Judul: Penyerang Memanfaatkan Tata Kelola StrongBlock Sendiri untuk Menguras $72.000 — Sebuah Pelajaran dari DAO yang Ditinggalkan Seorang penyerang telah menguras sekitar $72.000 senilai STRONG dan STRNGR dari StrongBlock setelah mengambil alih sistem tata kelola on-chain yang ditinggalkan melalui usulan jahat, menurut firma keamanan blockchain Defimon Alerts. Apa yang terjadi - Jaringan / token: STRONG / STRNGR di Ethereum. - Kerugian: 32.695 STRONG dan 383.447 STRNGR — total sekitar $72.000. - Vektor serangan: pengambilalihan tata kelola, bukan kerentanan kontrak pintar atau kompromi oracle. Bagaimana eksploitasi berlangsung 1. Penyerang mengakumulasi mayoritas token tata kelola STRONG StrongBlock, yang menurut Defimon telah menjadi hampir tidak bernilai setelah proyek ditinggalkan. 2. Dengan kekuatan suara tersebut, mereka mengajukan usulan tata kelola sah yang memerintahkan kontrak Governor’s Upgrader untuk memanggil setPendingAdmin(attacker). Usulan tersebut lolos semua tahapan yang diperlukan—pemungutan suara, antrian, dan eksekusi—sesuai aturan tata kelola protokol yang normal. 3. Setelah ditetapkan sebagai administrator sementara, penyerang menggunakan hak administratifnya untuk memperbarui proxy Governor menjadi implementasi minimal yang tidak diverifikasi, yang berisi fungsi forward(address, bytes). Fungsi ini dibatasi hanya untuk akun milik penyerang dan bertindak sebagai mekanisme panggilan sewenang-wenang di bawah otoritas Governor. 4. Dengan Governor yang telah diperbarui mampu menjalankan panggilan sewenang-wenang, penyerang memindahkan aset dari kolam protokol dan menguras saldo STRONG dan STRNGR yang dilaporkan. Mengapa ini penting - Defimon menggambarkan ini sebagai pengambilalihan tata kelola: setiap langkah kritis (perubahan admin, pembaruan kontrak, transfer aset) diotorisasi melalui proses tata kelola protokol itu sendiri, bukan melalui kerentanan kode. Dengan merebut sistem tata kelola, penyerang menjadikan kontrak tata kelola StrongBlock sebagai alat untuk mencuri dana. - Kejadian ini menyoroti tren yang semakin meningkat: penyerang semakin sering menargetkan sistem tata kelola, infrastruktur pendukung, atau kelemahan dompet/firmware, bukan hanya kerentanan kontrak pintar. Konteks lebih luas — insiden serupa baru-baru ini - Ostium: Penyerang mencuri 23,75 juta USDC setelah memanipulasi infrastruktur off-chain (umpan BTC-USD palsu), bukan mengeksploitasi kode on-chain. - Coldcard: Masalah firmware tahun 2021 yang mengurangi entropi dalam pembuatan kunci dikaitkan dengan pencurian Bitcoin besar-besaran; Galaxy Research mengaitkan 1.596 BTC dengan tiga gelombang dan mengidentifikasi gelombang keempat yang diduga (~448,7 BTC) yang masih menunggu konfirmasi. - Setelah insiden Coldcard, Bitcoin Red Team sukarelawan menjalankan tinjauan berbasis AI dan manual terhadap 390 repositori terkait Bitcoin, menemukan 4.962 potensi masalah (720 tingkat tinggi/kritis); OpenSats dan Kimi Moonshot menyediakan pendanaan dan model untuk mendukung upaya tersebut. Pembelajaran untuk proyek dan pengguna - Protokol yang ditinggalkan atau dikelola buruk tetap berbahaya: token tata kelola yang tidak aktif masih bisa mengesahkan usulan jika seseorang mengakumulasi kekuatan suara. - Tim mitigasi sebaiknya mempertimbangkan: multisig darurat atau timelock, pembakaran atau penguncian token tata kelola saat proyek berakhir, prosedur serah terima administratif yang lebih jelas, serta pemantauan berkelanjutan terhadap konsentrasi token tata kelola. - Bagi pengguna dan investor, insiden ini menjadi pengingat lagi untuk memperhatikan aktivitas tata kelola dan distribusi token, bukan hanya audit kontrak. Pengambilalihan StrongBlock ini menegaskan bahwa tata kelola itu sendiri merupakan permukaan serangan. Tim protokol memerlukan perawatan aktif, tokenomik yang hati-hati, dan prosedur akhir hidup yang jelas untuk mencegah penyerang memanfaatkan tata kelola on-chain.
StrongBlock DAO Diretas Melalui Tata Kelola, $72K Dicuri
ChainGPTBagikan
Ringkasan
Seorang penyerang menguras sekitar $72.000 dari StrongBlock DAO yang ditinggalkan dengan mengambil alih kendali tata kelola. Dengan menggunakan sebagian besar token STRONG, mereka mengusulkan peningkatan blockchain untuk mengubah admin dan menarik dana. Eksploitasi ini melewati bug kontrak pintar, dengan fokus pada kelemahan tata kelola. Serangan serupa telah menargetkan Ostium dan Coldcard, menunjukkan risiko dalam proses dan infrastruktur peningkatan jaringan.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.