Pengumuman Rencana Goodwill AFX
AFX telah mengumumkan bahwa mereka akan merilis rencana goodwill untuk pengguna yang terkena dampak peretasan jembatan senilai $24,15 juta yang terjadi minggu lalu. Proposal pemulihan ini dijadwalkan untuk diumumkan pada 3 Agustus.
Detail Insiden Keamanan
Dalam pengumuman yang disampaikan oleh AFX, protokol derivatif terdesentralisasi ini sedang menyusun rencana goodwill setelah insiden keamanan yang terjadi pada 22 Juli. Tim AFX menyatakan bahwa para investor, karyawan, dan pendukung awal semuanya terpengaruh oleh serangan tersebut dan meminta komunitas untuk bersabar sementara mereka menyelesaikan proposal akhir.
“Kami ingin memberikan pembaruan singkat kepada komunitas. Rencana goodwill saat ini sedang dalam proses setelah insiden keamanan baru-baru ini, dan akan diungkapkan pada hari Senin, 3 Agustus. Para investor AFX, tim, dan pendukung awal semuanya sangat terpengaruh oleh situasi ini, jadi mohon bersabar,” ungkap mereka.
Penyelidikan dan Temuan
Pembaruan ini muncul setelah AFX menyelesaikan penyelidikan teknis terhadap peretasan yang mengakibatkan pencurian sekitar 24,15 juta USDC dari jembatan kustodi yang dioperasikan oleh AFX. Protokol ini belum mengungkapkan rincian mengenai bagaimana kompensasi atau pemulihan akan dilakukan, tetapi menyatakan bahwa pengumuman berikutnya akan fokus pada rencana goodwill.
Pernyataan publik sebelumnya mengonfirmasi bahwa peretasan tersebut menargetkan infrastruktur yang dioperasikan oleh AFX, bukan jembatan asli Arbitrum. Pada saat itu, perusahaan keamanan blockchain Blockaid dan tim Arbitrum sedang menyelidiki insiden tersebut.
Metode Serangan
Salah satu pendiri Offchain Labs, Steven Goldfeder, menyatakan bahwa transaksi mencurigakan tersebut berasal dari protokol pihak ketiga, bukan dari jembatan inti Arbitrum. Dalam laporan post-mortem yang dirilis setelah insiden tersebut, AFX menjelaskan bahwa pelanggaran tersebut disebabkan oleh kampanye rekayasa sosial terhadap salah satu pengembangnya, bukan dari kerentanan dalam kontrak pintar atau infrastruktur blockchain-nya.
Menurut protokol, penyerang berpura-pura sebagai perekrut dari perusahaan bernama Oddium Lab pada 9 Juli dan meyakinkan pengembang untuk mengkloning apa yang tampak sebagai repositori perangkat lunak yang sah. AFX menjelaskan bahwa repositori tersebut mengandung konfigurasi Git berbahaya yang mengeksekusi payload tersembunyi selama alur kerja Git rutin, memberikan penyerang pijakan awal di dalam workstation pengembang.
Ekspansi Akses Penyerang
Dengan menggunakan perangkat yang terkompromi, penyerang secara bertahap memperluas akses ke sistem pengembangan internal sebelum mengunduh kode sumber proyek beberapa hari kemudian. Penyelidikan menunjukkan bahwa penyerang kemudian mengunggah plugin Groovy berbahaya ke dalam repositori artefak JFrog protokol, yang memungkinkan mereka untuk mengeksekusi kode jarak jauh di dalam lingkungan pengiriman perangkat lunak.
AFX mencatat bahwa peristiwa out-of-memory yang berulang di server JFrog awalnya dianggap sebagai masalah operasional dengan bantuan dari vendor, sehingga plugin berbahaya tersebut dapat bertahan dari beberapa kali restart tanpa memicu respons keamanan.
Respon dan Tindakan Selanjutnya
Analisis forensik kemudian menemukan bahwa penyerang telah mengganti biner sistem dengan versi yang terinfeksi trojan, menyuntikkan pustaka bersama berbahaya, dan mencoba menghapus log keamanan sebelum sebagian malware tersebut mengalami kerusakan. Log SELinux menangkap lalu lintas perintah dan kontrol keluar, eksekusi shell, dan eksekusi kode di memori yang menjadi bukti penting selama penyelidikan, menurut laporan tersebut.
Protokol menyatakan bahwa penyerang akhirnya beralih dari lingkungan pengembangan yang terkompromi ke infrastruktur operasionalnya menggunakan layanan manajemen berbasis Ansible internal yang sudah memiliki akses istimewa ke node validator. Alih-alih mencuri kredensial baru atau mengeksploitasi layanan eksternal, penyerang memanfaatkan hubungan kepercayaan yang ada untuk menyebarkan payload berbahaya di seluruh subset validator.
Kesimpulan dan Langkah Ke Depan
AFX melaporkan bahwa node validator yang terinfeksi mengunduh payload tahap kedua dari server jarak jauh sebelum mengganggu penanganan pesan konsensus. Pada pukul 21:27 UTC pada 22 Juli, validator yang terkena dampak menandatangani bersama transaksi jembatan yang mentransfer sekitar 24,15 juta USDC dari jembatan kustodi yang dioperasikan oleh AFX.
Protokol menyatakan bahwa penyelidikannya tidak menemukan bukti bahwa jaringan Arbitrum atau jembatan asli Arbitrum telah dikompromikan. Serangan tersebut tetap terbatas pada infrastruktur yang dikelola oleh AFX, sesuai dengan pernyataan yang sebelumnya dikeluarkan oleh Offchain Labs dan Blockaid selama respons awal.
Menurut AFX, insiden tersebut menunjukkan bahwa serangan rantai pasokan perangkat lunak dapat melewati keamanan blockchain tanpa mengeksploitasi kontrak pintar secara langsung. Protokol menyimpulkan bahwa serangan tersebut bergantung pada alat pengembangan yang tepercaya, sistem penyebaran internal, dan infrastruktur validator, bukan pada kelemahan dalam kode on-chain.
Laporan tersebut menyatakan bahwa protokol telah membangun kembali infrastruktur yang terkena dampak, memutar kredensial operasional, meningkatkan sensitivitas pemantauan, dan memigrasikan sistem produksi ke lingkungan yang lebih terisolasi dengan segmentasi zero-trust.
Pekerjaan tambahan yang direncanakan selama beberapa bulan ke depan mencakup pemantauan perilaku yang lebih kuat, tinjauan keamanan wajib sebelum memulai kembali layanan produksi, latihan perburuan ancaman yang diperluas, dan pelatihan karyawan terhadap serangan rekayasa sosial.
Berdasarkan bukti forensik, teknik serangan, dan infrastruktur yang diamati selama penyelidikan, AFX menyatakan bahwa temuan mereka konsisten dengan atribusi independen yang menghubungkan insiden tersebut dengan UNC4899, juga dikenal sebagai TraderTraitor, sebuah kelompok ancaman yang terkait dengan DPRK yang dilacak oleh Mandiant, Microsoft Threat Intelligence, FBI, dan CISA.
Protokol menyatakan bahwa mereka terus bekerja dengan mitra keamanan eksternal untuk melacak aset yang dicuri dan mendukung upaya respons yang sedang berlangsung.
