Peretas menguras lebih dari $9 juta dari berbagai liquidity pool di XPR Network (XPR) hanya dalam 11 menit, dengan mengeksploitasi kontrak swap yang keliru menerima nilai penarikan bertanda negatif.
Poin Penting:
- Peretas menarik lebih dari $9 juta dari liquidity pool XPR Network hanya dalam sekitar 11 menit.
- Celah ada pada fungsi penarikan yang mengizinkan nilai negatif, sehingga pelaku bisa menggelembungkan saldo internal sebelum menukar menjadi token riil.
- Block producer menambal kontrak dan menyita sekitar 1,80 miliar XPR, sehingga sebagian besar token curian tetap tertahan di on-chain.
Rincian Eksploitasi Swap XPR Network
Serangan menyasar proton.swaps, kontrak swap on-chain jaringan tersebut, di mana pelaku menguras sekitar 1,56 miliar XPR senilai kurang lebih $4,03 juta. Fungsi penarikannya menerima nilai negatif. Ini memungkinkan pelaku mengerek saldo internal secara fiktif, lalu menarik token riil dengan “jaminan” itu — trik yang diulang di berbagai pool stablecoin, aset jembatan (bridged assets), dan lending hingga total kerugian menembus $9 juta.
Sekitar 563 juta XPR senilai kurang lebih $1,46 juta kemudian mengalir lewat protokol lending setelah pelaku meminjam dengan agunan stablecoin hasil curian, sehingga total token yang tersentuh mencapai sekitar 2,12 miliar XPR, atau sekitar 6,5% dari suplai beredar. Tambahan 764 juta XPR lagi, bernilai hampir $2 juta, belakangan dipindahkan ke alamat kedua.
Juga Baca: ETF XRP Catat Rekor Arus Masuk $1,7 Miliar Meski Harga Melemah 9 Minggu Beruntun
Harga XPR Jebol Area Support
Dampak serapan dana cepat terasa di pasar. Harga XPR tergelincir ke kisaran $0,0026 pada Minggu, turun sekitar 5,6% dalam 24 jam setelah sempat menyentuh level terendah dekat $0,00245, dan bertahan di bawah area $0,00271 yang sebelumnya berfungsi sebagai support. Token ini sempat diperdagangkan setinggi $0,00277 di sesi yang sama, sementara kapitalisasi pasarnya menyusut ke sekitar $74 juta.
Indikator RSI merosot ke 27,47, jauh di zona jenuh jual. Pembacaan ini mengindikasikan tekanan jual sepihak alih-alih penyesuaian harga yang sehat, dengan nilai transaksi harian sekitar $2,9 juta yang menunjukkan minat beli relatif tipis.
Nilai kerugian memang kecil jika dibandingkan dengan insiden DeFi terbesar tahun ini. Namun, pola kegagalannya lebih mengkhawatirkan ketimbang nominal, karena hanya satu pengecekan input yang absen membuat kerusakan merembet dari satu kontrak swap ke pool lending dan aset jembatan yang berbagi likuiditas sama. Pelaku tak membutuhkan flash loan atau manipulasi oracle — hanya memanfaatkan tanda minus yang tidak pernah ditolak kontrak.
Metallicus Membekukan XPR yang Dicuri
Block producer menambal kontrak pada 21:32 UTC dan sekitar dua jam kemudian menyita kurang lebih 1,80 miliar XPR, menempatkan token tersebut di bawah kendali komunitas. Hanya 319,5 juta XPR dari total sekitar 2,12 miliar token yang tersentuh serangan yang benar-benar keluar ke platform di luar jaringan.
Artinya, sebagian besar suplai yang terdampak secara teoritis masih dapat dipulihkan. Skenario ini dimungkinkan karena XPR Network menggunakan mekanisme delegated proof-of-stake, di mana sekelompok kecil produsen blok terpilih dapat melakukan intervensi langsung pada state jaringan. Jaringan ini memang sudah pernah menarik “tuas darurat” tersebut sebelumnya.
Metallicus, pengembang utama di balik XPR Network, sempat melaporkan adanya eksploitasi re-entrancy pada kontrak lending pada September 2024. Saat itu, mereka menghentikan sementara setoran, aktivitas pinjam-meminjam, dan likuidasi, membekukan dana terdampak, lalu membuka kembali layanan lending secara bertahap pada bulan berikutnya.
Baca Juga: Sam Altman Pastikan Tidak Akan Ada IPO OpenAI pada 2026, Menyalahkan Fokus pada Keamanan AI
