Pengambilalihan Tata Kelola StrongBlock
Seorang penyerang telah menguras sekitar $72.000 dalam bentuk token STRONG dan STRNGR setelah mengambil alih sistem tata kelola on-chain StrongBlock yang ditinggalkan melalui proposal jahat. Menurut perusahaan keamanan blockchain Defimon Alerts, penyerang memperoleh cukup kekuatan suara dalam tata kelola StrongBlock untuk meloloskan proposal yang pada akhirnya mentransfer kontrol administratif kontrak Gubernur protokol sebelum dana tersebut diambil.
Detail Insiden
Token: $STRONG
Jaringan: Ethereum
Penyerang mengeksploitasi Gubernur on-chain StrongBlock yang ditinggalkan. Dengan memegang mayoritas token suara STRONG yang kini hampir tidak bernilai, mereka mendorong proposal yang meminta setPendingAdmin(penyerang). Alih-alih mengeksploitasi celah dalam kontrak pintar StrongBlock, penyerang menggunakan proses tata kelola protokol itu sendiri untuk mendapatkan akses istimewa. Setelah memperoleh hak administrator, penyerang memperbarui proksi Gubernur ke implementasi baru yang memungkinkan panggilan kontrak sembarangan menggunakan otoritas Gubernur.
Serangan Terhadap Infrastruktur Crypto
Insiden ini menambah serangkaian peristiwa keamanan crypto baru-baru ini yang menargetkan sistem tata kelola, infrastruktur pendukung, dan perangkat lunak dompet melalui berbagai jalur serangan, bukan hanya mengandalkan bug kontrak pintar. Sebelum serangan terjadi, penyerang mengumpulkan mayoritas token tata kelola STRONG protokol, yang dijelaskan oleh Defimon Alerts sebagai telah menjadi hampir tidak bernilai setelah proyek tersebut ditinggalkan. Dengan memegang cukup kekuatan suara, penyerang mengajukan proposal tata kelola yang menginstruksikan kontrak Peningkat Gubernur untuk mengeksekusi setPendingAdmin(penyerang), menjadikan alamat penyerang sebagai administrator yang tertunda.
Alih-alih melewati tata kelola, proposal tersebut maju melalui setiap tahap yang diperlukan. Proposal tersebut menerima suara yang cukup, masuk ke antrean, dan dieksekusi sesuai dengan proses tata kelola normal protokol, akhirnya mentransfer kontrol administratif proksi Gubernur kepada penyerang. Hak administratif kemudian memungkinkan penyerang untuk mengganti implementasi Gubernur dengan kontrak minimal yang tidak terverifikasi yang berisi fungsi forward(address, bytes). Menurut Defimon Alerts, fungsi tersebut dibatasi hanya untuk akun yang dimiliki penyerang dan secara efektif berfungsi sebagai mekanisme panggilan sembarangan, memungkinkan penyerang untuk mengeksekusi transaksi dengan otoritas Gubernur di seluruh kontrak StrongBlock.
Transfer Token dan Dampaknya
Transfer token terjadi dalam transaksi berikut. Menggunakan implementasi yang ditingkatkan, penyerang mengeksekusi transaksi yang mentransfer aset dari kolam protokol, bukan mengeksploitasi kesalahan dalam logika kontrak protokol. Defimon Alerts melaporkan bahwa penyerang menghapus 32.695 token STRONG bersama dengan 383.447 STRNGR, membawa nilai estimasi aset yang dicuri menjadi sekitar $72.000. Perusahaan keamanan tersebut mengkarakterisasi insiden ini sebagai pengambilalihan tata kelola karena setiap tindakan kritis, termasuk perubahan administrator dan peningkatan kontrak, terjadi melalui izin tata kelola alih-alih kerentanan perangkat lunak.
