Tiga Jaringan Blockchain Menghentikan Operasi di Tengah Insiden Keamanan

Penulis: Liam 'Akiba' Wright

Diterjemahkan oleh Saoirse, Foresight News

Dalam empat hari, tiga jaringan blockchain berhenti menghasilkan blok secara berturut-turut. Setiap gangguan jaringan menggunakan otoritas darurat yang sama sekali berbeda, dan hanya Cronos yang mengubah sebagian sejarah rantai resmi.

Cronos menyatakan bahwa setelah protokol Tectonic mengalami serangan kerentanan, node verifikasi menutup jaringan melalui mekanisme konsensus, mengembalikan rantai ke status sebelum serangan, dan memulai kembali pembuatan blok dari ketinggian blok 90.896.189. Operasi ini tidak hanya menghentikan pembuatan blok, tetapi juga secara langsung menulis ulang status rantai. Semua transaksi dan perubahan status yang dihasilkan setelah titik pemulihan tidak lagi menjadi bagian dari rantai utama resmi setelah restart.

Ontology dan ICON menggunakan serangkaian tindakan darurat lainnya. Ontology menghentikan produksi blok sebelum mengonfirmasi adanya serangan jahat; dalam pembaruan tanggal 1 September, mereka menyatakan bahwa aktivitas jahat tersebut tidak menyebabkan kerugian aset pengguna. ICON terlebih dahulu menghentikan kontrak yang diserang, baru kemudian menutup seluruh jaringan; sementara itu, yayasan menyatakan bahwa selama tahap migrasi, jaringan berada di bawah kendali mereka, dan sebagian besar ICX yang dicuri telah ditransfer ke akun penitipan bursa.

Pemadaman blockchain hanyalah langkah kontrol tingkat pertama. Masalah yang lebih dalam adalah: siapa yang berwenang memerintahkan pemadaman jaringan? Apakah mereka mampu menulis ulang status rantai yang telah dikonfirmasi? Ketika dana berpindah lintas rantai atau masuk ke lembaga penitipan terpusat, kerugian apa yang tidak dapat dipulihkan?

Informasi otoritas untuk tindakan darurat terkait insiden pemicu jaringan telah dipulihkan: risiko pemulihan diketahui akibat serangan kerentanan CronosTectonic yang menghentikan jaringan dan memulihkan status rantai ke keadaan sebelum kerentanan; verifikasi konsensus validator; semua aktivitas on-chain setelah checkpoint pemungutan suara dan pemeriksaan ambang batas voting dinyatakan tidak sah karena pengumuman restart tidak mengungkapkan data pemungutan suara; dana yang ditransfer ke Ethereum berada di luar kendali Cronos; statistik kerugian akhir protokol Tectonic belum selesai. Pada Ontology, inspeksi rutin mendeteksi potensi risiko, selanjutnya dikonfirmasi adanya aktivitas jahat, sehingga produksi blok dihentikan secara preventif tanpa rollback; tim pengembang inti, tim teknis, dan node validator terlibat; ambang batas pemicu penanganan darurat tidak diungkapkan; transaksi tidak dapat dilakukan selama perbaikan dan pembaruan jaringan; tidak ditemukan aset pengguna yang dirugikan. Pada ICON, kontrak migrasi memiliki kerentanan replay; kontrak ditangguhkan terlebih dahulu, kemudian seluruh jaringan dimatikan. Selama fase migrasi, jaringan dikendalikan oleh yayasan, jumlah node validator inti dikurangi, dan kerugian ditanggung oleh yayasan; kemampuan untuk memulihkan ICX yang disimpan di bursa bergantung pada pihak penampung, proses hukum, dan lembaga penegak hukum.

Perbandingan cara penanganan darurat untuk tiga blockchain: Cronos, Ontology, dan ICON

Cronos menyebut penanganan insiden ini sebagai "Tindakan Darurat Konsensus Validator". Pengumuman restart pada 31 Agustus menunjukkan bahwa pada 30 Agustus pukul 23:49:01 UTC, jaringan memulai kembali pembuatan blok dari tingkat blok 90.896.189, dengan status rantai kembali ke sebelum serangan kerentanan Tectonic.

Operasi downtime Cronos berarti membuat keputusan distribusi keuntungan terhadap titik pemulihan. Setelah checkpoint, status on-chain yang terkait dengan kerentanan, bersama dengan semua transaksi tidak relevan selama periode tersebut, dihapus dari rantai resmi. Pengumuman restart tidak dilengkapi dengan daftar transaksi, statistik node validasi, ambang batas bobot voting, serta daftar node yang berpartisipasi. Cronos berkomitmen untuk merilis laporan pasca-insiden yang menjelaskan secara lengkap proses penanganan dan cakupan dampak teknis.

Ukuran aset yang sebenarnya dilindungi oleh intervensi ini pun masih belum pasti. TRM Labs memperkirakan, setelah harga token TONIC dimanipulasi, sekitar $75 juta aset dipinjamkan; sekitar $6 juta dialirkan ke Ethereum, dan sekitar $68,7 juta dipulihkan di dalam rantai Cronos. Statistik dari Bitquery menunjukkan volume keluar yang lebih tinggi, dengan sekitar $8,3 juta aset mengalir ke Ethereum dan total 10.961 blok dibuang.

