Seorang peretas menggunakan kontrak warisan untuk royalti di platform Polygon dan kabur dengan membawa cryptocurrency senilai sekitar $261.200 baru-baru ini. Perusahaan keamanan TenArmorAlert mengidentifikasi transaksi yang tidak biasa ini pada 23 Juni dan melacak transaksi eksploitasi tersebut.
Blockchain menunjukkan bahwa peretas melakukan serangan menggunakan transaksi blok Polygon 89.018.051. Menurut TenArmorAlert, peretas berhasil menarik sekitar $263.800 meskipun jumlah uang awal yang relatif rendah. Serangan ini menargetkan program royalti warisan dan bukan struktur fundamental blockchain Polygon.
Kesalahan Perhitungan dalam Kalkulasi Reward Memungkinkan Penarikan Berlebihan
Menurut TenArmorAlert, serangan ini dimungkinkan karena masalah dalam mekanisme perhitungan reward dan akuntansi reward. Perusahaan keamanan CertiK menemukan masalah pada fungsi Royal1155LD.beforeLdaTransfer() di dalam kontrak yang dieksploitasi.
Para peneliti menyatakan bahwa penyerang melakukan beberapa transaksi dengan nilai nol, memanipulasi perhitungan reward dan angka kepemilikan. Kerentanan ini memungkinkan penyerang untuk membuat saldo token tampak lebih tinggi dalam kondisi tertentu.
Defimon Alerts juga menyediakan penelitian lain oleh DecurityHQ. Dalam kasus ini, para ahli menyimpulkan bahwa kesalahan perhitungan royalti menyebabkan eksploitasi. Dengan cara ini, angka kepemilikan palsu memungkinkan klaim reward yang berlebihan. Selain itu, penyerang menggunakan pinjaman kilat (flash loan) untuk mengeksploitasi kontrak ini. Setelah melunasi jumlah yang dipinjam, penyerang mendapatkan sisa uang tersebut sebagai keuntungan.
Masih Rentan terhadap Ancaman Keamanan
Serangan terbaru ini muncul di tengah serangan-serangan serupa lainnya terhadap versi lama proyek keuangan terdesentralisasi (DeFi) serta penerapan kontrak pintar (smart contract) yang tidak aktif. Baru-baru ini, penyerang telah melakukan eksploitasi terhadap beberapa kontrak lama Huma Finance dan mencuri sekitar $101.400.
Para peneliti telah memperingatkan pengembang mengenai kemungkinan bahaya menyimpan versi lama kontrak pintar dengan dana yang masih tersedia. Tim harus mengaudit, memperbarui, menonaktifkan, atau sepenuhnya menghapus penerapan lama untuk mengurangi risiko serangan potensial. Para pengembang Polygon telah mengonfirmasi bahwa para penyerang belum dapat mengancam keamanan jaringan blockchain utama.
Sorotan Berita Crypto:
Eksploitasi SecondFi Membuka Kunci Dompet, Membahayakan Aset Cardano Senilai Lebih dari $20 Juta
