Penulis: Maher, Foresight News
Serangan peretas sedang menjadi "pembunuh nomor satu" bagi protokol kripto.
Pada 12 Agustus, pengguna X Juiceberg mengunggah tweet yang menyatakan bahwa data on-chain menunjukkan protokol Harmony telah dieksploitasi oleh celah keamanan. Penyerang secara ilegal mencetak sekitar 4 miliar token ONE (senilai lebih dari $3 juta) melalui blok kosong, yang merupakan 26% dari total pasokannya. Sekitar 2.8 miliar token di antaranya dengan cepat ditransfer ke bursa selama harga anjlok, sementara endpoint total suplai Harmony gagal mencerminkan pencetakan token tambahan ini, menyebabkan perbedaan antara pasokan on-chain aktual dan data yang dipublikasikan. Penyerang masih menyisakan sekitar 115 juta token (sekitar 2.9% dari jumlah yang dicetak) di on-chain, sementara sebagian besar sisanya telah masuk ke akun bursa, mungkin telah dijual atau disimpan di dompet deposit.
Setelah berita ini diumumkan, harga ONE anjlok dari $0.00118 ke terendah $0.00056, dan saat ini pulih ke $0.00078, dengan penurunan hampir 38% dalam 24 jam.
Harmony secara resmi kemudian merespons dengan retweet di platform X, menyatakan bahwa mereka sedang bekerja sama dengan tim dan beberapa bursa terkait untuk menghentikan dan membekukan dana yang terlibat; sementara itu juga mengembangkan tambalan perangkat lunak dan mengevaluasi opsi rollback jaringan.
Kemudian, pihak resmi lebih lanjut mengumumkan empat set alamat dompet terkait, dengan jelas meminta semua bursa untuk memblokir dan membekukan dana yang dapat ditelusuri kembali ke alamat-alamat ini:
- one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn
- one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4
- one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7
- one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy
Sekitar pukul 2 siang, pihak resmi mengumumkan penangguhan layanan jembatan lintas-rantai bridge.harmony.one karena insiden keamanan, dan meminta semua node validator untuk segera meningkatkan ke versi tambalan terbaru v2026.1.1. Penjelasan resmi menyatakan bahwa tambalan ini dapat mencegah pencetakan ilegal lebih lanjut, dan pembaruan selanjutnya akan dirilis untuk menangani token yang telah dicetak. Catatan rilis terkait sudah terlihat di GitHub.
Ini adalah kali ketiga dalam beberapa tahun terakhir Harmony mengalami masalah keamanan atau teknis besar yang langsung terkait dengan pasokan token. Pada Juni 2022, jembatan lintas-rantai Horizon-nya diserang, mengakibatkan kerugian aset sekitar $100 juta, dengan Biro Investigasi Federal AS kemudian mengaitkan insiden tersebut dengan kelompok peretas terkait Korea Utara. Pada Desember 2023, bug muncul di sistem staking, menyebabkan sekitar 146.3 juta ONE dicetak secara salah, melibatkan 74 alamat, dengan satu alamat menerima lebih dari 51 juta token, sebagian di antaranya kemudian ditransfer ke bursa. Saat itu, pihak resmi dengan cepat merilis tambalan dan mengambil tindak lanjut.
Dilihat dari volume pasar, meskipun peristiwa ini menyebabkan pengenceran pasokan yang signifikan dan fluktuasi harga yang tajam, skala kerugian absolutnya terbatas. Sebelum peristiwa ini, kapitalisasi pasar Harmony telah turun ke sekitar $17 juta, dan setelah peristiwa turun lebih lanjut ke tingkat $12 juta, menguap sekitar $5 juta. Pada tahun 2022, Total Value Locked (TVL) Harmony pernah mencapai puncak lebih dari $1.4 miliar. Data terbaru dari DefiLlama menunjukkan bahwa TVL-nya sekarang hanya tersisa kurang dari $170,000.
