$3.047M USDC Dihapus dalam Serangan Kontrak Keuangan Permintaan Palsu di Safe

Sebuah serangan phishing baru-baru ini telah menyebabkan kehilangan $3,047 juta USDC. Eksploitasi menargetkan dompet multisignature Safe. Sambil menggunakan kontrak Request Finance palsu. Para penyelidik mengatakan bahwa para penyerang merencanakan skema ini dengan hati-hati. Mereka menjalankannya dengan cara yang tampak hampir sah. Korban menggunakan dompet multi-tandatangan Safe 2-dari-4. Menurut Scam Sniffer, transaksi tersebut tampak diproses melalui antarmuka aplikasi Request Finance. Tetapi tersembunyi di dalam permintaan batch adalah persetujuan kontrak jahat.

Alamat kontrak palsu hampir identik dengan yang sah. Hanya ada perbedaan halus di karakter tengah. Keduanya dimulai dan diakhiri dengan karakter yang sama. Hal ini membuatnya sulit untuk diperhatikan sekilas. Untuk meningkatkan kredibilitas, para penyerang bahkan memverifikasi kontrak jahat tersebut di Etherscan. Langkah tambahan ini membuatnya terlihat autentik bagi siapa pun yang meninjaunya secara santai. Setelah persetujuan diberikan. Para penyerang segera menguras $3,047 juta USDC. Dana yang dicuri kemudian ditukar dengan ETH. Kemudian, ia dengan cepat dipindahkan ke Tornado Cash, membuatnya sulit untuk dilacak.

Timeline yang Direncanakan dengan Cermat

Garis waktu serangan menunjukkan persiapan yang jelas. Tiga belas hari sebelum pencurian, para penyerang menerapkan kontrak Request Finance palsu. Sementara mereka melakukan beberapa transaksi “batchPayments” untuk membuat kontrak terlihat aktif dan dapat dipercaya. Pada saat korban berinteraksi dengannya, kontrak tersebut tampak memiliki sejarah penggunaan yang normal. Ketika korban menggunakan aplikasi Request Finance, para penyerang menyelipkan persetujuan tersembunyi ke dalam transaksi batch. Setelah transaksi ditandatangani, eksploitasi sudah selesai.

Respons dari Permintaan Keuangan

Request Finance mengakui insiden tersebut dan mengeluarkan pernyataan yang memperingatkan pengguna. Perusahaan mengonfirmasi bahwa seorang pelaku jahat telah menerapkan tiruan kontrak Pembayaran Batch-nya. Menurut pernyataan tersebut, hanya satu pelanggan yang terpengaruh. Kerentanan tersebut telah diperbaiki. Namun, metode pasti yang digunakan untuk menyuntikkan persetujuan jahat masih belum jelas. Para analis percaya bahwa vektor serangan yang mungkin termasuk kerentanan dalam aplikasi itu sendiri. Juga, malware atau ekstensi browser yang memodifikasi transaksi, atau bahkan frontend yang dikompromikan atau pembajakan DNS. Bentuk lain dari injeksi kode tidak dapat dikesampingkan.

Masalah Keamanan yang Disorot

Kasus ini menunjukkan tren yang semakin meningkat dari penipuan di industri crypto. Penyerang tidak lagi bergantung pada tautan phishing dasar atau trik yang jelas. Sebaliknya, mereka menerapkan kontrak yang terverifikasi, meniru layanan nyata, dan menyembunyikan tindakan jahat di dalam transaksi yang kompleks. Transaksi batch, yang dirancang untuk menyederhanakan pembayaran, juga dapat menciptakan peluang bagi penyerang. Karena mereka mengelompokkan beberapa tindakan, menjadi lebih sulit bagi pengguna untuk meninjau setiap persetujuan atau transfer. Ketidakjelasan ini memungkinkan penyerang untuk menyelipkan operasi penipuan. Tanpa terdeteksi sampai sudah terlambat.

Pelajaran untuk Komunitas

Para ahli menekankan perlunya kehati-hatian ekstrem saat menggunakan multi-send. Atau bahkan menggunakan fitur pembayaran batch. Setiap persetujuan kontrak harus ditinjau karakter demi karakter untuk menghindari kebingungan dengan alamat yang terlihat mirip. Bahkan satu detail yang terlewat dapat mengakibatkan kerugian besar, seperti yang terlihat dalam kasus ini. Perusahaan keamanan juga merekomendasikan agar pengguna meminimalkan penggunaan ekstensi browser. Mereka juga dapat memeriksa aplikasi yang tidak diverifikasi yang terhubung ke dompet.

Memperbarui perangkat lunak, menggunakan dompet perangkat keras untuk persetujuan, dan memeriksa ulang alamat kontrak melalui sumber tepercaya. Ini dapat mengurangi risiko eksploitasi semacam itu. Insiden ini adalah pengingat untuk memperkuat perlindungan pengguna pada platform. Peringatan yang ditingkatkan, penandaan otomatis untuk kontrak yang mirip, dan peningkatan visibilitas transaksi dapat membantu mencegah serangan serupa.

Pengingat Yang Mahal

Kerugian sebesar $3,047 juta adalah pengingat lain tentang taruhan tinggi dalam keuangan terdesentralisasi. Sementara Safe dan Request Finance tetap menjadi alat yang populer. Para penyerang semakin memanfaatkan kompleksitas mereka. Bagi pengguna, kehati-hatian adalah satu-satunya pertahanan yang nyata. Dalam kasus ini, para penyerang mengandalkan ketelitian, persiapan, dan tipuan yang meyakinkan. Sayangnya, itu sudah cukup untuk menipu bahkan pengaturan multitandatangan untuk memberikan akses. Insiden ini menunjukkan bahwa dalam kripto, setiap klik dan setiap persetujuan sangat berarti.