Kerentanan Kontrak Pintar: DAO, DeFi, dan Serangan Re-entry

Ruang keuangan terdesentralisasi telah menunjukkan pertumbuhan eksponensial selama setahun terakhir, meningkat dari total $540 juta yang tercatat pada Maret tahun lalu menjadi lebih dari $47,6 miliar pada saat artikel ini dirilis.

Pertumbuhan ranah DeFi telah membuka peluang baru bagi pengguna, pengembang, dan industri secara keseluruhan, tetapi juga membawa risiko baru yang mungkin tidak diketahui investor, namun tetap harus mereka hadapi.

Sebagian besar protokol DeFi dibangun di atas blockchain Ethereum. Ethereum adalah mata uang kripto terbesar kedua berdasarkan kapitalisasi pasar, hanya kalah dari Bitcoin. Berkat Ethereum, khususnya penggunaan smart contract yang Turing-complete, proyek-proyek blockchain menjadi lebih dapat diprogram.

Smart contract, pada dasarnya, adalah kontrak yang dieksekusi sendiri. Kode yang ditetapkan dalam kontrak ini memungkinkan Anda menjalankan transaksi dan perjanjian yang telah ditentukan secara otomatis antara pihak-pihak pseudonim dalam parameter tertentu dan tanpa risiko terhadap pihak lawan.

Kontrak yang mengeksekusi sendiri ini pertama kali diajukan pada 1994 oleh Nick Szabo, pencipta Bit Gold, pendahulu Bitcoin, dan memungkinkan terciptanya banyak aplikasi terdesentralisasi yang membuka peluang baru bagi pengguna cryptocurrency, baik itu penerbitan stablecoin yang dibangun وفقa dengan algoritma tertentu, penerbitan pinjaman kripto, atau pinjaman dengan jaminan kripto. Dan ini baru sebagian kecilnya.

Bursa terdesentralisasi dengan model tata kelola terdesentralisasi hanya menjadi mungkin berkat smart contract semacam itu, yang kemudian memunculkan dunia digital baru, yang menghasilkan produk seperti Binance Smart Chain, Polkadot, dan Avalanche.

Protokol seperti Aave, Compound, Uniswap, dan 1 Inch.exchange memungkinkan pengguna memperoleh bunga atas investasi mereka dan memperdagangkan aset kripto bahkan instrumen kompleks seperti derivatif terdesentralisasi.

Semua produk baru yang menarik ini telah menciptakan sektor DeFi yang disebutkan di atas, yang sedang mengguncang dunia keuangan dan memungkinkan institusi keuangan tradisional menghasilkan uang.

Wilayah baru yang penuh peluang ini, seperti telah disebutkan, dikendalikan oleh kode yang ditulis oleh para pengembang smart contract. Sebagian besar proyek DeFi memiliki kode sumber terbuka dan bahkan menjalani peer review serta audit, sementara yang lain justru tidak. Sering kali, bahkan dalam kode yang telah diuji, masih dapat ditemukan kerentanan yang memungkinkan penggunaan vektor serangan yang tidak diketahui, yang menyebabkan kerugian besar bagi perusahaan dan pengguna biasa.

Bagaimana Kerentanan Smart Contract Mempengaruhi Pengguna?

Untuk menjamin keamanan smart contract, Anda hanya dapat menganalisis semua kemungkinan pelaksanaannya. Saat mengeksekusi smart contract dalam bahasa yang Turing-complete, Anda harus memastikan bahwa program komputer tersebut tidak mengandung bug, yang hampir mustahil. Karena itu, saat menggunakan atau membuat smart contract, Anda harus mengauditnya.

Kerentanan dalam smart contract Ethereum dapat menimbulkan konsekuensi yang katastrofik. Meskipun protokol seperti Aave dikelola oleh para profesional dan diperiksa secara berkala, kerentanan keamanan tetap menimbulkan risiko serangan peretas dengan kerugian aset kripto dalam jumlah besar, sehingga berdampak negatif pada kepercayaan investor terhadap protokol dan kemudian menyebabkan kerugian finansial bagi pengguna/perusahaan serta volatilitas harga.

Kerentanan ini berasal dari kompleksitas bahasa smart contract asli Ethereum dan sistem akuntansinya yang, tidak seperti sistem UTXO milik Bitcoin, jauh lebih fleksibel dan karenanya lebih rentan terhadap kerentanan tambahan dan vektor serangan.

Karena Solidity dan bahasa smart contract lainnya masih baru dan sangat kompleks, tidak tepat jika menyalahkan kerentanan ini pada para pengembang.

Ada lebih dari 80 platform DeFi yang dibangun di atas Ethereum, dengan proyek-proyek baru diluncurkan setiap minggu. Smart contract yang mereka gunakan pasti memiliki kerentanan, terutama jika tidak ditulis dan diuji dengan benar.

Sebuah investigasi yang dilakukan oleh CyberNews mengungkap bahwa hampir 3.800 smart contract Ethereum memiliki kerentanan yang memungkinkan penyerang mencuri aset kripto senilai setidaknya $1 juta. Studi tersebut juga menunjukkan bahwa terdapat total 13 jenis kerentanan yang berbeda, dan empat di antaranya sangat mungkin dieksploitasi oleh peretas.

