Kontrak pintar Vesting V2 milik UNCX Network mengalami pembobolan yang melenyapkan dana sekitar $1,49 juta hingga $1,5 juta di empat blockchain. Kerugian terbagi di jaringan Ethereum, BNB Chain, Base, dan Robinhood Chain. Insiden ini berpangkal dari cacat logika matematika di dalam kode kontrak, bukan kebocoran kunci rahasia.
Bagaimana Cacat Pembukuan Saham Terjadi
Kepala Keamanan Immunefi, Gonçalo Magalhães, mengungkapkan bahwa eksploitasi berakar pada cacat pembukuan saham (share-accounting flaw) di dalam kontrak pintar. Masalah muncul saat pengguna menarik token vesting lalu membatalkan posisi mereka.
Celah bermula pada fungsi release yang mengizinkan penerima mencairkan token sesuai jadwal vesting. Namun, fungsi itu gagal mengurangkan saham yang ditarik dari penghitung posisi. Sistem tetap mencatat saldo saham utuh meski token telah keluar dari kontrak.
Kekacauan hitungan terjadi ketika fungsi cancellation dipanggil berikutnya. Sistem membaca nilai yang belum terpotong itu, lalu mengurangkan porsi unvested kembali. Urutan ini merusak invariant saldo total saham global pool. Nilai sisa saham di pool menggelembung melampaui angka riil, memberi jalan bagi peretas menarik token jauh melebihi hak semestinya.
Tiga Posisi Vesting dan Serbuan Bot MEV
Gonçalo Magalhães merinci skema penyerang saat mengeksploitasi celah itu. Peretas membuka tiga posisi vesting sekaligus di dalam sistem. Pelaku lalu sengaja mengorbankan dua posisi lewat siklus penarikan dan pembatalan. Tindakan ini merusak saldo pool hingga satu posisi terakhir yang tersisa berhak mencairkan keuntungan masif.
Firma keamanan analitik Blockaid mencatat kerugian $1,49 juta terbagi ke dalam 11 transaksi pengurasan di Ethereum, BNB Chain, Base, dan Robinhood Chain. Namun, peretas awal bukan satu-satunya aktor yang mengeruk dana.
Sebelas transaksi pengurasan itu juga melibatkan dompet peniru (copycat) dan bot MEV. Begitu eksploitasi pertama muncul di antrean mempool publik, bot otomatis langsung menyalin transaksi untuk berebut menguras sisa saldo di berbagai rantai.
Pelajaran dari Absennya Pengawal Saldo Global
Magalhães menekankan kegagalan mendasar kontrak pintar UNCX adalah ketiadaan aturan perlindungan internal. Kontrak tidak memiliki mekanisme pemeriksa yang memastikan setiap fungsi menjaga akurasi penghitung saham global (shares global counter). Ketiadaan pagar pembatas ini membiarkan saldo cacat diproses hingga dana terkuras.
📌 Baca JugaBursa Besutan Eks Bos Binance Futures Tutup Operasional - 237.000 Pengguna Dialihkan ke Airdrop DUSD
Bagi pengembang protokol dan pemegang token vesting, insiden UNCX membuktikan bahwa audit kode wajib menguji keutuhan interaksi antar-fungsi hingga tuntas. Ketika invariant matematika runtuh di mempool terbuka, bot kompetitif hanya butuh hitungan detik untuk menyikat dana yang tersisa.
Dilansir dari crypto.news.
Baca juga: Apa Itu DeFi (Decentralized Finance)?
Baca juga: Bursa Besutan Eks Bos Binance Futures Tutup Operasional - 237.000 Pengguna Dialihkan ke Airdrop DUSD
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