Menurut pemantauan CertiK Alert, hingga sekitar pukul 4 sore, jumlah token ONE yang dicetak secara tidak normal di jaringan Harmony telah melebihi 3 triliun token (senilai sekitar $2.34 miliar), melibatkan enam blok abnormal.
Pada tahap awal, penyerang memanfaatkan endpoint total suplai untuk menyembunyikan data pencetakan tambahan, dan blok-blok yang berbeda terus dipaketkan, sehingga data awal 4 miliar pencetakan tambahan jauh dari data yang sebenarnya.
Akun X BlockWatchdog dalam analisisnya terhadap peristiwa ini menyatakan bahwa penyerang memanfaatkan kesalahan logika serius dalam verifikasi tanda terima dan pemeriksaan tanda tangan lintas-shard Harmony, dengan sekali pukul memalsukan sekitar 3 triliun koin.
Harmony adalah rantai shard, transfer koin antar shard yang berbeda memerlukan "tanda terima" sebagai bukti. Peretas penyerang memalsukan tanda terima ini, dan yang tertulis di dalam tanda terima adalah:
Dari epoch yang sangat lama (epoch ke-100, sekarang sudah lebih dari 3000)
Tanda tangan semuanya kosong (tanda tangan nol)
Ditransfer dari alamat mati (0x00...dEaD)
Dalam kondisi normal, sistem seharusnya langsung menolak. Namun sistem memiliki dua kerentanan: pertama, pemeriksaan tanda tangan salah ditulis. Saat sistem memeriksa "apakah ada cukup banyak orang yang menandatangani", hanya melihat "berapa total jumlah orang di komite", bukan "berapa banyak orang yang benar-benar menandatangani". Hasilnya: selama jumlah anggota komite ≥4, bahkan dengan semua tanda tangan kosong bisa lolos. Sama seperti kunci pintu rusak, bisa didorong masuk begitu saja. Kedua, ada kerentanan dalam perlindungan anti-pengulangan. Pemeriksaan sistem terhadap "apakah tanda terima ini sudah digunakan?" untuk epoch lama bergantung pada bidang yang bisa diisi oleh penyerang sendiri. Jadi penyerang bisa berulang kali menggunakan tanda terima palsu yang sama, atau melewati pemeriksaan.
Dua kerentanan ini ditumpuk bersama, memungkinkan penyerang untuk mencetak triliunan koin sekaligus.
Hingga berita ini ditulis, pihak resmi belum mengonfirmasi apakah akhirnya akan melaksanakan rollback jaringan. Rollback berarti mengembalikan status rantai ke suatu titik sebelum serangan terjadi, yang secara teoritis dapat menghapus sebagian efek pencetakan ilegal. Namun, begitu sejumlah besar token telah memasuki bursa terpusat dan transaksi telah diselesaikan, efektivitas aktualnya akan sangat terbatas. Apakah bursa berhasil membekukan dana terkait, kemajuan penyebaran tambalan di antara node validator, serta rencana penanganan token yang telah dicetak, akan menjadi variabel inti yang menjadi perhatian pasar dalam jangka pendek.
Sebagai jaringan publik Layer 1 awal yang mengutamakan kinerja tinggi dan biaya rendah, Harmony pernah menempati posisi tertentu dalam narasi DeFi dan lintas-rantai. Serangkaian peristiwa keamanan yang beruntun ditambah dengan penyusutan kapitalisasi pasar jangka panjang telah menyebabkan perhatian terhadapnya di pasar kripto saat ini turun drastis.
Peristiwa ini sekali lagi memperlihatkan kerapuhan jaringan publik dengan kapitalisasi pasar kecil dalam mekanisme konsensus dan pasokannya, sekaligus mengingatkan peserta pasar untuk lebih hati-hati meninjau catatan keamanan historis dan aktivitas on-chain aktual proyek serupa saat mengevaluasinya.
