Serangan Cerdas Dua Hari Guncang DeFi: Rhea Finance Kehilangan $18,4 Juta, Modus Baru Ungkap Celah Kritis Sistem

ISTANAGARUDA.COM - Rhea Finance mengungkap kronologi lengkap peretasan senilai $18,4 juta yang ternyata bukan serangan instan, melainkan operasi terstruktur selama dua hari yang menggabungkan teknik lama menjadi senjata baru yang mematikan. Laporan post-mortem yang dirilis pekan ini menjelaskan bahwa serangan tersebut merupakan kombinasi dari dua metode eksploitasi DeFi yang sudah dikenal. Namun pelaku berhasil merancang pendekatan baru yang jauh lebih kompleks. Proses serangan tidak terjadi dalam hitungan menit. Sebaliknya, pelaku membangun seluruh infrastruktur selama dua hari sebelum eksekusi utama dilakukan. Pada periode 13 hingga 15 April, pelaku mulai menyusun fondasi serangan secara diam-diam. Ia menciptakan dompet utama yang didanai melalui transfer lintas jaringan. Dana tersebut kemudian didistribusikan ke 423 dompet perantara secara cepat menggunakan sistem otomatis. Pelaku juga membuat kontrak token palsu yang dirancang khusus tanpa metadata standar. Selanjutnya, delapan pool perdagangan baru dibuat di Ref Finance. Pool tersebut memasangkan token palsu dengan aset seperti USDC, USDT, dan wNEAR dengan rasio harga yang dikendalikan sepenuhnya oleh pelaku. Tidak berhenti di situ, pelaku juga membangun sistem swap router. Sistem ini menjadi jalur utama untuk menjalankan eksploitasi. Saat serangan dimulai pada 16 April, seluruh infrastruktur sudah siap digunakan. Keunggulan utama serangan ini terletak pada teknik manipulasi slippage. Fitur margin trading di Rhea Finance sebenarnya memiliki perlindungan slippage. Sistem ini menghitung total output dari setiap langkah swap untuk memastikan nilai transaksi tetap adil. Namun pelaku menemukan celah dalam cara sistem menghitung output berurutan. Dalam skenario sederhana, 1.000 USDC ditukar menjadi 999 token buatan pelaku dengan minimum output 999. Kemudian 999 token tersebut langsung ditukar kembali menjadi 1 USDC dengan minimum output 1. Sistem melihat total output sebagai 999 ditambah 1 sama dengan 1.000. Perhitungan ini dianggap valid oleh sistem. Padahal kenyataannya, hanya 1 USDC yang kembali ke protokol. Sementara 999 USDC lainnya tetap berada di pool milik pelaku. Kesalahan sistem terjadi karena token buatan pelaku dihitung sebagai output akhir. Padahal token tersebut langsung digunakan kembali sebagai input pada langkah berikutnya. Dana pinjaman akhirnya dialirkan ke pool palsu milik pelaku. Posisi transaksi langsung mengalami ketidakseimbangan antara nilai aset dan utang. Kondisi ini memicu likuidasi paksa. Likuidasi tersebut menguras dana cadangan platform secara signifikan. Metode ini memiliki kemiripan dengan kasus KyberSwap exploit 2023 yang menyebabkan kerugian sebesar $54,7 juta. Serangan tersebut juga memanfaatkan prinsip penghitungan nilai ganda dalam transaksi berurutan. Dalam perkembangan terbaru, sekitar $9 juta dari total dana yang hilang telah berhasil diamankan atau dibekukan. Sebagian di antaranya adalah $3,29 juta dalam bentuk USDT yang dibekukan langsung oleh Tether di dompet pelaku. Kontrak pinjaman pada platform saat ini telah dihentikan sementara. Langkah ini dilakukan untuk mendukung proses investigasi dan pemulihan dana. Tim Near Intents mengungkap bahwa identitas pelaku kemungkinan sudah diketahui. Bahkan disebutkan bahwa pelaku mungkin memiliki akun publik di platform X. Proses pelacakan resmi kini telah dilakukan bersama sejumlah bursa kripto terpusat. Tujuannya adalah mengidentifikasi pemilik akun yang terlibat dalam transaksi tersebut. Laporan post-mortem Rhea Finance juga menyertakan detail teknis yang sangat lengkap. Mulai dari kronologi serangan, hash transaksi, hingga baris kode yang menjadi celah utama. Dokumen ini dinilai sebagai salah satu laporan eksploitasi paling rinci dalam sejarah dunia DeFi.(*)

Serangan Cerdas Dua Hari Guncang DeFi: Rhea Finance Kehilangan $18,4 Juta, Modus Baru Ungkap Celah Kritis Sistem

Baca Juga

Artikel Lainnya

Discussion about this post

ARTIKELTERBARU

TERPOPULER