Protokol cross-chain Chainflip kehilangan 736.442,17 USDT akibat eksploitasi pada integrasi TRON USDT mereka. Insiden yang terjadi pada dini hari tanggal 12 September 2026 itu menyebabkan enam pembayaran tak sah pindah ke dompet penyerang. Tim pengembang langsung mematikan seluruh operasional jaringan antar-rantai untuk menyelidiki celah keamanan dan menyiapkan perbaikan teknis.
Trik Pembayaran Ganda Lewat Manipulasi Memo
Kerentanan itu bersumber dari cara Chainflip memproses data memo pada transaksi jaringan TRON. Penyerang menempelkan memo baru ke dalam sebuah transaksi yang sebenarnya sudah mendapat tanda tangan pengesahan dari para validator. Data sisipan itu membuat sistem internal Chainflip mendeteksinya sebagai instruksi pertukaran aset atau swap baru.
Karena instruksi palsu itu seolah gagal diproses, protokol menerbitkan perintah pengembalian dana atau refund. Masalahnya, pembayaran dari deposit yang asli sudah selesai dieksekusi lebih dulu. Akibatnya, sistem membayarkan dana ganda untuk satu setoran deposit yang sama.
Aksi pembobolan itu berlangsung selama sekitar 90 menit. Penyerang mengulangi manipulasi memo itu sampai delapan kali. Mereka memulai eksekusi awal dengan nominal kecil, lalu hampir melipatgandakan jumlah tarikan pada setiap percobaan berikutnya. Dari delapan upaya itu, enam di antaranya memaksa protokol mengeluarkan pembayaran tanpa izin.
Bukan Salah TRON atau Tether
Chainflip menegaskan tidak ada dana lain yang hilang di luar angka kerugian awal. Mereka menjelaskan bahwa akar masalah murni berada pada kode pemrosesan memo TRON buatan internal Chainflip. Celah keamanan itu tidak berkaitan dengan lapisan dasar blockchain TRON, kode smart contract USDT, maupun sistem cadangan likuiditas milik Tether.
Langkah penangguhan jaringan itu menahan satu transaksi pertukaran senilai 115.654,41 USDT milik pengguna sah yang kini berstatus belum dibayarkan. Pihak pengembang memastikan dana pengguna itu tersimpan aman di dalam brankas vault protokol, dan akan dirilis ke dompet tujuan setelah sistem kembali dihidupkan.
📌 Baca JugaRevolut Serahkan Paspor dan Transaksi Bitcoin Nasabah ke Penipu - Berawal dari Email Resmi Pemerintah
Belum Ada Konfirmasi Independen
Laporan teknis mengenai alur keluarnya dana itu sepenuhnya masih berasal dari tim internal Chainflip. Hingga 13 September, belum ada satu pun lembaga penilai keamanan independen yang merilis audit resmi untuk membenarkan seluruh kronologi kejadian ini.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
