Insiden Peretasan di Dunia Bitcoin
Di tengah maraknya peretasan, pelanggaran data, eksploitasi, dan bug, sebuah cacat perangkat lunak secara diam-diam menghapus sepertiga dari dukungan sebuah dana Bitcoin, dan entah bagaimana tidak terdeteksi selama dua bulan.
Cacat Perangkat Lunak di Nomic
Menurut platform pertukaran terdesentralisasi (DEX) Osmosis, cacat perangkat lunak dalam jalur pengiriman IBC kustom Nomic memungkinkan seorang penyerang untuk mencetak nBTC yang tidak didukung dan menyimpan sebagian besar di dalam keranjang Alloyed BTC milik Osmosis. Apa yang terdengar hampir tidak dapat dipercaya, namun terbukti benar, adalah bahwa pencetakan ini terjadi pada 25 Juni dan tetap tersembunyi di depan mata selama 74 hari.
“Baru-baru ini, kami menyadari adanya eksploitasi di rantai Nomic. Eksploitasi ini memungkinkan penyerang untuk melakukan pengeluaran ganda nBTC, sehingga mereka dapat mengirim voucher palsu ke Osmosis. Osmosis dan IBC tidak terkompromi, karena bug berada di mekanisme pengiriman kustom di Nomic. Sebanyak 39,84 nBTC dari total yang dicetak berada di dalam Alloyed BTC, mewakili sekitar 36% dari dukungannya,” ungkap Osmosis minggu ini.
Tindakan yang Diambil oleh Osmosis
Setelah masalah ditemukan, Osmosis menjelaskan di X bahwa mereka dengan cepat menghentikan setoran dan penarikan yang melibatkan Nomic dan Alloyed BTC untuk mencegah pergerakan dana lebih lanjut. Tim kemudian bekerja sama dengan validator untuk melakukan pembaruan darurat yang mengunci 22,65 BTC yang berada di dompet penyerang.
“Kami akan mengusulkan penyitaan aset ini kepada pemerintah dan meminta pemerintah untuk menggunakan BTC yang terkumpul di kolam komunitas untuk menutupi sisa saldo dan mengembalikan dukungan penuh Alloyed BTC,” tulis tim tersebut.
Penyelidikan oleh Peneliti Independen
Peneliti independen yang dikenal sebagai Rarma menyelidiki kode dan membagikan wawasan tentang apa yang salah di X. Dalam istilah sederhana, sistem Nomic secara tidak sengaja menciptakan setoran Bitcoin yang sama dua kali. Batch pertama ditangani secara normal, tetapi yang kedua menjadi nBTC tambahan yang sebenarnya dapat dibelanjakan, menurut catatan pos X peneliti tersebut.
Rarma menemukan bahwa ini adalah satu-satunya dari 18 proses serupa dalam file yang menciptakan koin dua kali, dan sistem bahkan tidak memverifikasi siapa yang mengendalikan akun yang menerimanya. Melakukannya hanya membutuhkan satu satoshi, sebuah serangan yang sangat murah, dan Rarma menulis pada saat itu bahwa kode yang cacat masih duduk tidak berubah di cabang pengembangan Nomic ketika ia menerbitkan temuan tersebut pada 8 September.
Pembaruan Keamanan dan Pelajaran yang Dipetik
Pembaruan keamanan Osmosis diposting ke X pada hari berikutnya. Meskipun tim menghadapi masalah dukungan BTC, insiden ini tetap menawarkan pengingat penting tentang apa yang disebut token BTC yang dicetak di rantai lain, karena dukungannya hanya seandal kode kustom yang bertanggung jawab untuk mencetak klaim tersebut.
Tim Liquid juga mengumumkan bahwa jaringan telah memasuki fase berikutnya dari pemulihan terkontrol setelah seorang peretas white-hat berhasil mengidentifikasi dan mengatasi masalah yang ada.
