Dalam insiden pelanggaran keamanan terbaru, Protokol Onyx, sebuah proyek keuangan terdesentralisasi (DeFi), menjadi korban eksploitasi yang melibatkanpinjaman kilat yang mengakibatkan hilangnya sekitar $2,1 juta koin Ethereum (ETH).

Penyelidik Blockchain PeckShield segera memberikan peringatan tentangmeretas yang sampai saat itu tidak diperhatikan oleh protokol.

#PeckShieldAlert@OnyxProtocol telah dieksploitasi sebesar ~2,1 jutapic.twitter.com/5Z50tCg6MD
- PeckShieldAlert (@PeckShieldAlert)1 November 2023
a

Menurut laporan, alamat dompet dari pengeksploitasi Protokol Onyx saat ini memiliki saldo 1,164 ETH, setara dengan sekitar $ 2.1 juta, yang disita oleh pelaku jahat melaluioperasi .

Pelanggaran ini diprakarsai oleh peretas Protokol Onyx, yang mengambil keuntungan dari bug yang diketahui terkait dengan fork CompoundV2 yang populer.

Terduga pelaku memanfaatkan isu pembulatan di pasar oPEPE, yang diduga kekurangan likuiditas, untuk meminjam dana dari pasar lain.

Taktik ini dirinci dalam investigasi independen PeckShield.

Bug yang Sama Telah Dieksploitasi

Perlu dicatat bahwa ini bukanlah insiden yang terisolasi; bug serupa dieksploitasi sebelumnya untuk mencuri $7 juta dari protokol pinjaman multichain Hundred Finance.

Dalam hal ini, penyerang memanipulasi nilai tukar antara token ERC-20 dan hTOKEN, yang memungkinkan mereka untuk menarik lebih banyak token daripada yang awalnya disetorkan, seperti yang dikonfirmasi oleh CertiK.

#CertiKSkynetAlert 🚨@HundredFinance' Penyerang memanipulasi nilai tukar antara token ERC-20 dan htoken yang memungkinkan mereka untuk menarik lebih banyak token daripada yang mereka setorkan. Kerugian yang diperkirakan dari serangan ini adalah sekitar $7,4 juta.

Tetap waspada!ttps://t.co/1hxAnFoNjj<br/>- CertiK Alert (@CertiK Alert) A15 April 2023<br/> a

Bagaimana Penyerang Mengeksploitasi Protokol Onyx?

Metode yang digunakan penyerang adalah dengan memulai skema ini dengan sumbangan yang tampaknya sepele ke pasar oPEPE.

Kontribusi awal ini berfungsi sebagai jaminan untuk mendapatkan pinjaman yang cukup besar dari pasar yang memiliki likuiditas yang memadai.

Setelah itu, dana yang dipinjam ditebus, dan eksploitasi dijalankan dengan memanfaatkan isu pembulatan.

Pencurian ini difasilitasi oleh fakta bahwa pasar oPEPE baru didirikan lima hari sebelumnya dan tidak memiliki dana, sehingga memberikan kesempatan yang matang untuk dieksploitasi.

Dalam perincian yang lebih rinci tentang insiden tersebut, penyerang mengatur pinjaman kilat sebesar 4.000 ETH dari Aave, protokol likuiditas sumber terbuka, dan kemudian menukarnya dengan koin meme, PEPE, sebelum mengeksploitasi kontrak pintar oPEPE di Onyx.

Alex Onyx, Pemimpin Komunitas untuk Protokol Onyx, mengakui adanya pencurian tersebut dan mengonfirmasi bahwa kerentanan tersebut telah diatasi.

Tim ini secara aktif bekerja untuk mengamankan protokol ini lebih lanjut.

PadaX (sebelumnya dikenal sebagai Twitter) Alex menyatakan kesadarannya akan situasi tersebut dan memberikan jaminan bahwa langkah-langkah sedang diambil untuk memitigasi risiko ke depannya.