Lebih dari 2.300 pengguna kartu kripto kehilangan saldo stablecoin mereka dalam hitungan dua setengah jam. Peretas membobol kontrak pintar Rain versi lama di jaringan Solana pada 28 Agustus, menarik dana sekitar $1,1 juta dari berbagai program kartu.
Eksploitasi ini spesifik menyasar kontrak kolateral penampung stablecoin penyeimbang saldo kartu, bukan dompet pribadi milik pengguna. Avici mencatat kerugian senilai $500.859,22 dari 1.685 pelanggannya, sedangkan Tria melaporkan defisit $431.945 yang berdampak pada 636 penggunanya. Total dana hilang dari dua penyedia kartu ini mencapai lebih dari $932.800.
Bagaimana Satu Tanda Tangan Mengakali Sistem
Perusahaan keamanan Blockaid mengidentifikasi kelemahan pada sistem otorisasi kontrak. Kontrak lama Rain mewajibkan dua persetujuan independen melalui instruksi verifikasi Ed25519 sebelum transaksi bisa dieksekusi. Pelaku memanipulasi instruksi kedua supaya membaca ulang informasi dari instruksi pertama. Akibatnya, satu tanda tangan penyerang diterima sistem sebagai dua persetujuan sah yang berbeda.
Dengan persetujuan ganda palsu, pelaku mengirimkan instruksi AddCollateralAdmin untuk mengambil status administrator. Setelah mendapat hak akses, penyerang memanggil perintah WithdrawCollateralAsset untuk menarik simpanan USDC dan USDT.
Blockaid merinci aktivitas peretas di blockchain. Pelaku melakukan 2.945 penambahan admin dan 5.288 penarikan. Seluruh rangkaian 8.233 transaksi eksploitasi dieksekusi hanya dalam rentang waktu dua jam 29 menit.
Jalur Pencucian dan Respons Platform
Dana curian berupa USDC dan USDT langsung ditukar menjadi SOL melalui bursa desentralisasi. Pelaku menggunakan protokol deBridge untuk memindahkan aset menuju Ethereum. Setibanya di sana, sekitar 455,9 ETH dikirim masuk ke layanan pencampur Tornado Cash antara pukul 19:20 hingga 19:49 UTC, mengaburkan pelacakan. Dana yang tersisa terlacak mengendap di dompet Solana beralamat FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj.
📌 Baca JugaFBI dan CrowdStrike Putus Jaringan Sality - Botnet Pencuri Kripto $150 Ribu Lewat Trik Salin Teks
Rain menyatakan sistem pemantauan mereka mendeteksi kerentanan ini dan langsung memperbarui semua program klien ke kontrak versi baru. Avici mengganti kerugian dengan pengembalian dana penuh kepada semua pengguna terdampak ditambah 10% uang kembali. Tria juga mengkonfirmasi penyelesaian proses pengembalian dana.
Blockaid menemukan empat penerapan kontrak berbeda dengan kode yang sama-sama rentan. Dua di antaranya dipastikan terkuras, sementara dua lainnya belum mencatat kerugian terkonfirmasi. Insiden ini membuktikan jaringan Solana tetap beroperasi normal dan kelemahan sepenuhnya bersumber dari kode aplikasi. Kegagalan keamanan di tingkat aplikasi menjadi penyumbang kerugian terbesar tahun ini, sejalan dengan riset Blockaid yang mencatat kerugian keamanan kripto mencapai $1,1 miliar sepanjang paruh pertama 2026. Dilansir dari crypto.news.
Baca juga: AI OpenAI dan Anthropic Sukses Retas Perusahaan Nyata - Ratusan Lembaga Buat Peringatan Darurat
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
