Chainflip telah kehilangan 736.442,17 USDT melalui enam pembayaran tidak sah setelah penyerang mengeksploitasi penanganan memo transaksi TRON-nya.
Chainflip menyatakan dalam pembaruan insiden pada 13 September bahwa serangan tersebut menargetkan integrasi TRON USDT-nya pada dini hari 12 September. Protokol lintas-rantai tersebut menghentikan operasinya sementara para pengembangnya menyelidiki transaksi dan menyiapkan perbaikan.
Satu swap pengguna sah senilai 115.654,41 USDT masih belum dibayar. Chainflip mengatakan dana tersebut masih tersimpan di vault-nya dan dapat dilepaskan setelah jaringan dimulai ulang. Protokol tersebut melaporkan bahwa tidak ada dana lain yang terpengaruh.
Angka kerugian dan urutan serangan merupakan temuan Chainflip saat ini. Belum ada penilaian keamanan independen yang mengkonfirmasi seluruh insiden yang dipublikasikan per 13 September.
Chainflip menggunakan memo transaksi untuk membaca instruksi swap yang terlampir pada transfer TRON. Pada sebagian besar blockchain lain yang didukung, protokol menerima instruksi melalui fungsi kontrak khusus.
Menurut laporan insiden, penyerang menemukan cara untuk melampirkan memo baru ke transaksi yang telah ditandatangani oleh validator Chainflip. Sistem Chainflip menafsirkan memo tambahan tersebut sebagai instruksi swap terpisah. Ketika instruksi baru tersebut tampaknya gagal, protokol mengeluarkan pengembalian dana.
Deposit asli sudah menghasilkan pembayaran. Pemrosesan memo yang diubah, oleh karena itu, menyebabkan Chainflip membayar deposit yang sama untuk kedua kalinya.
Chainflip mengaitkan cacat tersebut dengan pemrosesan memo transaksi TRON-nya sendiri. Protokol tersebut tidak melaporkan adanya kompromi pada blockchain TRON, kontrak pintar USDT, atau sistem cadangan Tether.
Penyerang mengulangi metode tersebut delapan kali dalam periode sekitar 90 menit. Chainflip mengatakan upaya awal menggunakan jumlah kecil. Setiap upaya selanjutnya hampir dua kali lipat dari ukuran upaya sebelumnya.
Hanya enam upaya yang menghasilkan pembayaran tidak sah dengan total 736.442,17 USDT. Protokol tersebut tidak mempublikasikan hash transaksi individual, alamat dompet tujuan, atau rincian enam pembayaran dalam laporan awal mereka.
Chainflip mendeteksi insiden tersebut setelah pembayaran USDT berikutnya mulai gagal. Para pengembang kemudian melacak kegagalan tersebut pada pemrosesan deposit berulang melalui memo yang diubah.
Protokol tersebut menangguhkan aktivitas jaringan saat memeriksa apakah kelemahan tersebut dapat memengaruhi aset atau integrasi lain. Tinjauan awal mereka menemukan bahwa eksploitasi tersebut terbatas pada TRON USDT dan dana vault yang tersisa aman.
Chainflip telah menggambarkan insiden ini sebagai peristiwa keamanan kritis pertamanya yang melibatkan uang yang diambil dari vault protokol. Masalah operasional sebelumnya belum menyebabkan kerugian yang sebanding dari vault tersebut, menurut proyek itu.
Jeda jaringan mencegah swap diselesaikan sementara pengembang menyiapkan restart. Chainflip belum melaporkan kerugian terpisah bagi pengguna yang transaksinya terganggu oleh penutupan.
Penangguhan darurat telah digunakan oleh layanan blockchain lain sementara pengembang mengisolasi kegagalan keamanan. Dalam liputan terkait, crypto.news melaporkan bahwa Liquid Network melanjutkan produksi blok setelah pembaruan darurat, sementara transfer dan operasi peg tetap dibatasi menyusul penarikan yang dilaporkan sebesar $320 juta.
Chainflip belum mengidentifikasi hubungan antara kedua insiden tersebut. Laporan Liquid Network berkaitan dengan sidechain Bitcoin yang terpisah dan sistem teknis yang berbeda.
Chainflip mengatakan pengguna yang terkena dampak akan diganti penuh, meskipun protokol tersebut belum memilih atau mempublikasikan metode penggantiannya hingga 13 September. Tim mengatakan beberapa opsi masih dalam peninjauan. Transaksi 115.654,41 USDT yang belum dibayar tidak termasuk di antara enam pembayaran tidak sah. Dananya tetap berada di vault, dan Chainflip berharap untuk memproses swap setelah operasi dilanjutkan.
Sementara itu, protokol telah memberi tahu pihak-pihak terkait tentang dana yang dicuri dalam upaya untuk melacak atau memulihkan hasilnya saat berpindah antara alamat dan layanan. Chainflip tidak menyebutkan nama pihak-pihak tersebut, mengungkapkan apakah penyerang menggunakan bursa terpusat, atau mengkonfirmasi bahwa USDT telah dibekukan.
Tether dapat membekukan alamat yang menyimpan tokennya ketika bertindak di bawah proses hukum atau penegakan hukum yang berlaku. Seperti yang dilaporkan crypto.news dalam liputan terpisah, Tether membantu pihak berwenang AS menyita lebih dari $52 juta dalam kripto selama tindakan Departemen Kehakiman yang tidak terkait.
Tidak ada pernyataan publik dari Tether atau TRON mengenai serangan Chainflip yang teridentifikasi pada saat publikasi. Pemberitahuan Chainflip tidak menyatakan apakah salah satu organisasi tersebut membantu melacak dana.
Protokol tersebut berencana untuk mulai menanggung kerugian pengguna setelah restart dengan aman. Pernyataan awal mereka tidak menetapkan tanggal pembayaran atau menjelaskan apakah kompensasi akan berasal dari aset perbendaharaan, asuransi, atau sumber lain.
Chainflip mengatakan perbaikan dasar telah selesai, tetapi pengembang masih perlu menetapkan prosedur restart yang tepat. Jaringan akan tetap dijeda "paling cepat hingga Senin," menjadikan 14 September sebagai tanggal pemulihan paling awal yang mungkin, bukan waktu peluncuran yang dikonfirmasi.
Sebelum dibuka kembali, tim berencana untuk menyelesaikan rencana restart teknis yang dirancang untuk menghindari masalah pemrosesan lebih lanjut. Chainflip belum mengungkapkan apakah validator akan memerlukan perangkat lunak baru, peningkatan terkoordinasi, atau pemungutan suara tata kelola.
Setelah sistem dilanjutkan, protokol berharap untuk memproses swap USDT 115.654,41 yang tertunda dan mulai menangani kompensasi untuk pengguna yang dananya dibayarkan kepada penyerang.
Laporan teknis lengkap akan menyusul setelah rencana restart dikunci dan jaringan beroperasi dengan aman, kata Chainflip. Protokol tersebut belum mengumumkan tenggat waktu publikasi untuk laporan tersebut.
USDT