Dua metode statistik menghitung objek yang berbeda, data kerugian akhir dari Tectonic masih belum diumumkan. Namun, satu hal sudah sangat jelas: rollback Cronos hanya dapat memulihkan status yang masih tersisa di rantai ini, aset di rantai Ethereum sama sekali tidak berada di bawah kendalinya.

Skema penanganan aset Tectonic masih meninggalkan masalah akuntansi pengguna. Protokol tersebut menyatakan akan memprioritaskan pembukaan fungsi penarikan dan pembayaran kembali pinjaman, sambil menangguhkan setoran dan pinjaman baru. Skema ini memberikan jalur keluar dan pelonggaran leverage kepada pengguna, tetapi apakah pemberi dana dapat menebus seluruh dana mereka belum dikonfirmasi. Laporan pasca-insiden Tectonic yang akan dirilis masih perlu mengklarifikasi prinsip kerentanan, total aliran dana keluar, skala piutang macet, aset yang telah direbut kembali, serta utang tersisa lainnya.

Progres pemulihan berbagai infrastruktur dan restart konsensus rantai tidak sejalan. Cronos mengingatkan bahwa berbagai protokol, jembatan lintas rantai, browser blok, serta layanan RPC memerlukan waktu lebih lama untuk pulih. Halaman status Alchemy juga secara terpisah mencatat downtime ini dan pemulihan berikutnya. Jaringan rantai dapat diumumkan telah dijalankan kembali, tetapi layanan-layanan yang bergantung padanya belum tentu siap.

Tindakan penanganan Ontology terjadi sebelum konfirmasi aktivitas jahat. Jaringan menyatakan bahwa tim pengembang inti menemukan potensi kerentanan keamanan selama pemeriksaan harian, segera menghentikan produksi blok, dan menyerahkan kepada tim teknis serta node verifikasi untuk melakukan tinjauan sistem.

Pembaruan pada 1 September menyatakan bahwa tinjauan mengonfirmasi adanya serangan jahat, jaringan utama akan tetap tidak aktif untuk memperbaiki kerentanan dan melakukan pembaruan jaringan; serangan tersebut tidak merugikan aset pengguna. Ontology bertujuan untuk kembali normal dalam waktu 24 jam, dengan syarat semua deteksi keamanan, perbaikan kerentanan, pembaruan, dan pengujian selesai dengan sukses.

Ontology melakukan pemeliharaan dengan mempertahankan seluruh status on-chain yang telah dikonfirmasi, hanya menghentikan konfirmasi dan penyelesaian transaksi baru. Pengumuman tidak menentukan titik pemulihan, juga tidak mengumumkan kumpulan transaksi yang perlu dibatalkan.

Informasi otoritas yang diungkapkan secara publik tidak lengkap. Pengumuman menyebutkan bahwa tim pengembang inti, tim teknis, dan node verifikasi jaringan terlibat dalam penanganan, tetapi tidak menjelaskan siapa yang memiliki keputusan akhir yang mengikat, maupun memberikan nilai ambang penanganan darurat dalam bentuk angka. Dokumen VBFT Ontology menggambarkan mekanisme konsensus biasa, termasuk node yang menghasilkan blok konfirmasi dan mengelola kumpulan node konsensus untuk pembaruan kontrak, tetapi dokumen tersebut hanya mencakup skenario operasional normal, dan aturan penangguhan darurat yang digunakan pada 31 Agustus belum diungkapkan secara publik.

Meskipun tidak menyebabkan kerugian aset, downtime tetap menimbulkan biaya nyata. Ontology memberi tahu pengguna bahwa transaksi di rantai tidak akan dapat diproses, dan menyarankan agar tidak melakukan operasi yang sensitif terhadap waktu; selanjutnya menyatakan bahwa restart jaringan bergantung pada perbaikan kerentanan, pembaruan, dan pengujian. Pengguna tidak dapat menyesuaikan posisi atau melakukan transfer penyelesaian di rantai, dan semua layanan eksternal yang terhubung ke rantai ini hanya dapat menunggu sinyal jaringan.

Kriteria penilaian untuk pemulihan operasi berorientasi pada keamanan, tetapi detail spesifiknya terbatas. Ontology menyatakan bahwa pelayanan akan berusaha dipulihkan dalam 24 jam setelah perbaikan, pembaruan, pengujian, dan verifikasi selesai, tetapi tidak mengungkapkan siapa yang menilai pencapaian kondisi tersebut atau berapa ambang batas pemicunya.

Ini menimbulkan ketidakpastian di tingkat tata kelola: pengumuman menyebutkan pihak-pihak yang terlibat dalam tinjauan, tetapi pihak yang memiliki wewenang akhir untuk memutuskan pemulihan layanan tidak dijelaskan secara jelas. Bagi pengguna, risiko saat ini berasal dari gangguan layanan, bukan kerugian aset yang pasti atau rollback rantai.

