Bagaimana seorang penyerang mencetak 1.000 eBTC tidak sah di Echo Protocol?

Platform DeFi yang berfokus pada Bitcoin, Echo Protocol, mengalami eksploitasi setelah seorang penyerang mencetak sekitar 1.000 token eBTC tidak sah di penempatan Monad dari protocol tersebut.

Menurut perusahaan keamanan blockchain PeckShield dan platform analitik on-chain Lookonchain, penyerang membuat sekitar $76,7 juta token Bitcoin sintetis sebelum mencoba mengekstrak nilai melalui pasar pinjaman terdesentralisasi.

Echo Protocol kemudian mengonfirmasi bahwa mereka sedang menyelidiki “insiden keamanan yang mempengaruhi jembatan Echo di Monad,” sambil juga menyatakan bahwa semua transaksi lintas rantai telah dihentikan selama penyelidikan.

Co-founder Monad, Keone Hon, menjelaskan di X bahwa jaringan Monad sendiri beroperasi normal dan tidak telah disusupi.

Para peneliti keamanan dan pengembang blockchain kemudian mempersempit insiden tersebut menjadi apa yang dijelaskan pengembang “Marioo” sebagai kegagalan operasional yang terkait dengan kredensial admin yang dikompromikan, bukan cacat dalam kode kontrak pintar itu sendiri.

Menurut pengembang, fungsi kontrak eBTC berjalan sesuai rencana, tetapi langkah pengendalian akses yang lemah memungkinkan penyerang mengambil alih izin administratif.

## Bagaimana eksploitasi berlangsung

Penyelidik on-chain mengatakan penyerang pertama kali menetapkan diri mereka sendiri ke DEFAULT_ADMIN_ROLE di kontrak eBTC Echo sebelum memberikan wallet mereka hak MINTER_ROLE, yang memungkinkan pembuatan token baru tanpa dukungan.

Setelah mendapatkan hak pencetakan, penyerang dilaporkan menghapus izin admin mereka sendiri untuk menghindari mempertahankan peran administratif yang terlihat di on-chain.

Dengan kontrol tersebut, pelaku mengecakkan 1.000 token eBTC senilai sekitar $77 juta secara teori.

Namun, likuiditas yang terbatas di ekosistem Monad mencegah penyerang mengonversi sebagian besar aset secara langsung melalui bursa terdesentralisasi.

Sebaliknya, data yang dibagikan oleh Onchain Lens dan Lookonchain menunjukkan bahwa penyerang menyetor 45 eBTC, bernilai sekitar $3,5 juta, ke protokol pinjaman DeFi Curvance sebagai jaminan.

Terhadap deposit tersebut, penyerang meminjam sekitar 11,29 Bitcoin terbungkus (WBTC) senilai sekitar $867.700.

Setelah menjembatani WBTC yang dipinjam ke Ethereum, pelaku menukar aset tersebut menjadi ETH dan mentransfer sekitar 384 hingga 385 ETH ke mixer kripto Tornado Cash, menurut beberapa akun pelacakan on-chain.

Data dari Lookonchain dan DeBank menunjukkan bahwa penyerang masih mengendalikan 955 eBTC senilai sekitar $73 juta, meskipun pendiri DeFiPrime, Nick Sawinyh, mengatakan dalam sebuah posting bahwa token yang tersisa secara efektif tidak dapat digunakan karena kedalaman likuiditas DeFi Monad tidak mampu menyerap pasokan palsu tersebut.

Marioo juga menunjuk beberapa kelemahan keamanan yang memperbesar dampak serangan, termasuk penggunaan peran admin tanda tangan tunggal, tidak adanya mekanisme penguncian waktu (timelock), tidak adanya batas pencetakan atau pembatasan laju, dan kurangnya pemeriksaan kesehatan jaminan pada Curvance untuk eBTC yang baru dicetak.

## Protocol bergerak untuk membatasi kerusakan

Saat eksploitasi berlangsung, Curvance mengatakan mereka mendeteksi “anomali” di pasar eBTC Echo dan menghentikan pasar pinjaman yang terdampak sementara penyelidikan berlanjut.

Protocol menyatakan tidak ada indikasi bahwa kontrak pintar mereka sendiri telah disusupi, menambahkan bahwa arsitektur pasar terisolasi mereka mencegah spillover ke kolam pinjaman lain.

Menurut Hon, para peneliti keamanan memperkirakan kerugian yang direalisasikan sekitar $816.000, jauh di bawah nilai teoretis dari pencetakan tidak sah karena sebagian besar pasokan eBTC palsu tidak dapat dilikuidasi.

Echo Protocol, yang berfokus pada agregasi likuiditas Bitcoin, staking cair, staking ulang, dan generasi hasil di berbagai rantai, belum mengungkapkan bagaimana kredensial admin dikompromikan.

Protocol menyatakan bahwa pembaruan lebih lanjut akan dibagikan melalui saluran resmi seiring berjalannya penyelidikan.

Insiden ini menambah daftar eksploitasi DeFi yang semakin meningkat sejak awal tahun.

Seperti yang dilaporkan sebelumnya oleh Invezz, infrastruktur jembatan KelpDAO dikompromikan dalam serangan poisoning RPC tingkat lanjut dan serangan denial-of-service terdistribusi (DDoS) yang mengakibatkan eksploitasi besar sebesar $292 juta.

Postingan tentang Bagaimana penyerang mencetak 1.000 eBTC tidak sah di Echo Protocol? muncul pertama kali di Invezz.