Insiden Pencurian di Predict.fun
Setidaknya 19 dompet yang terhubung dengan platform pasar prediksi Predict.fun dilaporkan telah dikuras sekitar 105 ETH, yang setara dengan $260.000. Penyelidik melacak dana yang diduga dicuri melalui Ethereum ke mixer cryptocurrency Tornado Cash.
Penyelidikan dan Temuan Awal
Penyelidik on-chain, Naeven, melaporkan dugaan serangan ini pada 27 Oktober, setelah seorang pengguna crypto lain yang dikenal sebagai dethective mengungkapkan kehilangan sekitar $5.000 dan mengangkat kekhawatiran bahwa pengguna lain di Predict.fun juga mengalami penarikan tidak sah yang serupa.
“Saya pikir ada yang tidak beres dengan Predict.fun dan saya bukan satu-satunya korban,” tulis pengguna tersebut.
Dalam postingan tersebut, pengguna menyarankan ada yang tidak beres dengan Predict.fun dan mengklaim bahwa dompet lain yang terpengaruh tampaknya memiliki koneksi dengan platform pasar prediksi. Postingan tersebut menyertakan alamat dompet, 0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBa, yang diidentifikasi pengguna sebagai penerima dana yang dicuri.
Diagram Alur Transaksi
Naeven membagikan diagram alur transaksi yang menunjukkan beberapa dompet korban terhubung ke alamat perantara, dengan dana akhirnya berkumpul di dompet yang diidentifikasi sebagai penguras. Penyelidik mendesak pengguna yang masih memiliki dana di Predict.fun untuk segera memindahkan aset mereka keluar dari platform.
Temuan Naeven menunjukkan bahwa pelaku yang diduga menggunakan beberapa dompet perantara untuk mengumpulkan aset dari alamat yang terpengaruh sebelum memindahkan hasilnya ke Ethereum. Menurut penyelidik, dana tersebut kemudian diteruskan ke Tornado Cash, di mana pencampuran transaksi dapat membuat lebih sulit untuk mengikuti pergerakan mereka.
Metode Penyerangan dan Dampaknya
Meskipun temuan menunjukkan bahwa beberapa pengguna menjadi target, metode tepat yang digunakan untuk mengakses dana mereka tetap tidak diketahui. Beberapa transfer diberi label sebagai pergerakan dari BNB Chain ke Ethereum, sementara yang lain melibatkan transaksi langsung Ethereum.
Predict.fun beroperasi di BNB Smart Chain, menggunakan USDT sebagai jaminan untuk pasar prediksi di mana peserta memperdagangkan posisi berdasarkan hasil peristiwa mendatang. Platform ini menggunakan kontrak token bersyarat untuk mengelola posisi dan penyelesaian, termasuk transaksi penebusan saat pasar diselesaikan.
Insiden Serupa dan Tren Pencurian
Pergerakan dana yang dilaporkan ke Tornado Cash mengikuti beberapa insiden terbaru di mana penyerang mentransfer cryptocurrency yang dicuri melalui protokol pencampuran. Awal bulan ini, crypto.news melaporkan bahwa dompet yang terkait dengan eksploitasi Drift Protocol telah mentransfer sekitar $109 juta dalam Ether ke Tornado Cash selama dua hari.
Dalam insiden terpisah pada bulan Oktober, perusahaan keamanan blockchain Salus melacak sekitar $12,4 juta dalam cryptocurrency dari pelanggaran kas Triple-A ke Tornado Cash. Penyelidik mengidentifikasi 56 setoran yang melibatkan 4.970 ETH, termasuk 49 transfer 100 ETH dan tujuh transfer 10 ETH.
Dalam kasus Predict.fun, penyelidik belum menetapkan apakah persetujuan token jahat berperan dalam kerugian yang dilaporkan atau apakah dompet yang terpengaruh berinteraksi dengan kontrak yang terkompromi secara umum.