Kesimpulan
Dengan mengganti implementasi Gubernur sebelum memindahkan dana, penyerang mengubah kontrak tata kelola itu sendiri menjadi mekanisme yang digunakan untuk mengotorisasi transfer. Insiden keamanan baru-baru ini menunjukkan bahwa penyerang semakin menargetkan berbagai bagian dari infrastruktur crypto. Akhir bulan lalu, protokol perpetual terdesentralisasi Ostium melaporkan bahwa penyerang mencuri 23,75 juta USDC setelah mendapatkan akses tidak sah ke infrastruktur off-chain-nya, bukan mengeksploitasi kerentanan dalam kontrak pintarnya.
Menurut laporan pasca-mortem Ostium, laporan harga BTC-USD yang curang yang diajukan melalui infrastruktur tepercaya memungkinkan penyerang untuk menghasilkan keuntungan perdagangan buatan yang diselesaikan terhadap brankas likuiditas OLP publik protokol.
Analisis sebelumnya dari perusahaan keamanan blockchain Blockaid juga menyimpulkan bahwa laporan oracle yang dimanipulasi, bukan kesalahan dalam kode kontrak, memungkinkan eksploitasi. Secara terpisah, insiden dompet Coldcard berasal dari masalah firmware yang diperkenalkan selama pembaruan perangkat lunak Maret 2021. Tim rekayasa dan keamanan Bitcoin Coinkite dan Block menyimpulkan bahwa firmware yang terpengaruh menghasilkan seed dompet menggunakan generator pseudo-acak deterministik alih-alih generator angka acak perangkat keras yang dimaksudkan, mengurangi entropi yang digunakan untuk membuat kunci privat.
Galaxy Research telah mengonfirmasi pencurian total 1.596 BTC di sekitar 7.300 alamat yang terkait dengan tiga gelombang serangan. Perusahaan riset tersebut juga telah mengidentifikasi gelombang keempat yang dicurigai terkoordinasi yang melibatkan 448,7 BTC lainnya, meskipun alamat tersebut belum dimasukkan dalam total yang dikonfirmasi karena konfirmasi tambahan dari korban masih tertunda.
Insiden Coldcard telah mendorong pengembang untuk meninjau bagian yang jauh lebih besar dari ekosistem perangkat lunak Bitcoin. Awal minggu ini, pengembang Bitcoin Calle mengatakan tim relawan Bitcoin Red telah menyelesaikan tinjauan yang dibantu AI dan manual di 390 repositori terkait Bitcoin, mengidentifikasi 4.962 masalah keamanan potensial, termasuk 720 yang diklasifikasikan sebagai tingkat tinggi atau kritis.
Menurut Calle, sekitar 21,4% dari temuan yang dilaporkan telah direproduksi melalui verifikasi manual sebelum diungkapkan secara pribadi kepada pengembang yang terkena dampak. Kampanye tinjauan mencakup dompet Bitcoin, pustaka kriptografi, perangkat lunak infrastruktur, dan proyek open-source lainnya. Calle mengatakan OpenSats mendanai sekitar $10.000 per hari untuk biaya komputasi, sementara Kimi Moonshot telah menyediakan akun AI dan akses ke model Kimi K3 untuk mendukung upaya tersebut.
Tidak seperti eksploitasi Ostium atau insiden dompet Coldcard, serangan StrongBlock tidak bergantung pada infrastruktur yang dikompromikan, manipulasi oracle, atau kelemahan kriptografi. Sebaliknya, penyerang pertama-tama memperoleh kontrol atas tata kelola sebelum memodifikasi kontrak administrator protokol itu sendiri. Menurut Defimon Alerts, peningkatan proksi Gubernur ke implementasi yang berisi fungsi forward(address, bytes) yang dibatasi memberikan dompet penyerang otoritas eksklusif untuk mengeksekusi panggilan sembarangan melalui kontrak Gubernur. Aset yang dicuri kemudian dipindahkan menggunakan izin yang diberikan oleh protokol itu sendiri setelah proposal tata kelola selesai, menggambarkan bagaimana sistem tata kelola yang ditinggalkan dapat terus menjalankan kontrol administratif atas kontrak protokol bahkan setelah aktivitas pengembangan sebagian besar terhenti.
