DAILYENERGI.COM — Peretas mengeksploitasi celah kontrak pintar Symbiosis dan menciptakan 46 miliar token syBTC palsu hanya bermodal 25 sen. Aksi ini menguras dana senilai USD 770.000 atau setara 9,97 BTC dari bursa terdesentralisasi yang menghubungkan puluhan jaringan blockchain. Insiden ini kembali menyoroti risiko keamanan kode terbuka di ekosistem keuangan terdesentralisasi.
Symbiosis, jaringan keuangan terdesentralisasi yang menghubungkan sekitar 50 rantai blockchain, menjadi korban eksploitasi kontrak pintar. Peretas menemukan dua celah sekaligus: kerentanan eskalasi hak istimewa yang tidak diungkap dan kelalaian mendasar berupa tidak adanya pengecekan nilai positif pada biaya transaksi.
Serangan berlangsung pada 11 September dan mengakibatkan kerugian sedikitnya USD 770.000. Modusnya terbilang sederhana, namun dampaknya besar bagi para penyedia likuiditas yang menaruh dana di kolam tersebut.
Bagaimana Celah Negatif Berujung Pada Pencetakan Token Palsu
Setelah berhasil mengambil alih hak administrator, peretas menetapkan biaya transaksi ke nilai negatif. Alih-alih memotong jumlah yang dipindahkan, biaya negatif itu justru menambah saldo secara otomatis.
Peretas hanya mengeluarkan 330 satoshi, unit terkecil Bitcoin, yang nilainya sekitar 25 sen. Dari modal itu, ia menerbitkan 46 miliar syBTC, token Bitcoin yang dibungkus dalam jaringan Symbiosis.
Sebagai perbandingan, jumlah maksimum Bitcoin yang secara teori beredar di seluruh dunia hanya 21 juta koin. Angka 46 miliar syBTC jelas jauh melampaui batas wajar dan tidak didukung cadangan aset apa pun.
Dana yang Terkuras dan Upaya Penyelamatan Aset
Meski tidak memiliki jaminan, token syBTC tetap bisa diperdagangkan. Peretas menjualnya ke berbagai pasangan wrapped Bitcoin seperti BTCB, cbBTC, WBTC, dan RBTC, lalu menguras kolam likuiditas tersebut.
Baru sekitar USD 336.000 yang berhasil dikonversi menjadi uang tunai melalui Uniswap sebelum aksesnya diputus. Sisa token wrapped BTC lainnya ditandai oleh firma keamanan dan bursa, sehingga menyulitkan peretas memanfaatkannya.
Namun, hal itu belum menjadi kabar baik bagi para korban. Sebagian token seperti cbBTC milik Coinbase diterbitkan entitas terpusat dan bisa dibatalkan lalu diterbitkan ulang lewat proses hukum, sementara RBTC tidak memiliki mekanisme serupa.
Respons Symbiosis dan Rencana Kompensasi
Symbiosis menyatakan niatnya mengembalikan dana yang terdampak. "Sebagian akan dikembalikan dari dana yang berhasil diselamatkan, dan setiap LP akan ditawari rencana kompensasi individual," ujar pihak proyek.
Dalam praktiknya, Symbiosis akan bernegosiasi dengan pemegang wrapped BTC besar di kolamnya. Mereka ditawari skema surat utang berbunga atau kombinasi paket kompensasi lain sebagai ganti likuidasi paksa.
Langkah itu dinilai lebih rasional. Memaksa likuidasi justru berpotensi mematikan jaringan sepenuhnya dan hanya menyisakan nilai receh bagi para pemegang aset.
Audit Ulang dan Pelajaran dari Kode Berisiko Tinggi
Symbiosis berencana menulis ulang logika sisi Bitcoin dan meminta audit independen sebelum kode baru diterapkan. Proyek ini juga mengklaim telah mengajukan audit menyeluruh terhadap seluruh sistemnya.
Pihak Symbiosis menyebut model AI yang canggih kini menurunkan biaya untuk menemukan celah semacam ini. Argumen itu valid, tetapi sulit diterima mengingat sifat kode yang berisiko tinggi karena menyangkut uang.
Yang lebih mendasar, seseorang tetap melewatkan pengecekan nilai negatif pada kode yang panjangnya hanya beberapa ribu baris. Kelalaian sederhana itulah yang membuka jalan bagi kerugian ratusan ribu dolar.
