Eksploitasi Kolam Likuiditas Balancer V1
Sebuah kolam likuiditas Balancer V1 mengalami kerugian sekitar $234.000 akibat eksploitasi kesalahan pembulatan pada 31 Agustus, menurut laporan dari Slowmist. Ini merupakan kategori bug yang sama yang sebelumnya menguras $116 juta dari kolam V2 Balancer pada bulan November lalu.
Sejarah Eksploitasi yang Terulang
Meskipun Balancer telah menghadapi skenario serupa sebelumnya, sejarah tersebut terulang kembali. Beberapa jam yang lalu, perusahaan keamanan blockchain Slowmist mengungkapkan adanya eksploitasi baru terhadap kolam Balancer V1, kali ini dengan jumlah yang relatif kecil yaitu $234.000. Meskipun jumlah ini kecil dibandingkan dengan kerugian sebelumnya, kesalahan pembulatan dalam perhitungan jumlah token selama pertukaran tetap menjadi masalah serius.
Detail Eksploitasi
Kesalahan ini adalah cacat yang sama yang memungkinkan seorang penyerang menguras $116 juta dari kolam V2 Balancer di berbagai rantai pada bulan November lalu. Menurut analisis teknis Slowmist, penyerang menargetkan fungsi joinswapPoolAmountOut kolam, yang memungkinkan pemanggil menentukan berapa banyak BPT (Balancer Pool Tokens) yang ingin mereka terima, sementara kontrak menghitung mundur untuk menentukan input yang diperlukan.
Perhitungan mundur ini, yang ditangani oleh calcSingleInGivenPoolOut, menggunakan matematika titik tetap desimal 18. Dengan melakukan serangkaian pertukaran publik, penyerang berhasil mengompresi cadangan WBTC kolam hingga hampir habis. Dengan cadangan yang berkurang drastis, perhitungan membulatkan input yang diperlukan menjadi hanya 1 satoshi WBTC, yang setara dengan sepertiga sen, sementara kontrak tetap mencetak jumlah penuh BPT yang diminta oleh penyerang.
Kekurangan Perlindungan
Slowmist mencatat bahwa kolam tersebut tidak memiliki perlindungan dasar yang dapat menghentikan eksploitasi ini, termasuk input efektif minimum, saldo kolam minimum, dan validasi kesalahan relatif. Pemeriksaan MIN_BALANCE kontrak hanya diterapkan selama fungsi bind dan rebind, bukan selama pertukaran biasa.
Reaksi dan Tindakan Selanjutnya
Slowmist juga menerbitkan alamat dompet penyerang dan alamat kontrak serangan sebagai bagian dari peringatannya.
Pada bulan Maret, Balancer Labs, perusahaan di balik protokol ini, mengumumkan bahwa mereka akan menghentikan operasi sebagai entitas korporat, mengingat paparan hukum yang meningkat lima bulan setelah eksploitasi November 2025 yang menyebabkan total nilai terkunci protokol jatuh dari sekitar $775 juta menjadi sekitar $300 juta.
Salah satu pendiri, Fernando Martinelli, menyatakan bahwa DAO akan mengambil alih operasi dalam bentuk yang lebih ramping, khususnya untuk menghindari “tanggung jawab insiden keamanan masa lalu.”
Risiko dalam DeFi
Dompet yang terlibat dalam peretasan sebelumnya juga tetap aktif, muncul kembali lima bulan kemudian untuk memindahkan 1.100 ETH melalui Thorchain. Eksploitasi terbaru ini menyerang WBTC, representasi tokenisasi dari bitcoin, bukan token tata kelola milik Balancer. Ini mengingatkan kita bahwa meskipun harga bitcoin saat ini berada di sekitar $78.000, versi wrapped dan tokenized yang ada dalam protokol keuangan terdesentralisasi (DeFi) memiliki risiko tersendiri.
Selain itu, platform Metaverse The Sandbox baru-baru ini mengonfirmasi bahwa jembatan yang dieksploitasi memungkinkan seorang penyerang mencetak SAND tanpa dukungan di Base dan BNB.
