Eksploit Curve Finance: Apa yang Telah Kita Pelajari darinya?

Baru minggu lalu, semua orang membahas insiden peretasan di decentralized Curve exchange. Sekarang semuanya tampak lebih baik, tetapi kita tetap perlu meninjau lebih dekat detail exploit tersebut untuk mencoba melihat pelajaran apa yang bisa dipetik darinya.

Gambaran Umum Insiden

Pada akhir Juli 2023, protokol DeFi Curve Finance telah dieksploitasi. Para penipu mendapatkan akses ke aset dari pool platform karena kerentanan dalam bahasa pemrograman smart contract Vyper, sebagaimana dikonfirmasi oleh para pengembangnya. Kerentanan tersebut memungkinkan penyerang membuat smart contract yang mengeksekusi transaksi tanpa otorisasi pengguna. Informasi tentang terobosan dalam sistem keamanan diposting di mikroblog protokol tersebut.

Kerentanan Curve Finance memungkinkan para penipu mengakses aset senilai lebih dari $47 juta. Selain itu, masalah pada Vyper memungkinkan penyerang melakukan serangan serupa pada blockchain bursa cryptocurrency Binance - BNB Smart Chain (BSC) - dan menarik aset senilai $73.000 darinya.

Apa Sebenarnya yang Terjadi pada Curve Finance?

Curve Finance mengalami hack signifikan yang terjadi dalam dua tahap. Awalnya, para hacker mencuri sekitar $26 juta akibat kerentanan reentrancy. Ini diikuti oleh tahap kedua serangan, selama 7,1 juta CRV ($4,4 juta) dan 7.680 Ether Wrapped ($14,37 juta) ditarik dari pool CRV-ETH Curve Finance.

Para hacker berhasil mengeksploitasi kerentanan pada versi bahasa pemrograman Vyper yang sudah usang. Akibatnya, TVL turun dari $3,26 miliar menjadi $1,72 miliar, yang berarti penurunan hampir 46% dalam periode 24 jam.

Apa itu Vyper?

Vyper adalah bahasa pemrograman berbasis Python yang berorientasi pada kontrak, dirancang untuk virtual machine Ethereum. Para pengembang telah mengidentifikasi bahwa exploit reentrancy ada pada versi 0.2.15, 0.2.16, dan 0.3.0.

Menurut analis Ancilia, sekitar 460 protokol menggunakan perangkat lunak yang rentan.

Menurut penyelidikan Curve, beberapa compiler kode menerapkan perlindungan re-login secara tidak benar, yang mencegah beberapa fungsi dijalankan secara bersamaan dengan memblokir kontrak. Kesalahan ini memungkinkan penyerang menarik dana dari beberapa proyek.

Proyek-proyek Curve DeFi, termasuk JPEG's, MetronomeDAO, deBridge, dan Ellipsis, terdampak oleh serangan tersebut. Pool dengan kerugian terbesar adalah alETH-ETH Alchemix, dengan nilai $13,6 juta.

Dampak pada Harga

Menurut DeFi Llama, total nilai terkunci Curve Finance per hari hampir terpangkas setengahnya - dari $3,25 juta menjadi $1,73 juta.

Akibat serangan tersebut, nilai token native Curve Finance (CRV) turun 14%, meskipun kini sudah pulih.

Founder platform crypto Matrixport, Jihan Wu, menyatakan dukungannya untuk proyek tersebut dan mengatakan bahwa ia telah membeli token CRV saat harga turun. Menurut pendapatnya, Curve Finance adalah salah satu infrastruktur terpenting dalam gelombang besar tokenisasi aset riil yang akan datang.

Upbit, bursa Korea Selatan terbesar, mengumumkan bahwa volatilitas CRV meningkat akibat serangan. Sebagai hasilnya, platform menangguhkan semua deposit dan penarikan koin.

“Likuiditas yang turun tidak pernah menjadi hal yang baik bagi pasar, terutama stablecoin, yang perlu diperdagangkan dalam kisaran yang sangat sempit,” kata Clara Medalie, direktur riset di Kaiko.

Dampak pada Sektor DeFi

Pada saat insiden terjadi, lebih dari 450 liquidity pool menggunakan versi Vyper yang rentan. Oleh karena itu, jumlah korban dan besarnya kerugian bisa jauh lebih tinggi.

Insiden tersebut mempengaruhi proyek Alchemix, JPEG's, MetronomeDAO, Ellipsis, dan deBridge.

Pool yang paling terdampak adalah:

• pETH/ETH, kerugian sebesar 6106,65 WETH;
• msETH/ETH - 866,55 WETH~ $1,6 juta) dan 959,71 msETH
• alETH/ETH - 7258,7 WETH~ juta juta) dan 4821,55;
• CRV/ETH - 7.193.401,77 CRV~ $5,1 juta pada saat insiden), 7680,49 WETH~ $14,2 juta) dan 2879,65 ETH

Selain itu, pool Arbitrum Tri-Crypto bisa terdampak. Auditor dan pengembang Vyper tidak dapat mengonfirmasi exploit tersebut, tetapi tim Curve menyarankan penyedia likuiditas untuk keluar sebagai tindakan pencegahan.

Meskipun tidak memungkinkan menerapkan tindakan darurat DAO untuk menghentikan pool atau memengaruhi dana pengguna, tetap dimungkinkan untuk menangguhkan emisi CRV tambahan. Michael Egorov, pendiri Curve Finance, mengatakan kepada Bloomberg bahwa industri DeFi akan bertahan dari hack ini. 

Reaksi Media dan Komunitas

Tweet yang Memperburuk Insiden

Dalam beberapa menit pertama setelah hack, analis dari BlockSec dan PeckShieldAlert membagikan cuplikan dari compiler Vyper open-source di jejaring sosial X (sebelumnya dikenal sebagai Twitter). Cuplikan ini mengungkap detail spesifik dari kerentanan tersebut.

