Jembatan lintas-rantai yang menghubungkan jaringan Alephium (ALPH) ke Ethereum (ETH) dan BNB Chain kehilangan sekitar $815.000 dalam waktu sekitar tujuh menit setelah penyerang memaksa pesan palsu melalui backend-nya.
Poin-Poin Utama:
- Penyerang menguras sekitar $815.000 dari TokenBridge Alephium di dua chain hanya dalam sekitar tujuh menit.
- Mereka mencetak 13,76 juta wrapped ALPH tanpa jaminan, lebih besar dari seluruh pasokan wrapped sebelumnya di bridge.
- Alephium menyalahkan cacat backend off-chain, bukan kunci guardian yang dicuri, dan berjanji mengganti kerugian pengguna yang terdampak.
TokenBridge Alephium Terkuras dengan Cepat
Firma keamanan Blockaid pertama kali mendeteksi serangan pada 30 Mei, dengan satuan respons relawan SEAL 911 yang dengan cepat bergabung dalam investigasi. Penyerang mendorong persetujuan transfer palsu melalui TokenBridge di Ethereum dan BNB Chain, menguras cadangan, dan mencetak token baru.
Seluruh rangkaian kejadian hanya memakan waktu sekitar tujuh menit.
Di Ethereum, pencuri tersebut mengambil 200.967 Tether (USDT), 17.594 USD Coin (USDC), dan jumlah lebih kecil Wrapped Ether dan Wrapped Bitcoin, sementara sisi BNB Chain menyerahkan 36.750 USDT dan 24,386 Wrapped BNB. Dompet yang sama juga mencetak 13,76 juta wrapped ALPH tanpa ada ALPH asli yang dikunci di belakangnya.
Hasil jarahan itu melampaui seluruh pasokan wrapped sebelumnya di bridge, sehingga penyerang memegang koin yang seolah-olah muncul dari ketiadaan.
Juga Baca: Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
Cacat Off-Chain, Bukan Kunci Dicuri
Laporan awal menyebut pelanggaran itu terjadi karena tiga dari empat kunci guardian dikompromikan, tetapi Alephium kemudian menyatakan bahwa penyebab sebenarnya adalah bug off-chain di backend bridge, dan Blockaid melunakkan pembacaan awalnya untuk menyesuaikan. Proyek ini menjalankan fork privat dari sistem pesan Wormhole dengan hanya empat penanda tangan, sehingga cacat yang sama bisa saja mengintai di bridge lain yang dibangun di atas kode serupa.
Perubahan penyebab ini mengubah cara memandang seluruh insiden.
Alephium Berjanji Mengganti Kerugian Pengguna
Alephium telah menghentikan operasi bridge, mendesak pemegang untuk menarik likuiditas dari pool ALPH, dan menjanjikan jalur pemulihan bagi pengguna yang koinnya tetap terkunci di dalam. Dengan bridge dalam keadaan offline, penyerang tidak dapat mendorong kembali wrapped ALPH tanpa jaminan melalui bridge tersebut, dan dana curian tetap tidak bergerak di dompet pada saat pengungkapan. Tim mengatakan sedang mempertimbangkan setiap opsi untuk memulihkan kerugian pengguna, dengan laporan postmortem lengkap dijadwalkan minggu ini.
Pelanggaran ini memperpanjang periode berat bagi jembatan lintas-rantai, infrastruktur yang memindahkan aset antar blockchain terpisah.
Serangan terbaru pada Verus-Ethereum bridge drained about $11.58 million, dan taktik pesan palsu tersebut menggemakan kerugian Wormhole lebih dari $320 juta beberapa tahun sebelumnya. Satu hitungan memperkirakan bahwa Mei mencatat lebih dari $52 juta kripto yang dicuri di seluruh sektor.
Read Next: ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800