Berbagai Jenis Peretasan Kripto dan Mengapa Itu Terjadi

Mari kita ingat bahwa sistem keuangan cryptocurrency masih dalam tahap pengembangan dan jauh dari ideal. Banyak kelebihan DeFi justru berubah menjadi kekurangan yang selalu siap dimanfaatkan para penipu. Karena itu, belakangan ini semakin sering muncul berita seperti 'platform diretas dalam serangan flash-loan' tanpa penjelasan atau dengan penjelasan teknis. Dalam artikel ini, kita akan mencoba menjelaskan jenis serangan ini dan cara lain bagaimana blockchain bisa diretas.

Serangan Flash-Loan

Meskipun topik pinjaman kilat masih berkembang, sejumlah serangan berskala besar sudah pernah dilakukan. Karena flash loan tidak memiliki batas nominal dan tidak memerlukan jaminan, jutaan dolar dalam bentuk ETH dapat dipinjam untuk meraih keuntungan yang signifikan.

Untuk lebih memahami prosesnya, mari kita bahas fenomena flash loan itu sendiri, prinsip kerjanya, dan penggunaannya.

Flash Loan adalah alat yang memungkinkan pengguna DeFi meminjam sejumlah besar dana dalam aset digital tanpa jaminan untuk jangka waktu tertentu. Pinjaman tanpa jaminan berarti anggota tidak perlu memberikan bukti pendapatan dan kewajiban lainnya.

Pinjaman tanpa risiko seperti ini bekerja kira-kira seperti ini: pemberi pinjaman meminjamkan Anda uang sebanyak yang Anda inginkan, tetapi hanya untuk satu transaksi tertentu. Pada akhir transaksi tersebut, Anda harus mengembalikan kepada pemberi pinjaman sebanyak yang Anda pinjam.

Jika Anda tidak mampu melakukannya, transaksi akan dibatalkan secara otomatis! Dengan kata lain, pinjaman ini bersifat atomic: jika Anda tidak bisa melunasinya, semuanya akan kembali seperti semula, seolah-olah tidak pernah ada pinjaman.

Cara paling umum menggunakan flash loan untuk mendapatkan keuntungan adalah arbitrase. Ini adalah proses yang memanfaatkan perbedaan harga aset di dua pasar yang berbeda.

Cara lain untuk meraih keuntungan adalah "wash trade". Jenis perdagangan ini melibatkan pembelian dan penjualan aset untuk meningkatkan volume transaksi. Di pasar tradisional, prosedur seperti ini dilarang.

Serangan Flash Loan dapat berhasil jika penyerang mampu memanipulasi pasar sampai tingkat tertentu. Serangan ini dilakukan dengan mengarbitrase pump and dump dan/atau memanipulasi oracle. Biaya eksekusinya murah karena penyerang tidak menanggung kewajiban finansial.

Biasanya, serangan ini merupakan proses kompleks dengan banyak langkah yang dilakukan oleh pengguna DeFi yang sangat berpengalaman. Dalam banyak kasus, serangan ini melibatkan pengurasan liquidity pool yang diinvestasikan oleh pengguna biasa, sehingga banyak orang mengalami kerugian besar.

Selanjutnya, mari kita lihat beberapa serangan lain yang lebih umum terhadap blockchain.

Serangan 51% 

Ancaman paling dikenal terhadap jaringan blockchain. Nama serangan ini dianalogikan dengan saham pengendali dalam dunia bisnis. Masalahnya terletak pada protokol Proof-of-Work, yang digunakan oleh proyek seperti Bitcoin, Litecoin, Monero, dan lainnya. Intinya adalah bahwa beberapa penambang dengan hashrate besar dapat memperoleh "saham pengendali" di jaringan, yaitu mereka akan memiliki lebih dari separuh hashrate seluruh jaringan.

Kondisi seperti ini memungkinkan peretas melakukan serangan double-spending, di mana ia dapat menghabiskan jumlah yang lebih besar daripada yang ada di dompetnya. Akibatnya, blockchain diambil alih, dan semua dana peserta berpindah ke kepemilikan para peretas. Pada jaringan besar, kemungkinan serangan semacam ini beberapa kali lebih rendah karena jumlah peserta yang besar dan peralatan yang mahal.

Finney Hack

Penerima pertama transaksi bitcoin adalah Hal Finney dan dialah yang pertama berbicara tentang peluncuran bitcoin. Ia juga yang pertama mengusulkan kemungkinan serangan ganda terhadap jaringan. Karena alasan ini, serangan tersebut dinamai Finney Hack atau Finney Attack sebagai penghormatan kepadanya.

Finney Hack adalah jenis serangan double-spending, yang dapat terjadi ketika seseorang menerima transaksi yang belum terkonfirmasi secara online. Finney menjelaskan bahwa penambang dapat membuat blok yang berisi transaksi dari alamat A ke alamat lain B, di mana kedua alamat tersebut miliknya. Anda kemudian akan melakukan pembayaran lain dalam mata uang yang sama dengan mengirim dari alamat A ke alamat C (yang milik pengguna lain).

Jika pengguna tersebut menerima transaksi tanpa konfirmasi dari jaringan, penipu dapat melepaskan blok yang berisi transaksi awalnya. Hal ini membatalkan transaksi yang dilakukan oleh trader, sehingga penyerang dapat menggandakan biaya.

