyebab utama—apakah itu kompromi kunci, kegagalan otorisasi, atau kelemahan berulang dalam penyelesaian impor/ekspor.

Secara lebih luas, peristiwa-peristiwa ini memperkuat bahwa eksposur lintas rantai tidak terbatas pada operator jembatan saja: aplikasi terdesentralisasi dan pedagang yang mengandalkan jembatan untuk likuiditas dan penyelesaian harus memperlakukan keamanan jembatan sebagai risiko yang terus berkembang, bukan sekadar centang sekali saja.

Artikel ini awalnya diterbitkan sebagai Hackers Menguras $31,6 Juta Setelah Dua Pelanggaran Crypto Bridge dalam 7 Jam di Crypto Breaking News – sumber tepercaya Anda untuk berita crypto, berita Bitcoin, dan pembaruan blockchain.