Kerugian Swan Treasury Akibat Kebocoran Kunci Penandatangan
Protokol manajemen aset blockchain, Swan Treasury, mengalami kerugian sekitar $625.000 setelah penyerang memanfaatkan kebocoran kunci penandatangan off-chain untuk membeli token STY dengan diskon besar sebelum menjualnya untuk mendapatkan keuntungan. Menurut perusahaan keamanan blockchain, Defimon Alerts, eksploitasi ini terjadi di BNB Chain setelah kunci penandatangan off-chain protokol, yang dikodekan sebagai alamat _signer dalam kontrak ZhaiquanBuy, telah dikompromikan.
Detail Eksploitasi dan Kerugian
Kerugian yang dialami mencapai sekitar $625.000 pada 30 Juli 2026, dengan harga token STY diperdagangkan sekitar $2,87 di jaringan BNB Chain. Tipe eksploitasi ini termasuk dalam kategori kompromi kunci pribadi akibat kebocoran kunci penandatangan. Kunci penandatangan off-chain protokol (0xdEb4…8284, yang dikodekan sebagai _signer dalam ZhaiquanBuy) telah bocor. Penyerang menggunakan kunci yang bocor untuk menghasilkan tanda tangan yang valid untuk dompet mereka sendiri, sehingga dapat melewati batasan pembelian yang ditetapkan oleh protokol.
Defimon Alerts melaporkan bahwa penyerang memanipulasi fungsi pembelian, yang menghitung jumlah STY yang diterima pengguna berdasarkan nilai diskon yang ditandatangani. Dengan menghasilkan tanda tangan yang valid dan mengatur parameter diskon ke satu, penyerang berhasil membeli STY dengan harga sekitar seratus kali lebih murah dari harga yang seharusnya. Menggunakan pinjaman flash PancakeSwap senilai sekitar 19.700 USDT, penyerang memperoleh hampir 687.000 token STY melalui mekanisme pembelian dengan diskon.
Akses Tambahan dan Penjualan Token
Perusahaan keamanan tersebut juga menyatakan bahwa eksploitasi tidak berhenti di situ. Tanda tangan yang valid juga dipalsukan untuk fungsi klaim dan transfer protokol pada kontrak terkait, memberikan penyerang akses tambahan ke STY sebelum menjual token tersebut ke dalam kolam likuiditas STY/USDT. Setelah membongkar posisi, penyerang berhasil meraih keuntungan sekitar 625.000 USDT, menurut laporan Defimon Alerts. Pada saat insiden tersebut, STY diperdagangkan pada harga sekitar $2,87.
Analisis Keamanan dan Penyebab Eksploitasi
Dalam penilaian teknisnya, Defimon Alerts menyatakan bahwa setiap operasi ecrecover yang diamati selama eksploitasi terhubung ke alamat penandatangan yang dikodekan dalam protokol, bukan akun yang dikendalikan oleh penyerang. Hal ini menunjukkan bahwa kunci penandatangan pribadi itu sendiri telah dikompromikan, bukan karena adanya cacat dalam logika verifikasi tanda tangan protokol.
Karena tanda tangan yang dihasilkan cocok dengan penandatangan yang diharapkan, transaksi tersebut tampak valid bagi kontrak pintar yang terkena dampak. Temuan ini mempersempit kemungkinan penyebab eksploitasi menjadi akses tidak sah ke kredensial penandatangan protokol, bukan kesalahan dalam proses verifikasi kriptografi. Hingga saat ini, Swan Treasury belum memberikan penjelasan publik mengenai bagaimana kunci penandatangan tersebut terpapar atau apakah langkah mitigasi tambahan telah diterapkan.
Tren Serangan di Dunia Cryptocurrency
Insiden ini menambah daftar serangan di dunia cryptocurrency di mana kunci istimewa yang dikompromikan, bukan bug kontrak pintar, memungkinkan penyerang mengakses dana protokol. Pada Juni 2025, perusahaan keamanan blockchain Hacken mengungkapkan bahwa kunci pribadi yang dikompromikan terkait dengan kontrak dengan hak minting memungkinkan penyerang untuk mencetak 900 juta token HAI di Ethereum dan BNB Chain. Hacken melaporkan bahwa kunci tersebut terpapar saat perusahaan melakukan perubahan arsitektur pada infrastruktur jembatan blockchain-nya, yang memungkinkan penyerang mendapatkan sekitar $250.000 sebelum akun minting yang terkena dicabut dan operasi jembatan dihentikan.
Risiko Keamanan Kunci Pribadi
Penelitian terpisah juga terus mengidentifikasi paparan kunci pribadi sebagai salah satu risiko keamanan yang paling persisten di industri. Laporan Hacken yang dikutip oleh crypto.news sebelumnya menemukan bahwa kegagalan kontrol akses, termasuk kebocoran kunci pribadi, menyumbang 78% dari kerugian akibat peretasan crypto yang tercatat selama 2024. Baru-baru ini, Zilliqa mengungkapkan adanya cacat dalam aplikasi Ledger aslinya yang dapat memungkinkan penyerang untuk memulihkan kunci pribadi dari tanda tangan transaksi publik.
Jaringan menghentikan transaksi ZIL asli setelah menentukan bahwa kelemahan dalam pembuatan nonce memungkinkan untuk merekonstruksi kunci yang terpapar setelah cukup banyak tanda tangan dikumpulkan. Zilliqa menyatakan bahwa masalah tersebut berasal dari aplikasi Ledger-nya sendiri, bukan perangkat keras Ledger itu sendiri, dan menginstruksikan pengguna yang terkena untuk menunggu panduan pemulihan daripada segera memindahkan dana.
Peringatan dari Peneliti dan Pelaku Industri
Peneliti akademis dan pelaku industri crypto juga telah memperingatkan bahwa keamanan kunci pribadi tetap rentan di luar eksploitasi kontrak pintar tradisional. Peneliti dari Universitas California melaporkan lebih awal tahun ini bahwa beberapa layanan routing AI pihak ketiga mampu mengakses kredensial sensitif, termasuk kunci pribadi cryptocurrency dan frasa benih, karena mereka memproses permintaan pengguna dalam teks biasa.
Selama pengujian terkontrol, para peneliti mengamati perilaku jahat dari beberapa layanan routing dan menunjukkan bahwa satu perantara berhasil menguras Ether dari dompet uji setelah menerima kunci pribadinya. Meskipun studi universitas tersebut tidak terkait dengan insiden Swan Treasury, para peneliti menyimpulkan bahwa pengembang harus menghindari mengekspos kunci pribadi atau frasa benih ke sistem perantara dan sebaliknya mengandalkan perlindungan kriptografi yang lebih kuat untuk mengurangi risiko pencurian kredensial.
