Tiga proyek kripto mengalami kerugian gabungan lebih dari $11 juta pada 24 September, setelah Payy Network, Duelbits, dan Meter Network diserang dengan metode yang berbeda-beda.
Poin Penting:
- Payy Network kehilangan sekitar $1,8 juta setelah jembatan Ethereum dikuras, sementara Duelbits melaporkan kerugian sekitar $7 juta.
- Peretas Meter mencetak sekitar $2,3 juta aset tanpa jaminan dan menjual sebagian melalui PancakeSwap.
- Rangkaian insiden ini menyoroti risiko pada bridge, hot wallet, dan sistem verifikasi token.
Serangan ke Payy dan Duelbits
Payy Network, platform payroll dan manajemen kas on-chain, menghentikan operasional jaringannya setelah jembatan Ethereum (ETH) diserang, seperti dilaporkan dalam laporan awal. Peneliti on-chain Specter melacak aliran dana mencurigakan dari bridge tersebut dan menyebut pelaku menggunakan Railgun untuk pendanaan sebelum menukar sekitar $1,8 juta USD Coin (USDC) menjadi Ethereum. Payy menjelaskan bahwa aset yang terkuras merupakan dana non-kustodial milik pengguna Payy Network dan Payy Wallet.
Setelah itu, giliran Duelbits menjadi target. Firma analitik on-chain PeckShield awalnya memperkirakan kerugian sekitar $4,3 juta, sebelum Specter mengidentifikasi alamat tambahan yang terdampak di Bitcoin (BTC) dan Solana (SOL). Salah satu co-founder Duelbits kemudian menyebut total kerugian mendekati $7 juta dan menegaskan, “Dana pengguna aman.”
Insiden di Meter menggunakan skema berbeda. Menurut Blockaid, pelaku mengeksploitasi Meter Passport untuk mencetak sekitar $2,3 juta aset tanpa jaminan, lalu menjual sebagian melalui PancakeSwap. Harga MTR (MTR) anjlok hampir 80%, sementara MTRG (MTRG) turun sekitar 75%.
Juga Baca: Breakout Ethereum Bergantung pada Level $2.800 setelah Rebut Rata-Rata 200 Hari
Konteks Keamanan Versi Blockaid
Para peneliti keamanan menekankan bahwa ketiga insiden ini berasal dari titik kegagalan yang berbeda, bukan satu celah tunggal yang sama. Payy dalam tinjauan awal penyebab insiden menyatakan pelanggaran “BUKAN akibat kunci yang dikompromikan, rekayasa sosial, ataupun eksploitasi infrastruktur off-chain kami.” Di sisi lain, laporan terkait Duelbits justru mengarah pada kemungkinan kebocoran private key. Temuan Blockaid atas kasus Meter berfokus pada aksi pencetakan tidak sah melalui bridge.
Klaster serangan ini muncul di tengah investigasi Bitget atas transfer aset tanpa otorisasi yang awalnya diperkirakan sekitar $351,6 juta, yang mendorong bursa tersebut menghentikan sementara penarikan demi pemeriksaan keamanan. Perdagangan dan setoran tetap berjalan, dan bursa menegaskan saldo yang tampil di akun pengguna tetap akurat. Secara terpisah, KelpDAO menggugat LayerZero dan co-founder Brian Pellegrino terkait peretasan senilai $292 juta, menuduh adanya risiko tersembunyi dan kelemahan teknologi yang menyebabkan kerugian itu.
Insiden 24 September juga menghidupkan kembali kekhawatiran lama atas praktik keamanan di dua proyek tersebut. Duelbits sempat kehilangan sekitar $4,6 juta pada serangan 2024 yang oleh CertiK dikaitkan dengan kemungkinan kebocoran private key. Meter sendiri pernah mengalami eksploitasi bridge sekitar $4,4 juta pada 2022.
Baca Selanjutnya: Michael Saylor Ingin Bank Menjadikan Bitcoin Jaminan Sehari-hari
