DeFi Bridge Breach Baru-Baru Ini Menghabiskan Biaya $4,4 Juta

Platform jembatan token Paspor Meter menderita kerugian $4,4 juta karena peretasan kontrak pintar, yang juga mengakibatkan kerugian $3,3 juta untuk Hundred Finance karena pinjaman yang tidak dijaminkan.

Paspor Meter (MTRG) oleh Meter.io adalah jembatan token yang kompatibel dengan Ethereum dan rantai sampingnya. Serangan ini mempengaruhi Moonriver.

Moonriver adalah platform kontrak pintar berdasarkan jaringan Kusama Polkadot. Hundred Finance adalah platform pinjaman crypto berdasarkan kode Compound Finance.

Menurut pernyataan dari Meter pada 6 Februari, total sekitar $4,4 juta telah dicetak di BNB dan wETH selama beberapa transaksi mulai pukul 14:00 UTC pada 5 Februari melalui “asumsi kepercayaan palsu” dalam kode. Dalam hal ini, jumlah ETH yang sewenang-wenang disimpan ke Meter, dan peretas menggunakan kerentanan untuk membuat token.

Serangan itu menyebabkan efek berjenjang di ekosistem Moonriver yang berbasis di Kusama. Setelah menghabiskan cadangan BNB dan weTH Meter, penyerang menjual BNB di bursa SushiSwap terdesentralisasi yang populer. Hal ini menyebabkan harga BNB di Moonriver anjlok hingga 77% saat itu.

Banyak oportunis yang kemudian memanfaatkan jatuhnya harga tersebut dengan membeli BNB murah. Mereka menggunakan token ini sebagai jaminan pada Hundred Finance untuk pinjaman stablecoin FRAX dan MIM. Namun karena perbedaan harga BNB, pinjaman mereka bernilai lebih dari jaminan yang mereka berikan sehingga menyebabkan krisis pasokan.

Hebatnya, dua dari pinjaman itu telah dilunasi, meninggalkan perjanjian Seratus dengan kerugian $3,3 juta. Tim Hundred berusaha menghubungi pihak terkait untuk meminta agar mereka mengembalikan token BNB yang digunakan sebagai jaminan ke Meter.

Tim Meter telah berkomitmen untuk mengganti rugi komunitasnya dan Hundred Finance atas kerusakan yang diderita akibat peretasan tersebut. Tim mengatakan pada 6 Februari bahwa mereka telah menyisihkan $4,4 juta dalam token MTRG untuk menutupi kerugian awal.

Pendiri dengan nama samaran Hundred Finance "Vfat" mengatakan dalam sebuah pernyataan kepada Rekt News pada 6 Februari:

“Meter tentu saja telah menerima tanggung jawab atas peretasan ini dan bermaksud menggunakan token asli mereka untuk memberikan kompensasi sedapat mungkin, saat ini kami sedang dalam tahap mengumpulkan alamat dan jumlah.”

Perusahaan keamanan Blockchain PeckShield memperkirakan bahwa total 1.391 ETH dan 2,74 wBTC dicuri oleh penyerang dan dikirim ke Ethereum, tempat token diedarkan melalui Tornado Cash, alat privasi transaksi ETH.

Hundred Finance belum menanggapi permintaan komentar.

Detail awal dari eksploitasi kode Meter serupa dengan peretasan Wormhole pada 3 Februari, di mana 120.000 wETH ($321 juta) dibuat dengan jahat dan ditarik dari platform Wormhole. Dalam insiden itu, peretas menggunakan kerentanan kontrak cerdas untuk mencetak kekayaan sesuka hati, dan mengirim token ke Ethereum, tempat mereka dicuci melalui Tornado Cash.