Swan Treasury mengalami kerugian diperkirakan $625.000 setelah penyerang menggunakan kunci pribadi penandatangan off-chain yang bocor untuk membeli token STY dengan diskon besar di BNB Chain dan segera mencairkannya, lapor firma keamanan blockchain Defimon Alerts. Apa yang terjadi Investigasi Defimon menunjukkan alamat penandatangan off-chain protokol (0xdEb4…8284), yang dihardcode sebagai _signer dalam kontrak ZhaiquanBuy, telah dikompromikan. Penyerang menghasilkan tanda tangan valid dengan kunci curian untuk memanipulasi fungsi buy() kontrak, yang menggunakan parameter “diskon” yang ditandatangani untuk menghitung berapa banyak token STY yang diterima pembeli. Dengan menandatangani nilai diskon sebesar 1, penyerang membeli STY dengan harga sekitar seratus kali lebih murah dari harga yang dimaksudkan. Bagaimana eksploitasi berlangsung Menggunakan flash loan sebesar sekitar 19.700 USDT di PancakeSwap, penyerang memperoleh hampir 687.000 STY melalui mekanisme pembelian diskon. Defimon menemukan bahwa penyerang juga memalsukan tanda tangan valid untuk fungsi claim() dan transfer() terkait untuk menarik STY tambahan, lalu menjual token tersebut ke dalam liquidity pool STY/USDT. Setelah membuka posisi, penyerang memperoleh keuntungan sekitar 625.000 USDT. STY diperdagangkan pada harga sekitar $2,87 pada saat itu, menurut peringatan tersebut. Mengapa ini menunjukkan kebocoran kunci, bukan bug kontrak Analisis teknis Defimon mencatat bahwa setiap panggilan ecrecover selama eksploitasi menghasilkan alamat penandatangan yang dihardcode protokol, bukan akun yang dikendalikan penyerang. Ini menunjukkan bahwa kunci penandatangan pribadi itu sendiri terpapar, bukan logika verifikasi tanda tangan kontrak yang cacat—karena tanda tangan palsu tersebut cocok persis dengan penandatangan yang diharapkan. Respons dan konteks lebih luas Swan Treasury belum menjelaskan secara publik bagaimana kunci penandatangan bocor atau mengungkapkan langkah mitigasi apa pun pada saat publikasi. Insiden ini merupakan yang terbaru dalam serangkaian serangan di mana kredensial istimewa yang bocor—bukan bug on-chain—memungkinkan kerugian besar. Pada Juni 2025, Hacken mengungkap bahwa kunci pribadi yang dikompromikan memungkinkan penyerang mencetak 900 juta HAI di seluruh Ethereum dan BNB Chain, menghasilkan sekitar $250.000 sebelum akun tersebut dibatalkan. Analisis Hacken yang dikutip crypto.news menemukan bahwa kegagalan kontrol akses, termasuk kebocoran kunci pribadi, menyumbang 78% dari total kerugian peretasan kripto yang tercatat pada 2024. Permukaan serangan yang muncul Kunci pribadi semakin menjadi target tidak hanya melalui praktik penyimpanan yang buruk, tetapi juga melalui sistem pihak ketiga. Zilliqa baru-baru ini menghentikan transaksi ZIL asli setelah kelemahan dalam generasi nonce aplikasi Ledger-nya membuat pemulihan kunci dimungkinkan dari tanda tangan yang dikumpulkan. Peneliti akademis dari Universitas California juga menunjukkan bahwa beberapa layanan routing AI pihak ketiga dapat mengakses kredensial plaintext—termasuk kunci pribadi—selama pemrosesan permintaan, dan dalam pengujian, perantara mampu mengosongkan dompet uji coba. Pesan utama Pelanggaran ini menegaskan kebenaran sederhana namun persisten: kunci penandatangan pribadi adalah titik kegagalan tunggal. Proyek harus menghindari penghardcode-an atau paparan kunci ke layanan perantara, menerapkan kontrol akses ketat, mengganti dan menyimpan kredensial secara aman, serta mengadopsi solusi keamanan kriptografi yang lebih kuat untuk mengurangi risiko pencurian kredensial. Baca selengkapnya: Ringkasan teknis Defimon Alerts dan follow-up dari Swan Treasury (jika dirilis) untuk detail mitigasi dan status pemulihan.
Swan Treasury Kehilangan $625.000 Setelah Kunci Penandatangan yang Bocor Memungkinkan Penyerang Membeli STY dengan Diskon 99%
ChainGPTBagikan
Ringkasan
Swan Treasury mengalami kerugian $625K setelah kunci penandatangan off-chain yang bocor memungkinkan penyerang mengeksploitasi BNB Chain. Dengan menggunakan flash loan sebesar 19.700 USDT, peretas membeli 687.000 token STY dengan diskon 99% dan mencairkannya. Insiden berita on-chain ini, dilaporkan oleh Defimon Alerts, menunjukkan bagaimana tanda tangan yang valid dapat dipalsukan ketika kunci terbuka. Hacken mencatat bahwa 78% kerugian kripto pada 2024 berasal dari pelanggaran keamanan serupa. Kunci yang dihardcode dan kontrol akses yang lemah tetap menjadi risiko utama.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.