Dalam pelanggaran keamanan baru-baru ini, peretas berhasil mengeksploitasi bot perdagangan Telegram Maestro, yang mengakibatkan pencurian lebih dari 280Ethereum (ETH), setara dengan $500.000.
Bot perdagangan Telegram dirancang untuk merampingkan perdagangan dan farming on-chain, meskipun beberapa di antaranya mengharuskan pengguna untuk membagikan kunci pribadi mereka, sehingga menimbulkan kekhawatiran tentang keamanan.
Mengeksploitasi Kerentanan Panggilan Eksternal
Pelanggaran terjadi karena kerentanan panggilan eksternal dalam kontrak pintar Maestro Router 2, seperti yang diungkapkan oleh perusahaan keamanan blockchainBeosin.
Penyerang mengeksploitasi kerentanan ini untuk meneruskan alamat token, menetapkan fungsi sebagai "transferfrom," dan menentukan parameter seperti alamat korban dan alamat mereka sendiri. Hal ini memungkinkan mereka untuk mentransfer token korban ke alamat mereka melalui fungsi "transferfrom".
"Penyerang dapat memasukkan alamat token, mengisi fungsi yang disebut sebagai transferfrom, dengan parameter sebagai alamat korban dan alamat mereka sendiri, sehingga mereka dapat mentransfer token korban ke alamat mereka sendiri melalui transferfrom."
Dompet Phishing Menargetkan Token JOE
Perusahaan analisis blockchain lainnya,PeckShield melaporkan bahwa sebuah dompet phishing mencuri 37 juta token JOE melalui sebuah eksploitasi.
Aktivitas jahat ini menyebabkan harga JOE anjlok lebih dari30% dengan Maestro tidak dapat membeli token JOE untuk mengembalikan dana pengguna karena kurangnya likuiditas.
Respons dan Pemulihan
Setelah serangan tersebut, penyerang Maestro mentransfer 280 ETH yang dicuri ke Railgun, sebuah alat privasi kripto yang dirancang untuk mengaburkan detail transaksi.
Sebagai tanggapan, tim Maestro bertindak cepat, mengidentifikasi dan mengatasi eksploitasi tersebut.
Mereka memperbarui router mereka ke implementasi yang aman dan bebas eksploitasi, sehingga perdagangan dapat dilanjutkan secara normal. Namun, token yang terkait dengan pool SushiSwap, ShibaSwap, dan ETH PancakeSwap untuk sementara tidak tersedia.
Memastikan Penggantian Biaya Pengguna
Maestro bertanggung jawab atas insiden tersebut dan segera mengembalikan dana kepada semua pengguna yang terkena dampak. Tim membeli token dan mengirimkannya ke dompet para korban, memastikan bahwa setiap dompet yang terkena dampak menerima jumlah penuh yang hilang.
Penghasilan Maestro dan Keamanan Pengguna
Perlu dicatat bahwa pada Mei 2023, pendapatan Maestro mencapai lebih dari $ 20 juta, dengan bot trading mengumpulkan komisi bulanan sebesar $ 5 juta pada puncaknya. Meskipun Maestro menawarkan potensi keuntungan yang besar, hal itu harus dibayar dengan pengguna yang mengungkapkan kunci pribadi mereka kepada bot untuk menandatangani transaksi.
Hal ini bertentangan dengan etos desentralisasi "bukan kunci Anda, bukan koin Anda";
Menjaga Kehati-hatian dalam Penggunaan Bot
Sehubungan dengan serangan Maestro, disarankan untuk berhati-hati saat menggunakan bot semacam itu. Seperti yang disoroti oleh seorang pengguna Twitter, "Bot Maestro baru saja TEREKSLOKASI 🚨 Saya tidak pernah mempercayai semua bot bodoh yang bermunculan di kiri dan kanan. Jauhi bot-bot ini. Berhati-hatilah;
Namun, sangat penting untuk dicatat bahwa eksploitasi ini terutama menargetkan router, dan kredensial dompet tetap tidak terganggu, menurut tim Maestro.