Ancaman Terbaru DeFi: Bagaimana Pool Likuiditas Berbahaya Menipu Kutipan Ethereum dan Pengguna Polygon

Perusahaan infrastruktur DeFi Enso telah mengidentifikasi kelas baru kumpulan likuiditas berbahaya yang disebut “toxic pools” (kolam beracun). Berbeda dari eksploitasi tradisional yang langsung mencuri dana, kolam ini memanipulasi simulasi transaksi.

Poin Utama

• Laporan Enso pada 16 Juli mengungkap “toxic pools” yang memalsukan kuotasi, menyebabkan kerugian puluhan ribu dolar AS pada sebuah pool Curve.
• Eksploitasi ini mengancam front-end DeFi, dengan satu malicious Uniswap v4 hook yang menyebabkan tingkat kegagalan 99,1%.
• Enso memperbarui produk Enso Shield untuk mendeteksi kuotasi palsu di 2 lingkungan blockchain yang berbeda.

Taktik “Jekyll and Hyde”

Kelas baru kumpulan likuiditas DeFi (decentralized finance) berbahaya yang baru ditemukan menargetkan infrastruktur inti yang diandalkan trader kripto untuk menemukan harga terbaik, menurut riset baru yang dipublikasikan pada 16 Juli oleh perusahaan infrastruktur DeFi Enso.

Perusahaan itu menyebut setup yang menipu tersebut “toxic pools”. Berbeda dari peretasan kripto khas yang menguras dana langsung dari smart contract, kolam ini dirancang untuk secara sistematis menipu simulasi transaksi. Mereka mengembalikan kuotasi harga yang menarik dan sangat kompetitif ketika sebuah dompet kripto atau agregator exchange terdesentralisasi (DEX) menjalankan simulasi, tetapi mereka mengubah perilaku begitu transaksi benar-benar dieksekusi di blockchain.

Hasilnya adalah pengurasan yang halus dan sistemik: trader menerima harga eksekusi yang jauh lebih buruk daripada yang dikutip, atau transaksi mereka gagal, sambil membakar biaya jaringan dalam prosesnya.

“Investigasi kami membuat kami percaya ini bukan sekadar eksploitasi smart contract terisolasi lainnya,” kata Milos Costantini, co-founder dan chief product officer di Enso. “Industri telah menghabiskan bertahun-tahun untuk mengoptimalkan price discovery. Temuan kami menunjukkan tantangan berikutnya adalah memverifikasi integritas eksekusi.”

Menurut laporan Enso, toxic pools mengeksploitasi simulasi “dry-run” off-chain yang digunakan dompet untuk menayangkan perdagangan. Kontrak berbahaya mendeteksi saat mereka berjalan di lingkungan simulasi read-only dan mengembalikan harga yang dioptimalkan secara artifisial. Setelah transaksi benar-benar disiarkan di on-chain, pool mengubah logika matematisnya untuk mengeksekusi perdagangan pada tingkat yang lebih buruk.

Agar tetap tersembunyi dari sistem keamanan, kolam ini bergantian antara kondisi jujur dan berbahaya, sehingga pemindai kode statis dan filter reputasi historis menjadi tidak efektif. Desain bait-and-switch ini menurunkan pengalaman pengguna dan menguras dana pengguna melalui transaksi yang gagal. Dalam satu studi kasus, sebuah pool Curve yang dimanipulasi memicu lebih dari 37.000 perdagangan yang direvert, memaksa pengguna membakar hampir 30.000 dolar AS biaya gas.

Penyerang juga mengeksploitasi arsitektur exchange modular generasi berikutnya. Di Polygon, sebuah “hook” berbahaya—plugin smart contract yang digunakan di platform seperti Uniswap v4—memancing sistem routing dengan tarif palsu sebelum memicu tingkat kegagalan transaksi 99,1%.

Temuan dari Analisis Forensik On-Chain

Riset yang berlangsung sekitar dua bulan analisis forensik on-chain ini menggabungkan data dari arsip-archive node historis, analisis jejak transaksi, dan pemeriksaan smart contract. Insinyur Enso, dengan dukungan dari kontak di protokol DeFi besar Curve Finance dan Oku, mengidentifikasi toxic pools aktif yang beroperasi di kedua blockchain Ethereum dan Polygon.

Dalam satu studi kasus yang terdokumentasi di Ethereum, sebuah pool Curve yang dimanipulasi memproses lebih dari 129.000 swap. Meski pool tersebut tampak menjadi rute optimal, ia memberikan eksekusi yang lebih buruk daripada yang dikutip, yang mengarah ke sekitar 225.000 dolar AS kuotasi yang dilebihkan.

Selain itu, tim Enso mengidentifikasi beberapa kontrak oracle blockchain yang dideploy oleh operator yang sama untuk mendukung pool tambahan, yang menunjukkan taktik ini kemungkinan lebih luas daripada dua kasus yang terdokumentasi dan bisa menjadi template yang muncul untuk ekstraksi on-chain.

Temuan tersebut menghadirkan tantangan langsung bagi lapisan pengguna dalam ekosistem DeFi. Dompet populer, antarmuka yang ditujukan untuk konsumen, dan agregator sangat bergantung pada simulasi otomatis untuk menjamin “jalur terbaik” bagi perdagangan pengguna.

Laporan Enso menyoroti bahwa jika infrastruktur routing tidak bisa membedakan antara kuotasi yang sah dan kuotasi yang dimanipulasi, front-end akan terus mengarahkan pengguna ke perangkap tersebut. Ini menciptakan potensi risiko kewajiban hukum dan finansial bagi penyedia dompet serta operator antarmuka yang menjanjikan “eksekusi terbaik” namun secara rutin menghasilkan rute beracun.

Sebagai respons terhadap ancaman tersebut, Enso mengumumkan bahwa pihaknya telah memperbarui produk perlindungan eksekusinya, Enso Shield, untuk menyertakan deteksi khusus toxic-pool. Alat keamanan ini dirancang untuk melewati metode simulasi standar dengan menganalisis konteks on-chain yang sebenarnya, memantau riwayat kuotasi, serta menggunakan jejak transaksi untuk mendeteksi ketidaksesuaian eksekusi.

Alih-alih menyalahkan exchange terdesentralisasi individu, Enso mengajak industri kripto yang lebih luas untuk melakukan riset lanjutan mengenai manipulasi simulasi transaksi.

“Jika simulasi transaksi bisa dimanipulasi sementara eksekusi nyata menceritakan kisah berbeda,” kata Costantini, “kita perlu cara yang lebih baik untuk memverifikasi apa yang benar-benar diterima pengguna.”