Sonne Finance Menderita Eksploitasi $ 20 Juta, Hacker Melarikan Diri

Pemburu Harvey

Terakhir diperbarui:

15 Mei 2024, 07:30 WIB | Bacaan 3 menit

Pada 14 Mei, sekitar pukul 10:30 malam UTC, perusahaan keamanan Web3 Cyvers mendeteksi serangan yang sedang berlangsung terhadap kontrak USD dan Wrapped Ether (WETH) Sonne Finance, pada saat itu mereka hanya mencuri $3 dalam cryptocurrency.

🚨📷> Kami telah mendeteksi serangan terhadap @SonneFinance, $ 3 juta telah dicuri dari kontrak USDC dan WETH mereka.

Silahkan hubungi kami untuk informasi lebih lanjut. pic.twitter.com/tA4Heigfj7

— 🚨 Cyvers s 🚨 (@Cyverss) 14 Mungkin, 2024

Namun, Sonne Finance baru menyadari masalah ini 25 menit kemudian. Pada saat itu, mereka sudah kehabisan $ 20 juta WETH, Velo (VELO), soVELO, dan Wrapped USDC (USDC.e).

Pada 15 Mei pukul 12:11 UTC, Sonne Finance membuat pengumuman yang tidak jelas tentang X. Mereka mengatakan, “Semua pasar di Optimisme telah dihentikan sementara” dan bahwa “Pasar di Base aman.” Mereka juga mengatakan kepada pengguna bahwa lebih banyak informasi akan diberikan “seiring waktu.”

Semua pasar di Optimisme telah dihentikan sementara.

Markets on Base aman.

Kami akan memberikan informasi lebih lanjut seiring waktu.

— Sonne Finance (@SonneFinance) 15 Mei 2024

Segera setelah itu, protokol bermitra dengan Cyvers untuk menyelidiki situasi lebih lanjut.

Bagaimana Sonne Finance Dieksploitasi

3 jam setelah pengumuman awal mereka, Sonne menjelaskan situasinya lebih lanjut dalam siaran pers.

Rantai Optimisme Sonne Finance dieksploitasi melalui serangan donasi yang diketahui pada garpu Compound v2.

Sebelumnya, langkah-langkah dilakukan untuk memerangi masalah ini dengan faktor jaminan 0%, menambahkan agunan, dan membakarnya, sebelum secara bertahap meningkatkan faktor agunan berdasarkan proposal.

Namun, proposal baru-baru ini disetujui untuk mengintegrasikan pasar VELO ke Sonne. Transaksi dijadwalkan pada dompet multi-sig dengan timelock 2 hari.

Eksploitasi terjadi saat timelock berakhir, memungkinkan peretas untuk melakukan transaksi untuk penciptaan pasar dan menambahkan faktor jaminan.

Setelah uting pasar tidak terdeteksi, penyerang mampu mengeksploitasi protokol sebesar $ 20 juta. Namun, sisa $ 6,5 juta diselamatkan dengan menambahkan VELO senilai $ 100 ke pasar.

Sonne Finance bekerja untuk memulihkan dana yang dicuri, mempertimbangkan bug bounty untuk pengembalian mereka. Biasanya, hadiah 10% akan diberikan kepada pengeksploitasi untuk menemukan kelemahan keamanan. Mereka berkata:

“Kami siap memberikan bounty kepada pengeksploitasi serta tidak berkomitmen mengejar masalah ini lebih lanjut, jika mengembalikan dana.”

Namun, tampaknya tidak mungkin peretas akan mematuhinya. Menurut penyelidik blockchain PeckShield, pengeksploitasi telah memindahkan $ 7,8 juta ke alamat dompet baru.

Alamat berlabel pengeksploitasi > #PeckShield @SonneFinance telah mentransfer cryptos senilai $ 7,8 juta, termasuk 100 $ WBTC & 556,1 $ ETH, ke alamat baru 0x6277… 4c07 #Optimism pic.twitter.com/g4oiP5akr4

— PeckShield (@PeckShield) 15 Mungkin, 2024

Pengeksploitasi kemudian menukar 59 WBTC dengan sekitar 1.185 Ether dan 183.000 Dai. Langkah ini menunjukkan niat untuk mencuci dana yang dicuri melalui protokol privasi seperti Tornado Cash.

Tornado Cash dalam Kejahatan Kripto

Tornado Cash adalah tumbler cryptocurrency open-source, juga dikenal sebagai “crypto mixer.” Alat ini mengaburkan jalur transaksi kripto, sehingga sangat sulit untuk menentukan sumber asli dana.

Meskipun dibuat sebagai alat privasi, peretas sering menggunakan layanan pencampuran ini untuk mencuci dana curian melalui platform pertukaran yang terdesentralisasi.

Kripto mixer telah melihat adopsi yang signifikan dalam beberapa tahun terakhir. Pada Oktober 2023, lebih dari $77 juta aset diproses melalui kontrak Tornado Cash.

Namun, sebagian besar adopsi ini adalah dengan aset terlarang. Selama bertahun-tahun, peretas telah memilih layanan pencampuran kripto daripada pertukaran terpusat karena begitu mereka diidentifikasi, alamat diblokir oleh bursa.

Tornado Cash melewati ini, sebagai cara untuk melegitimasi sumber dana mereka dengan menghapus koneksi ke dompet yang diretas atau aktivitas kripto terlarang.

Baru-baru ini, pemantau sanksi PBB mencatat bahwa Korea Utara terlibat dalam pencucian $ 147,5 juta dalam cryptocurrency curian menggunakan Tornado Cash.

Hampir semua peretasan crypto multi-juta dolar teratas telah menggunakan Tornado Cash untuk mencuci hasil, sesuai laporan Arkham Intelligence.

Sesuatu yang menyebabkan Departemen Keuangan AS menjatuhkan sanksi pada Tornado Cash pada Agustus 2022. Akibatnya, para pendirinya didakwa dengan pencucian uang dan pelanggaran sanksi setahun kemudian.

Sementara pendapat dalam komunitas crypto bervariasi mengenai adopsi alat privasi, ada konsensus terhadap penganiayaan pengembang semata-mata untuk membuat aplikasi.

Meskipun penipuan dan penipuan terkait crypto sedang menurun, penting bagi pengguna untuk dididik tentang cara melindungi diri dari kejahatan crypto.

Ikuti kami di Google Berita