Insiden Keamanan pada Kontrak Kartu Rain
Pada tanggal 28 Agustus, seorang penyerang berhasil mengeksploitasi kontrak kartu Rain yang sudah usang, menguras sekitar $1,1 juta dari beberapa program kartu stablecoin yang beroperasi di jaringan Solana. Menurut laporan dari perusahaan keamanan blockchain Blockaid, neobank crypto seperti Avici dan Tria termasuk di antara yang terkena dampak. Kedua perusahaan tersebut melaporkan kerugian gabungan lebih dari $932.800 yang dialami oleh 2.321 pengguna. Blockaid juga menyebutkan bahwa program lain yang didukung oleh Rain turut terpapar, sehingga total estimasi kerugian mencapai sekitar $1,1 juta.
Detail Eksploitasi
Penyerang tidak berhasil mengakses dompet self-custodial pelanggan atau kunci privat mereka. Sebaliknya, eksploitasi ini menargetkan kontrak jaminan yang menyimpan stablecoin yang telah disetorkan oleh pengguna untuk mendanai saldo kartu mereka. Rain mengungkapkan bahwa sistem pemantauannya menemukan kerentanan yang mempengaruhi “sejumlah kecil program” yang menggunakan versi kontrak kartu Solana yang sudah usang. Perusahaan tersebut telah memperbarui semua program yang masih menjalankan versi yang terpengaruh, sesuai dengan pernyataan publiknya.
Insiden ini menambah kekhawatiran yang lebih luas mengenai kerentanan dalam kontrak dan operasional di dunia crypto. Kegagalan keamanan di sektor ini menyebabkan kerugian sekitar $1,1 miliar selama paruh pertama tahun 2026, menurut penelitian yang diterbitkan oleh Blockaid.
Proses Keamanan dan Kerentanan
Rain sendiri menyediakan infrastruktur yang memungkinkan perusahaan crypto untuk menerbitkan kartu yang didanai dengan stablecoin. Ketika pelanggan mendanai kartu mereka, aset yang disetorkan berpindah ke akun jaminan yang dikelola melalui kontrak on-chain. Saldo ini terpisah dari aset yang dipegang dalam dompet pribadi pelanggan.
Setelah dana masuk ke kontrak jaminan kartu, keamanannya bergantung pada kode penyedia infrastruktur dan kontrol otorisasi. Blockaid mengidentifikasi empat penyebaran yang mengandung kode dengan hash opcode yang sama dengan kontrak yang rentan. Perusahaan keamanan tersebut melaporkan bahwa penyerang berhasil menguras setidaknya dua penyebaran, sementara dua lainnya memiliki kerentanan yang sama tetapi tidak mengalami kerugian yang terkonfirmasi.
Metode Penyerangan
Kontrak Rain yang sudah usang memerlukan dua otorisasi independen sebelum mengizinkan tindakan tertentu pada akun. Penyerang memanipulasi instruksi verifikasi kedua, sehingga kontrak yang rentan menerima satu tanda tangan yang dikendalikan penyerang sebagai dua persetujuan independen. Hal ini memungkinkan penyerang untuk memenuhi persyaratan otorisasi tanpa izin dari pemilik akun jaminan.
Setelah melewati pemeriksaan tanda tangan, penyerang menggunakan instruksi AddCollateralAdmin untuk memberikan diri mereka hak administratif atas akun individu dan kemudian memanggil WithdrawCollateralAsset untuk mentransfer USDC dan USDT dari akun-akun tersebut.
Statistik Eksploitasi
Blockaid mencatat 2.945 penambahan administrator dan 5.288 panggilan penarikan, serta mengidentifikasi 8.233 transaksi eksploitasi inti yang terjadi selama sekitar dua jam dan 29 menit. Operasi ini berlangsung dengan kecepatan otomatis, dengan dua penarikan pertama yang berhasil terjadi hanya dalam selang waktu tiga detik, menunjukkan bahwa penyerang telah menyiapkan sistem untuk menargetkan beberapa akun sekaligus.