Acara ICON secara lengkap menunjukkan seluruh proses peringatan, penanganan, dan aset yang lepas dari pengawasan rantai.

Berdasarkan laporan pasca-insiden dari yayasan, penyerang melakukan replay 1.492 kali terhadap dua pesan penarikan sah historis antara 02:01:02 hingga 02:21:12 UTC pada 27 Agustus. Kesalahan presisi menyebabkan 1.490 panggilan berhasil, mentransfer 119.866.000 ICX dan 531.600 bnUSD dari aset pool yayasan.

02:08 sistem pemantauan mengeluarkan peringatan, dan teknisi baru mulai menyelidiki setelahnya; kontrak yang terdampak dihentikan pada 03:53. Berbagai bursa mulai menutup penarikan dan setoran ICX pada 05:54, dan pemadaman seluruh jaringan secara resmi berlaku pada 06:18:54. ICON selesai dihidupkan kembali sekitar 07:51 pada 28 Agustus, dengan jeda sekitar 25 jam, sekaligus memperbaiki kerentanan dasarnya.

Laporan tinjauan menyatakan bahwa akar masalah terletak pada proses respons insiden, bukan kurangnya kemampuan deteksi. Peringatan terpicu dalam waktu 7 menit, tetapi peringatan semacam ini sering kali bercampur dengan anomali RPC yang tidak terkait, dan sistem tidak memberi notifikasi kepada petugas jaga. Penyelidikan teknis baru dimulai sekitar pukul 03:40, dan kontrak baru dihentikan tak lama setelah itu.

Pada saat jaringan secara resmi dihentikan, sebagian besar ICX yang terdampak telah dimasukkan ke dalam sistem penitipan oleh bursa. Alat kendali di sisi jaringan ICON tidak dapat mencegah bursa memindahkan atau mengonversi aset yang mereka pegang. Yayasan hanya dapat mengandalkan pembekuan aset bursa, pemberitahuan pelestarian aset, pengacara, dan lembaga penegak hukum untuk menangani masalah ini.

Batasan penahanan secara langsung menentukan siapa yang bertanggung jawab atas kerugian. ICON menyatakan bahwa seluruh aset yang terdampak merupakan milik yayasan, dan setoran, saldo, serta posisi pengguna biasa tidak tersentuh. Laporan menunjukkan bahwa 531.600 bnUSD dan 1,366 juta SODA telah sepenuhnya dipulihkan; dari 113.634 USDC yang dipinjamkan, 82.430 USDC telah berhasil direcovery. Kerugian bersih yang dikonfirmasi sekitar 150,2 ETH, ditambah 31.204 USDC. Sebagian besar ICX yang terlibat hanya dibekukan atau dilacak di bursa, dan tidak benar-benar dipulihkan.

Struktur pengelolaan ICON juga berbeda dari dua kasus lainnya. Laporan tinjauan menyatakan bahwa jaringan dikuasai oleh yayasan selama migrasi token; dokumen panduan migrasi menyebutkan bahwa konsensus berjalan dalam mode pemeliharaan, hanya dengan 7 node inti. Oleh karena itu, downtime kali ini didasarkan pada arsitektur operasional khusus yang secara jelas dikuasai oleh yayasan.

Setiap gangguan blockchain pada dasarnya memindahkan risiko ke tempat lain.

• Cronos memodifikasi sejarah rantai resmi: dapat melindungi aset yang masih berada di bawah yurisdiksi rantai, tetapi juga membatalkan aktivitas rantai normal di luar kerentanan, tanpa daya atas aset di Ethereum.
• Ontology mengubah risiko menjadi biaya waktu dan kerugian ketersediaan layanan, selama penyelidikan transaksi tidak dapat diselesaikan, tanpa konfirmasi kerugian buku aset.
• ICON baru menyelesaikan isolasi kontrak dan jaringan setelah aset telah ditransfer keluar dari lingkup penahanan rantai; konfirmasi kerugian ditanggung oleh yayasan, dan pemulihan ICX yang dibekukan bergantung pada pertukaran dan otoritas yudisial.

Skor desentralisasi semata akan menyamarkan hasil-hasil yang sangat berbeda ini. Standar penilaian yang lebih pragmatis adalah: apakah aturan penanganan darurat bersifat terbuka? Berapa ambang batas yang memicu penanganan? Apakah hanya menghentikan blok baru, atau juga menulis ulang status rantai yang sudah dikonfirmasi? Ketika intervensi terjadi, aset yang lepas dari yurisdiksi rantai ini dikendalikan oleh siapa? Siapa yang berkomitmen menanggung kerugian sisa?

Cronos dan Tectonic masih menunggu rincian laporan pemulihan lengkap. Ontology perlu mengungkapkan detail serangan dan aturan otorisasi darurat, serta selanjutnya memastikan apakah kondisi penilaian untuk pembaruan dan restart telah terpenuhi. Yang benar-benar layak dibandingkan adalah batas risiko yang ditetapkan setiap jaringan—berapa banyak sejarah, waktu, dan dana yang akan diletakkan pada risiko.