Serangan Race 

Jenis double-spending lainnya. Trader yang tidak berpengalaman dan tergesa-gesa dapat menyerahkan barang meskipun transfer gagal, karena ada percobaan transaksi. Beberapa penjual menggunakan "pembayaran ekspres" tanpa konfirmasi yang diperlukan untuk jumlah kecil. Di dompet pihak penerima, transaksi seperti itu akan berstatus "sedang diproses", dan pada penerima akan tertulis "belum dikonfirmasi."

Seorang penipu dapat memanfaatkan transfer semacam ini: mengirim transaksi baik ke node penjual maupun ke alamatnya di jaringan, tetapi hanya menyiarkan yang kedua ke blockchain. Transaksi terakhir akan dianggap valid saat pemeriksaan, dan transfer pertama akan dianggap tidak valid.

Untuk mencegah serangan seperti ini, tidak disarankan menerima koneksi masuk ke node dan sebaiknya menunggu beberapa konfirmasi transfer (3 konfirmasi untuk jumlah dari $1000 hingga $10,000, 6 — dari $10,000 hingga $ juta, dan untuk transaksi yang lebih besar lagi — hingga 60 konfirmasi).

Serangan Eclipse

Jenis serangan siber khusus ketika seorang peretas membentuk area buatan di sekitar satu node untuk mengendalikan tindakannya. Penyerang mengalihkan data keluar dan masuk dari node target ke miliknya sendiri, memisahkan pengguna yang tertipu dari jaringan yang sebenarnya.

Isolasi node target memungkinkan validasi transaksi ilegal atas namanya dan memutusnya dari pesan dengan node tetangga — peretas tidak perlu meretas seluruh jaringan, cukup hanya sejumlah kecil node. Untuk memblokir node, botnet atau jaringan hantu digunakan untuk memenuhi node dengan alamat IP guna sinkronisasi pada koneksi berikutnya.

Akibat serangan eclipse biasanya berupa serangan double-spending yang telah disebutkan di atas, serta kegagalan daya penambang ketika pengguna yang diretas menghabiskan listrik dan waktu untuk menyelesaikan persoalan blok buatan yang sebenarnya tidak ada di jaringan blockchain nyata.

Serangan Kerentanan Kriptografis

Para pakar keamanan siber mengatakan bahwa titik paling rentan dalam sistem apa pun adalah manusia, dan penipu memanfaatkan fakta ini. Konsekuensi lain dari faktor manusia disebut kesalahan dalam kode, yang jika ditemukan, penyerang dapat merusak seluruh jaringan.

Sebagai contoh, di Ethereum, seorang penipu menemukan celah keamanan dalam kode sumber dan menguasai sekitar $50 juta dalam koin, yang pada saat itu setara dengan sekitar 30% dari total volume koin. Karena insiden tersebut, komunitas terpecah menjadi dua kelompok. Kelompok pertama, yang dipimpin oleh pencipta Ether, marah atas pencurian tersebut dan mengusulkan untuk melakukan fork keras dan mengembalikan koin kepada pemilik sah. Lawan-lawan mereka yakin bahwa pemilik sebenarnya dari koin tersebut kini adalah peretas ("Code is law"). Akibatnya, komunitas mencapai kesepakatan untuk membuat soft fork. 

Social Engineering Crypto: Phishing

Teknik-teknik ini bergantung pada kerentanan manusia, bukan pada keahlian teknis seorang calon peretas. Teknik ini digunakan untuk memperoleh akses tanpa izin ke data sensitif, dompet cryptocurrency atau akun, atau untuk mendorong korban mengunduh malware ke komputer dan jaringan guna menimbulkan kerusakan lebih lanjut. Teknik semacam ini mencakup phishing, baiting, serangan quid pro quo, pretexting, dan tailgating.

Phishing adalah salah satu yang paling populer. Ini digunakan untuk mencuri private key, nomor kartu, rekening bank, dan data rahasia lainnya. Versi paling sederhana dari phishing cryptocurrency adalah email spam klasik yang seolah-olah dikirim oleh layanan web tertentu. Dalam kasus ini, surat dikirim atas nama situs dompet cryptocurrency atau bursa. 

Pesan palsu seperti itu terlihat jauh lebih rinci dan ditulis lebih rapi dibandingkan pesan phishing pada umumnya. Misalnya, ini bisa berupa peringatan keamanan yang menyatakan bahwa baru-baru ini seseorang mencoba masuk ke akun Anda dari browser tertentu dan seterusnya — ikuti tautannya untuk memeriksa apakah semuanya baik-baik saja. Pengguna sendiri bisa saja mengonfigurasi dan menerima pesan semacam itu di situs dompet — dan ia tidak akan menyadari sesuatu yang tidak biasa, apalagi yang salah.

Kesimpulan

Seperti yang Anda lihat, pasar crypto penuh dengan bahaya. Dalam artikel ini, kami hanya menjelaskan beberapa jenis potensi penipuan. Para pengembang terus bekerja untuk meningkatkan protokol keamanan. Namun selama sistem belum ideal, ada baiknya mengingat risiko yang mungkin terjadi dan tidak terpancing umpan.