Tweet-tweet ini memberi kesempatan bagi hacker pihak ketiga untuk “ikut meretas” dan memperburuk situasi. Tindakan semacam itu dikutuk oleh komunitas, dan postingan asli dihapus.

Setelah menghadapi gelombang kritik, perwakilan BlockSec menanggapi dengan menyatakan bahwa keputusan mereka untuk mempublikasikan tweet berisi detail serangan didorong oleh urgensi untuk segera memperingatkan komunitas, karena tim Curve Finance tidak dapat dihubungi.

Setidaknya sebagian karena aktivitas di Twitter, pool menjadi sasaran beberapa pencuri. Namun, di antaranya ada hacker “white hat”, berkat siapa proyek tersebut berhasil mendapatkan kembali sebagian dana yang dicuri. White Hat, yang beroperasi dengan nama samaran c0ffeebabe.eth, mengembalikan 2.879 ETH (senilai sekitar $5,4 juta) ke protokol decentralized finance (DeFi) Curve Finance. Uang tersebut dialihkan dari liquidity pool CRV-ETH selama exploit.

Dengan menggunakan bot MEV, sang defender berhasil mendahului penyerang, melindungi 2879 ETH. Ia kemudian mengembalikan jumlah ini ke Curve, menurut data terbaru.

Namun, jumlah yang dikembalikan hanya sebagian kecil dari total uang yang dicuri. Secara keseluruhan, kerentanan Curve Finance memungkinkan para penipu mengakses aset senilai lebih dari $47 juta. Selain itu, kerentanan di Vyper memungkinkan penyerang melakukan serangan serupa pada blockchain bursa cryptocurrency Binance - BNB Smart Chain (BSC).

Pandangan Anggota Komunitas

Secara umum, pada saat insiden, dikatakan bahwa situasi seperti ini berpotensi menimbulkan kepanikan yang belum pernah terjadi sebelumnya dan penurunan likuiditas di sektor DeFi. Namun, keadaan tampaknya sudah kembali terkendali untuk Curve Finance. Masalah compiler kini telah diselesaikan. Para pengembang menjelaskan bahwa penyerang harus “menelusuri secara menyeluruh” riwayat versi untuk menemukan masalah yang tidak langsung terlihat ini.

Analis JPMorgan telah menyimpulkan bahwa konsekuensi serangan Curve terhadap ekosistem DeFi tampaknya bersifat lokal.

Seorang peneliti DeFi bernama Ignas menyatakan bahwa insiden Curve Finance “telah mengikis kepercayaan pada decentralized finance.”

“Jika sebuah protokol yang telah berjalan tanpa masalah selama tiga tahun tiba-tiba mengalami exploit, itu menimbulkan kekhawatiran tentang keamanan platform mapan lain seperti AAVE, Compound, atau bahkan Uniswap.” Ada risiko besar yang terkait dengan peretasan Uniswap v4 karena desain monolitik smart contract-nya, karena semua aset akan langsung menjadi rentan, tambahnya.

Ignas mencatat bahwa beberapa protokol, yang aset sintetisnya bergantung pada likuiditas token CRV, mungkin berutang kepada pengguna. Secara khusus, ia menyebut likuidasi CRV, AAVE, Frax, dan Abracadabra, dengan total $100 juta, setelah serangan tersebut. Selain itu, menurutnya, insiden ini bisa memperlambat adopsi DeFi institusional.

Pada saat yang sama, Rune Christensen, co-founder MakerDAO, percaya bahwa exploit terbaru di Curve Finance akan menjadi “keruntuhan terakhir” sebelum pasar cryptocurrency mengalami pertumbuhan baru. Founder Nostra, David Garay, setuju dengannya: “Ini juga bisa menjadi titik balik ketika protokol lending akhirnya mulai melakukan pemantauan proaktif terhadap likuiditas online untuk setiap jenis agunan tertentu.”

Curve Hacker Mengembalikan Sebagian Aset yang Dicuri

Curve Finance menawarkan hadiah $1,85 juta untuk mengidentifikasi para hacker yang meretas platform tersebut agar mereka diadili. Tak lama kemudian, seorang hacker tak dikenal memulai pengembalian dana. Pada saat penulisan, ia telah mengembalikan aset senilai lebih dari $20 juta.

Dalam pesan terkait transaksi tersebut, hacker itu menjelaskan bahwa keputusannya bukan didorong oleh ketakutan tertangkap. Sebaliknya, hal itu didorong oleh keengganannya untuk menghancurkan proyek tersebut. Proyek JPEG's juga mengonfirmasi pengembalian 5.494 WETH (lebih dari $10 juta). Hacker tersebut menerima hadiah 10% sebesar 610,6 WETH ($1,1 juta).

Kesimpulan

Mengingat penggunaan CRV yang luas sebagai aset agunan, efek domino likuidasi bisa menjadi tantangan besar bagi sektor DeFi. Sektor ini masih belum sepenuhnya pulih dari bear market yang berkepanjangan.

Tetapi tampaknya para pengembang berhasil membatasi kerusakan akibat hack ini. Selain itu, CEO Curve Mikhail Egorov mengambil tindakan sendiri, melikuidasi asetnya untuk melunasi utang dan menghindari crash DeFi. 

Sayangnya, tidak semua cerita cryptocurrency berakhir positif. CertiK mengatakan bahwa hanya pada kuartal kedua 2023 saja, pencurian senilai $313,6 juta telah terjadi. Dari jumlah tersebut, kurang dari setengahnya dikembalikan, dan sebagian besar kejahatan tersebut belum terpecahkan.