Raydium, salah satu bursa terdesentralisasi terbesar di Solana, mengungkapkan eksploitasi pada program Automated Market Maker V3 lawas yang mengekstraksi sekitar $1,34 juta dari lima kolam likuiditas yang sudah tidak digunakan. Serangan tersebut menargetkan kolam yang telah ditinggalkan sejak 2021, artinya tidak ada pengguna aktif atau antarmuka Raydium saat ini yang terdampak.
Apa yang diambil dan bagaimana
Aset yang tercuri mencakup sekitar 150.177 token RAY, 5.603 token SOL, dan sekitar 893.700 USDC. Lima kolam yang terdampak adalah Sollet USDT-RAY, Sollet ETH-RAY, SRM-RAY, USDC-RAY, dan RAY-SOL, yang semuanya telah ditinggalkan setelah protokol Serum dihentikan pada tahun 2021.
Akar masalahnya adalah kelemahan logika yang terpisah dalam proses validasi penerbitan LP. Penyerang menciptakan penerbitan LP palsu dan menggunakannya untuk melewati pemeriksaan keamanan yang seharusnya memblokir penarikan. Kolam tersebut tidak lagi didukung dalam perangkat pengembangan perangkat lunak utama Raydium atau antarmuka aplikasi terdesentralisasi-nya, tetapi kontrak pintar itu sendiri masih aktif di blockchain dengan aset nyata yang terkunci di dalamnya.
Mengikuti uang
Dompet pelaku serang dilacak kembali ke KuCoin, bursa terpusat, yang menunjukkan bahwa itulah sumber pendanaan awal untuk eksploitasi tersebut. Setelah penarikan, sekitar 810 ETH dialirkan melalui Tornado Cash, mixer ethereum yang berfokus pada privasi.
Respons Raydium dan gambaran lebih besar
Raydium bergerak cepat untuk mengonfirmasi bahwa akan mengganti aset yang hilang langsung dari kasnya. Bursa juga mengumumkan tinjauan keamanan menyeluruh terhadap semua program mainnet-nya.
Transisi Raydium menjauh dari kolam-kolam lama ini didorong oleh penghentian Serum, protokol buku order berbasis rantai yang dulu menjadi pusat ekosistem DeFi Solana. Raydium sejak itu telah bermigrasi ke versi program baru termasuk V4 dan V5, yang memanfaatkan mekanisme pasokan virtual bersama protokol verifikasi akun yang lebih ketat. Namun, kontrak lama tampaknya belum sepenuhnya dihentikan.
Pools saat ini Raydium, CLMM-nya (Concentrated Liquidity Market Maker) dan versi AMM yang lebih baru, tidak terpengaruh. Dukungan kas negara berarti tidak ada siapa pun yang memiliki dana sisa di pool yang sudah tidak digunakan yang akan mengalami kerugian.
Otoritas AS memberikan sanksi terhadap Tornado Cash pada 2022, dan penggunaannya yang terus berlanjut dalam pencucian dana dari eksploitasi memberikan bahan bagi regulator untuk berargumen demi pengawasan yang lebih ketat terhadap protokol DeFi.