Hacker Mentransfer $10 Juta dari Serangan Phishing ke Tornado Cash

Sebuah dompet cryptocurrency yang terhubung dengan serangan phishing pada September 2023 telah memindahkan $10 juta nilai Ether ke layanan pencampuran cryptocurrency Tornado Cash, menyoroti tantangan keamanan yang terus berlanjut dalam ekosistem aset digital.

Rincian Serangan dan Pergerakan Dana

Pada 21 Maret, perusahaan keamanan blockchain CertiK mengidentifikasi bahwa sebuah akun yang terlibat dalam peretasan September 2023 mentransfer 3.700 ETH (sekitar $10 juta) ke Tornado Cash. Akun ini terhubung dengan pelanggaran keamanan yang signifikan yang mengakibatkan pencurian $24 juta aset digital dari "whale" cryptocurrency - istilah yang merujuk pada individu yang memegang sejumlah besar cryptocurrency.

Insiden asli terjadi pada 6 September 2023, ketika korban kehilangan kepemilikan substansial dalam ETH yang dipertaruhkan melalui layanan staking likuiditas Rocket Pool. Serangan yang canggih dilaksanakan dalam dua fase yang berbeda:

• Fase pertama: Ekstraksi 9.579 stETH ( Ethereum yang dipertaruhkan )
• Fase kedua: Pencurian 4.851 rETH (Rocket Pool ETH)

Kerentanan Teknis Dieksploitasi

Menurut proyek Scam Sniffer, sebuah inisiatif keamanan yang fokus pada deteksi penipuan, korban secara tidak sengaja mengotorisasi transaksi "Increase Allowance". Kesalahan keamanan yang kritis ini memungkinkan penyerang untuk menyetujui token untuk transfer yang tidak sah.

Eksploitasi memanfaatkan mekanisme persetujuan standar token ERC-20, yang memungkinkan pihak ketiga untuk menghabiskan token yang dimiliki oleh orang lain - fitur yang sah ketika diotorisasi dengan benar, tetapi berbahaya ketika disalahgunakan. Ini telah memicu perdebatan signifikan di kalangan keamanan cryptocurrency tentang risiko inheren dari fungsi persetujuan token.

Konversi dan Distribusi Aset

Perusahaan pemantauan keamanan blockchain PeckShield mendokumentasikan bahwa setelah pencurian, penyerang mengkonversi aset yang dicuri menjadi:

• 13,785 Ether
• 1.64 juta stablecoin Dai

Hacker kemudian mendistribusikan aset-aset ini secara strategis, mentransfer beberapa DAI ke bursa FixedFload sementara memindahkan sisa dana yang dicuri ke berbagai dompet cryptocurrency lainnya.

Masalah Phishing di Seluruh Industri

Kejadian ini bukanlah terisolasi, tetapi bagian dari tren yang mengkhawatirkan dalam keamanan cryptocurrency. Menurut data dari proyek Scam Sniffer, bulan Februari saja menyaksikan hampir $47 juta dalam kerugian akibat penipuan yang terkait dengan phishing di sektor cryptocurrency.

Laporan tersebut memberikan wawasan penting tentang pola serangan:

• 78% pencurian terjadi di jaringan Ethereum
• Token ERC-20 menyumbang 86% dari semua dana yang dicuri

Insiden Keamanan Terkait

Kerentanan persetujuan token baru-baru ini telah menyebabkan kerugian signifikan lainnya. Pada 20 Maret, sebuah kontrak usang yang sebelumnya digunakan oleh bursa Dolomite dieksploitasi, mengakibatkan pencurian $1,8 juta dari pengguna yang sebelumnya telah memberikan izin kepada alamat kontrak tersebut. Sebagai tanggapan, para pengembang Dolomite dengan mendesak menyarankan pengguna untuk mencabut semua izin yang diberikan kepada alamat kontrak yang telah terkompromi.

Tidak semua serangan mengakibatkan kerugian total. Dalam insiden lainnya pada 20 Maret, tim Layerswap berhasil membatasi kerugian ketika situs web mereka disusupi, berkat intervensi cepat dari penyedia domain mereka. Meskipun upaya mereka, sekitar $100,000 dicuri dari sekitar 50 pengguna. Layerswap telah berkomitmen untuk mengembalikan kerugian ini dan memberikan kompensasi tambahan kepada pengguna yang terkena dampak.

Implikasi Keamanan

Insiden-insiden ini menyoroti ancaman yang terus-menerus dari serangan phishing dalam ekosistem cryptocurrency. Eksploitasi mekanisme persetujuan token dan kerentanan kontrak pintar menekankan perlunya praktik keamanan yang lebih baik di antara pemegang aset digital.

Seiring serangan semakin canggih, pengguna cryptocurrency harus tetap waspada, memverifikasi semua transaksi dengan hati-hati, dan secara rutin meninjau persetujuan kontrak. Upaya kolektif dari perusahaan keamanan, operator platform, dan komunitas yang lebih luas sangat penting untuk mengembangkan alat dan prosedur yang lebih kuat yang dapat melindungi aset digital dengan lebih baik dan menciptakan lingkungan yang lebih aman untuk operasi cryptocurrency.