Enam jaringan blockchain berbasis Cosmos EVM dibobol peretas antara 20-25 Agustus 2026, menelan kerugian total $5,72 juta yang langsung ditukar lewat bursa terpusat dan terdesentralisasi. Korban terbesarnya adalah MANTRA, yang kehilangan 720,9 juta token bernilai $3,6 juta dari sebuah alamat burn dan satu dompet multisig pasif.
Akar masalah bersumber dari celah integer underflow pada Cosmos EVM, kerangka kerja yang memakai kode sumber terbuka Evmos. Kelemahan pemrograman ini membiarkan peretas memanipulasi perhitungan sistem dan memutar balik saldo akun hingga mencapai batas maksimum 2 pangkat 256 dikurangi 1.
Laporan perdana mengenai kelemahan sistem ini masuk melalui program bug bounty pada 25 April. Cosmos Labs gagal mengukur ancaman saat menangani tiket pelaporan itu. Tim pengembang tidak bisa mengulang skenario eksploitasi di lingkungan pengujian mereka, lalu mengeluarkan kesimpulan bahwa dana pengguna aman.
Pembaruan kode baru dikirim ke ranah publik berbulan-bulan kemudian pada 19 Agustus pukul 19:01 ET. Penambalan bug ini dirilis tanpa penjabaran detail celah yang ditutupi, dengan tujuan mencegah peretas menemukan titik lemahnya sebelum sistem selesai diperbarui.
Bocoran Tak Sengaja di Pagi Hari
Sebuah kelalaian membatalkan upaya keamanan pada keesokan harinya. Pada 20 Agustus pukul 03:16 pagi, seorang pengembang Push Chain tanpa sengaja menerbitkan rute eksploitasi utuh ke ruang terbuka, memberi peretas panduan presisi untuk menembus pertahanan Cosmos EVM. Pencurian pertama meletus pada pukul 15:06 ET, berselang 20 jam setelah tambalan resmi disebarkan. Serangan berantai menjalar memukul banyak pihak dan ikut meretas ekosistem TAC dan KiiChain.
Pengembang MANTRA menyatakan jeda 20 jam tidak cukup bagi jaringan mereka untuk bereaksi. Tim butuh waktu menilai risiko eksploitasi, merakit perbaikan, menguji pembaruan, dan mengoordinasikan pemutakhiran perangkat dengan 38 validator independen. Ketika operasi jaringan dihentikan pada pukul 19:13 ET, peretas telah merelokasi 94,7% token curian melalui 15 transaksi beruntun menuju sebuah alamat deposit bursa terpusat.
📌 Baca JugaBerlin Tolak Tebusan 30 Bitcoin - Imbasnya 6 Terabyte Data Rahasia Menunggu Dibocorkan
Kerugian Kelumpuhan 30 Jam
Pemutusan koneksi pada akhirnya mengunci sisa 38 juta token MANTRA tetap berada di dalam dompet penyerang. Sebagai gantinya, jaringan MANTRA mati total dan tidak memproses satu pun transaksi pengguna selama 30 jam penuh. Waktu henti terpaksa dilakukan guna memastikan seluruh validator merampungkan instalasi perangkat lunak versi 8.4.0.
Kasus ini menyoroti risiko nyata dari celah keamanan perangkat lunak terdesentralisasi: peretas dengan jalur eksploitasi siap pakai selalu bergerak lebih cepat dibandingkan prosedur instalasi puluhan entitas pengaman jaringan.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
