Bursa kripto Korea Selatan Upbit mendaftarkan Cluster Protocol dan Useless Coin pada 8 September tetapi membatalkan debut terjadwal Hemi setelah mengidentifikasi bukti pencurian token.
Upbit awalnya mengumumkan bahwa perdagangan HEMI dan USELESS akan dimulai terhadap Bitcoin dan Tether pada pukul 21:30 Waktu Standar Korea. Bursa tersebut kemudian memperbarui pemberitahuannya pada pukul 21:12, 18 menit sebelum pembukaan yang direncanakan, untuk membatalkan dukungan HEMI.
Bursa tersebut mengatakan kerentanan keamanan telah dieksploitasi pada hari sebelumnya dan token HEMI tampaknya telah dicuri. Upbit mengatakan telah meninjau bagaimana insiden tersebut dapat mempengaruhi perdagangan sebelum memutuskan untuk tidak membuka pasar.
Hemi mengkonfirmasi bahwa seorang penyerang mengeksploitasi kontrak Genesis Drop lamanya pada pukul 03:36 UTC pada 7 September. Laporan post-mortem proyek tersebut mengatakan sekitar 124,5 juta token HEMI yang tidak diklaim telah dihapus.
Penyerang menggunakan kerentanan reentrancy dalam kontrak MerkleBox yang dimodifikasi. Menurut Hemi, kontrak tersebut membuat penguncian token sebelum memperbarui saldo yang dapat diklaim yang tersisa. Ini juga memungkinkan pengguna untuk mengkonfigurasi grup klaim dengan kontrak penguncian khusus.
Penyerang membuat grup klaim berbahaya dan berulang kali memanggil fungsi klaim sebelum akuntansinya diperbarui. Operasi tersebut menggunakan pinjaman kilat (flash loan) dua juta HEMI dan secara rekursif mengeksekusi proses klaim sebanyak 63 kali.
Hemi mengatakan penyerang menjual sekitar 80,15 juta HEMI seharga sekitar 158.200 USDT dan 41,4 juta lainnya seharga sekitar 84.900 USDC. Sekitar 2,95 juta HEMI ditukarkan dengan 0,3442 hemiBTC.
Penjualan tersebut pada akhirnya menghasilkan sekitar $255.000 dalam stablecoin. Penyerang memindahkan dana tersebut melintasi Ethereum, Arbitrum, BNB Chain, Optimism, Avalanche, dan Polygon sebelum mengkonversi sebagian besar hasilnya menjadi Ether.
Hemi mengatakan serangan itu hanya melibatkan kontrak klaim Genesis Drop. Dikatakan bahwa token HEMI dan veHEMI, Hemi Virtual Machine, terowongan asli, dan sistem jembatan pihak ketiga tidak terpengaruh. Ini adalah pernyataan proyek berdasarkan penyelidikan internalnya.
Cluster Protocol mulai diperdagangkan pada pukul 14:30 waktu Korea di pasar KRW, BTC, dan USDT Upbit. Deposit dan penarikan hanya didukung melalui Base menggunakan kontrak yang ditentukan Upbit.
Upbit menggambarkan Cluster Protocol sebagai infrastruktur kecerdasan buatan yang menghubungkan model, data, komputasi GPU, dan agen AI melalui satu antarmuka dan sistem pembayaran onchain. CP mendukung pembayaran, staking, dan insentif peserta dalam protokol.
Bursa awalnya membatasi pembelian CP selama sekitar lima menit. Pesanan jual dengan harga setidaknya 10% di bawah harga penutupan sebelumnya juga dibatasi selama periode tersebut. Hanya pesanan limit yang tersedia selama dua jam pertama.
Perdagangan USELESS dilanjutkan terhadap BTC dan USDT pada pembukaan yang direncanakan pukul 21:30. Upbit hanya mendukung deposit dan penarikan melalui Solana.
USELESS tidak mengklaim utilitas teknis. Upbit menggambarkannya sebagai meme coin yang berfokus pada komunitas yang dibangun di sekitar ide satir yang menjanjikan tidak ada produk atau peta jalan pengembangan terpusat.
Dua listing ini menyusul perluasan pasar token kecil Upbit baru-baru ini. Dalam liputan terkait, bursa tersebut menambahkan delapan pasangan perdagangan untuk empat altcoin pada bulan Agustus. Upbit juga baru-baru ini memperkenalkan akses langsung won Korea untuk beberapa token.
Hemi mengatakan pihaknya mengidentifikasi kerentanan tersebut sekitar dua jam 44 menit setelah eksploitasi terjadi. Proyek tersebut menghubungi mitra dan kemudian merujuk insiden tersebut ke layanan respons keamanan SEAL 911.
Proyek tersebut mengatakan tidak ada HEMI yang dicuri yang tersisa di bawah kendali penyerang karena token tersebut telah dijual. Namun, sebagian besar hasil konversi tetap berada di alamat Ethereum yang terkait dengan penyerang saat Hemi menerbitkan laporannya.
Hemi tidak mengumumkan penggantian rugi, batas waktu pemulihan, atau pengembalian dana yang dinegosiasikan. Dikatakan bahwa pihaknya sedang melacak hasilnya, bekerja sama dengan penegak hukum dan perusahaan keamanan, serta menjajaki opsi pemulihan.
Bursa lain mungkin melakukan tinjauan mereka sendiri. Bithumb menempatkan HEMI di bawah peringatan investasi setelah mengidentifikasi penarikan abnormal dari kontrak Genesis Drop. Proses itu dapat menyebabkan pembatasan tambahan kecuali proyek tersebut mengatasi kekhawatiran bursa.
Upbit mengatakan akan memperkuat prosedur peninjauan pra-listingnya setelah membatalkan perdagangan HEMI. Bursa tersebut tidak memberikan tanggal listing baru, dan pembatalan berarti HEMI akan memerlukan penilaian ulang sebelum peluncuran Upbit di masa mendatang.
Tindakan ini muncul saat regulator Korea Selatan terus memeriksa keamanan bursa dan perlindungan konsumen. Seperti yang dilaporkan crypto.news, pihak berwenang telah membuka proses sanksi terhadap operator Upbit, Dunamu, atas pelanggaran dompet terpisah yang dilaporkan pada November 2025.