Penanganan Pasca Insiden
Setelah penarikan, USDC dan USDT yang dicuri terakumulasi di satu dompet Solana yang diidentifikasi sebagai FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj. Penyerang kemudian menukar stablecoin tersebut dengan SOL melalui platform perdagangan terdesentralisasi. Blockaid melacak hasil dari Solana ke Ethereum melalui protokol lintas rantai deBridge, dengan sekitar 455,9 ETH masuk ke Tornado Cash dalam rentang waktu tertentu.
Tornado Cash mengumpulkan setoran dan memungkinkan penarikan ke alamat yang tidak terhubung secara publik dengan dompet pengirim asli, sehingga membuat pergerakan selanjutnya lebih sulit untuk dilacak.
Reaksi Perusahaan Terkait
Hingga saat ini, dana yang dicuri belum dipulihkan setelah masuk ke Tornado Cash. Penggunaan infrastruktur lintas rantai menambah tahap lain dalam rute pencucian. Jembatan crypto juga telah menjadi target langsung, dengan eksploitasi transfer palsu yang menguras $11,5 juta dari jembatan Ethereum Verus sebelumnya pada tahun 2026. Blockaid menghubungkan dua alamat Ethereum dengan pembiayaan awal aktivitas penyerang Rain di Solana, namun baik Rain maupun otoritas penegak hukum belum secara publik mengidentifikasi individu yang mengendalikan alamat tersebut.
Avici melaporkan bahwa penyerang menghapus $500.859,22 dari saldo kartu yang dimiliki oleh 1.685 pengguna. Perusahaan tersebut telah mengembalikan semua pelanggan yang terkena dampak dan memberikan cashback 10% setelah insiden tersebut. Tria melaporkan kerugian sekitar $431.945 di antara 636 pelanggan dan menyatakan bahwa setiap pelanggan yang terkena dampak sedang diganti rugi.
Kesimpulan dan Pertanyaan yang Belum Terjawab
Meskipun Blockaid juga menyebut Solayer Pay sebagai program yang terkena dampak, tidak ada angka yang diverifikasi secara independen untuk kerugiannya yang tersedia. Perbedaan antara kerugian yang diungkapkan oleh Avici dan Tria dengan estimasi $1,1 juta dari Blockaid tampaknya melibatkan program lain yang didukung Rain. Rincian lengkap mengenai insiden ini belum diterbitkan.
Setelah laporan tentang eksploitasi muncul, token Avici jatuh 49% dari puncak harian, sementara token Tria juga mengalami penurunan lebih dari 10% pada satu titik. Rain mengonfirmasi bahwa semua program kartu yang menggunakan kontrak yang sudah usang telah diperbarui dan melaporkan tidak ada aktivitas tidak sah tambahan setelah menyelesaikan perubahan.
Namun, mereka belum mengungkapkan apakah mereka akan mengganti program kartu secara langsung atau apakah penyedia individu akan menanggung biaya tersebut. Beberapa pertanyaan tetap belum terjawab, termasuk riwayat versi lengkap dari kontrak yang rentan, tanggal di mana cacat diperkenalkan, dan alasan mengapa penyebaran yang lebih lama tetap aktif.
Rain juga belum mengungkapkan apakah audit telah mengidentifikasi cacat otorisasi sebelum serangan terjadi. Hingga saat ini, tidak ada pemulihan dana yang disetorkan ke Tornado Cash yang telah dilaporkan secara publik. Insiden ini menimbulkan pertanyaan tentang efektivitas audit berkala dalam memberikan perlindungan yang cukup setelah kontrak masuk ke produksi.
Penelitian industri terbaru menunjukkan bahwa institusi semakin menginginkan pemantauan berkelanjutan di samping audit keamanan tradisional, terutama untuk kontrak yang memegang aset pengguna. Laporan teknis yang terperinci akan memungkinkan peneliti luar untuk mengonfirmasi kerentanan dan menentukan apakah kode serupa tetap aktif di tempat lain. Penyedia kartu juga dapat meninjau bagaimana mereka melacak versi kontrak dan membatasi izin administratif di seluruh infrastruktur bersama. Pengguna tetap dapat mempertahankan kontrol atas dompet pribadi mereka, namun tetap menghadapi risiko setelah menyetorkan dana ke program kartu, karena keamanan saldo tersebut bergantung pada kontrak yang memegang jaminan, penyedia yang memeliharanya, dan respons operator ketika kerentanan muncul.