Platform Avalanche yang populer menemukan kerentanan awal tahun ini. Jadi, selama peluncuran bursa terdesentralisasi Pangolin yang baru dan overload jaringan, terjadi kesalahan yang menyebabkan kegagalan penerbitan, yang memicu kepanikan luas. Platform terkenal lainnya, termasuk Solana, Flow, Zilliqa, dan Fantom, ternyata juga memiliki kesalahan dalam kontrak mereka.

DAO dan Serangan Re-Entry

Re-entry adalah kerentanan umum pada smart contract. Meskipun dapat ada dalam smart contract di berbagai platform blockchain, kerentanan ini paling sering dikaitkan dengan blockchain Ethereum.

Serangan re-entry paling dikenal melalui peretasan DAO yang terkenal pada 2016 di blockchain Ethereum.

Kesalahan pertama dan paling katastrofik dalam smart contract terjadi pada 2016. Decentralized Autonomous Organization (DAO) bekerja dengan smart contract dan saat itu mengumpulkan lebih dari $150 juta.

Seorang penyerang yang tidak dikenal berhasil menarik ether (ETH) yang terkumpul melalui crowdfunding. Besarnya kerugian mencapai lebih dari $150 juta.

Kasus ini adalah contoh paling terkenal dari serangan Re-entry. Serangan berulang berarti penyerang mengirim transaksi, yang mengakibatkan kontrak dieksekusi berulang kali hingga sumber daya akun kontrak habis.

Jika proyek yang meminta pendanaan menerima dukungan yang cukup dari komunitas DAO, alamat Ethereum dari proyek tersebut dapat menarik ether dari DAO. Sayangnya bagi DAO, mekanisme transfer memindahkan ether ke alamat eksternal sebelum memperbarui status internalnya dan mencatat bahwa saldo sudah ditransfer. Hal ini memungkinkan penyerang mengeluarkan lebih banyak ether.

Total 3,6 juta ETH ditarik dari dompet DAO. Kini, token ini bernilai lebih dari $6,4 miliar. Peretasan tersebut menyebabkan hard fork yang memecah jaringan menjadi dua bagian: Ethereum dan Ethereum Classic.

Meski sebagian pihak setuju bahwa yang terbaik adalah mengurangi kerugian dan memindahkan dana ke alamat yang dapat diakses oleh pemilik aslinya, yang lain berpendapat bahwa imutabilitas blockchain tidak boleh dilanggar, karena jika tidak hal itu akan menyebabkan perpecahan teknologi dan ideologis di dalam komunitas.

Blockchain Ethereum asli, yang kini dikenal sebagai Ethereum Classic, membiarkan token yang dicuri dari DAO tetap berada di tangan peretas, dengan memilih imutabilitas, sementara Ethereum memungkinkan komunitas melakukan pemungutan suara dan mengembalikan dana kepada pemilik aslinya, dengan mengutamakan konsensus blockchain.

Contoh Lain Serangan Re-entry Selain DAO

Namun, kerentanan ini juga ditemukan dalam berbagai peretasan smart contract, termasuk beberapa protokol DeFi.

Beberapa contoh peretasan DeFi terbaru yang melibatkan kerentanan re-entry meliputi:

• Fei Protocol: Pada April 2022, protokol Fei menjadi korban peretasan senilai sekitar $80 juta yang dimungkinkan melalui penggunaan kode pihak ketiga yang mengandung kerentanan re-entry.
• Paraluni: Peretasan smart contract Paraluni pada Maret 2022 menggunakan kerentanan re-entry dan verifikasi yang buruk terhadap data pengguna yang tidak tepercaya untuk mencuri token senilai sekitar $1,7 juta.
• Grim Finance: Pada Desember 2021, kerentanan re-entering pada fungsi safeTransferFrom Grim Finance digunakan untuk memperoleh token senilai sekitar $30 juta.
• The SIREN Protocol: Kerentanan re-entry pada smart contract pool AMM dari protokol SIREN digunakan pada September 2021 untuk token senilai sekitar $3,5 juta.
• CREAM Finance: Pada Agustus 2021, penyerang menggunakan eksploit re-logging untuk masuk ke sistem integrasi token AMP CREAM Finance dan mencuri token senilai sekitar $18,8 juta.

Itu jauh dari satu-satunya contoh peretasan DeFi yang mengeksploitasi kerentanan saat re-entry. Meskipun ini merupakan risiko yang sudah lama dikenal dan banyak dipublikasikan, kerentanan re-entry masih muncul dalam smart contract baru hingga saat ini.

Yuk, Kita Simpulkan

Kepercayaan baik dari pengguna biasa maupun investor besar terhadap konsep DeFi itu sendiri akan bergantung pada bagaimana industri kripto menghadapi tantangan seperti ini.

Apa yang terjadi sekarang adalah hal yang wajar dan dalam waktu dekat akan meningkatkan tingkat keamanan proyek blockchain, namun secara berkala kita masih akan melihat berita tentang serangan peretas yang berhasil.