Dilaporkan platform peminjaman Ajna Protocol yang beroperasi tanpa oracle harga, kehilangan sekitar USD 775.000 dalam ETH. Pelaku kejahatan menggunakan sistem pencatatan internal platform untuk operasi likuidasi, bukan sumber data harga pihak ketiga, untuk serangan mereka.
Serangan ini mempengaruhi sejumlah pool likuiditas seperti syrupUSDC, wstETH, rETH, cbETH, WBTC, WETH/USDC, dan sDAI. Namun, hal ini memunculkan pertanyaan tentang aspek penting dari filosofi Ajna — ketiadaan oracle, tata kelola, dan pasar yang menentukan diri sendiri.
Pelaku kejahatan mengambil keuntungan tepat dari asumsi ini.
Oracle Ajna Sengaja Dibuat Bungkam
Sebagian besar protokol peminjaman menggunakan layanan eksternal seperti Chainlink untuk menentukan harga jaminan. Namun, Ajna sengaja tidak melakukannya. Bahkan, dalam dokumen teknisnya, protokol ini dijelaskan sebagai berikut:
"Protokol Ajna adalah sistem peminjaman, peminjaman, dan perdagangan non-kustodial, peer-to-peer, tanpa izin yang untuk berfungsinya tidak memerlukan tata kelola atau sumber data harga eksternal."
Sebagai gantinya, pemberi pinjaman menentukan suku bunga di mana mereka akan memberikan pinjaman, dengan mendistribusikan uang ke 'keranjang' jumlah tetap, dan kontrak menentukan kapan pinjaman harus dilunasi. Untuk memulai proses likuidasi, pihak yang memulai proses likuidasi juga harus menyetorkan jaminan likuidasi, yang mengatur denda keuangan jika likuidasi tidak berdasar.
MixBytes, yang berspesialisasi dalam keamanan, menjelaskan alasan untuk tidak menggunakan oracle:
"Sebagian besar serangan pada protokol DeFi disebabkan oleh manipulasi harga oracle, kesalahan dalam konfigurasi, dan masalah kontrol akses."
Solusi Ajna adalah menghilangkan titik kerentanan dan mempercayakan pekerjaan pada pool. Peringatan dari Defimon mengisyaratkan bahwa pelaku kejahatan fokus pada mekanisme internal ini — pencurian melalui manipulasi pelaporan likuidasi — dan bukan pada merusak oracle harga eksternal.
Peringatan yang Tidak Direspons, Berlangsung Satu Jam
Defimon mengklaim dapat mendeteksi "serangan yang dipersiapkan lebih dari satu jam sebelum transaksi pertama yang digunakan untuk mengeksploitasi kerentanan" dan melaporkannya ke Ajna melalui chat Discord proyek. Pada saat serangan dimulai, protokol belum diamankan.
Kemudian peretas melewati banyak pool. Menurut laporan, pool syrupUSDC menanggung kerugian sekitar USD 173.700 dari total kerugian sekitar USD 775.000.
Kerusakan bagi Ajna sangat besar. Menurut laporan DefiLlama saat itu, Total Nilai Terkunci (TVL) untuk Ajna V2 adalah sekitar USD 206.000. Pinjaman aktif bernilai sekitar USD 418.000, dan perubahan TVL selama 30 hari adalah -54.2%. Pada saat itu, kerugian yang dilaporkan dari serangan tersebut melebihi TVL Ajna. Data DefiLlama sejak itu telah berubah.
Meretas Kode atau Membuatnya Percaya pada Sesuatu yang Mustahil
Pertanyaan yang lebih penting adalah apakah pelaku kejahatan meretas kode Ajna atau menipu sistem agar menerima data palsu sebagai data yang valid.
Data yang tersedia menunjukkan bahwa yang terakhir adalah benar. Riwayat audit yang diterbitkan oleh Ajna mencakup temuan sebelumnya yang berkaitan dengan perhitungan 'keuntungan' dalam proses likuidasi, serta kasus pencatatan status 'keranjang' yang salah dan lainnya. Masalah-masalah ini dianggap telah diperbaiki; namun, mereka mengkonfirmasi adanya masalah yang berkaitan dengan logika likuidasi dan akuntansi.
Skema ini cukup umum. Cryptopolitan melaporkan kasus Moonwell, di mana pelaku kejahatan menggunakan sekitar USD 7 juta untuk melipatgandakan token tidak likuid MAMO hingga delapan kali, kemudian meminjam hampir USD 10 juta aset nyata dan akhirnya melarikan diri dengan sekitar USD 6 juta.
Menurut Nethermind, teknik serangan ini bekerja sebagai berikut:
"Mereka membuat kontrak menghitung harga yang terdistorsi dan memanfaatkannya sebelum transaksi selesai."
Ajna meninggalkan oracle, tetapi masih membutuhkan kontraknya untuk mempercayai perhitungannya.
Arsitektur V2 Menjadi Cerita Nyata
| Tahap | Titik Data |
|---|---|
| Sebelum Serangan | TVL Ajna V2 / Likuiditas Pool yang Terpengaruh |
| Pemicu | Transaksi Tidak Normal Pertama |
| Eksploitasi | Fungsi Kontrak + Aset yang Dimanipulasi |
| Transfer | Aset yang Ditransfer Keluar dari Protokol |
| Konversi | Pertukaran di DEX / Stablecoin yang Diperoleh |
| Pelarian | Bridge / CEX / Protokol Lain |
| Dampak Residual | Sisa Utang Macet atau Kemunduran Likuiditas |
| Pemulihan | Aset yang Dibekukan / Pemulihan Strategi 'Putih' / Respons Protokol |
| Sistem Metrik | Angka Saat Ini | Perubahan 30 Hari | Mengapa Ini Penting |
|---|---|---|---|
| Kerugian Eksploit Dilaporkan | TBD | — | Menunggu Investigasi Ajna/Konfirmasi Pencatatan Blockchain |
| TVL | $449,783 | -17.1% | Tindakan Penarik Modal, Masih Ditahan di Kontrak V2 |
| Pinjaman Aktif | $30,198 | Tidak Dilaporkan | Menunjukkan Utang yang Belum Dilunasi kepada Peminjam |
| Pool dengan Kontrak | 5 | — | Penyebut Berguna untuk Menentukan Apakah Insiden Tunggal atau Sistemik |
| Ethereum TVL | $425,825 | — | 94.7% dari TVL V2 |
| Arbitrum TVL | $8,552 | — | Eksposur Lintas Chain Lebih Kecil |
| Base TVL | $7,354 | — | Eksposur Lintas Chain Lebih Kecil |
| Rari TVL | $3,555 | — | Eksposur Lintas Chain Lebih Kecil |
| OP Mainnet TVL | $3,227 | — | Eksposur Lintas Chain Lebih Kecil |
Saat ini, Ajna V2 memiliki total nilai pinjaman sekitar USD 450.000 dan pinjaman aktif sebesar USD 30.200, dengan total nilai pinjaman turun 17.1% dalam 30 hari.
Metrik analitis yang berguna adalah bahwa pinjaman aktif hanya sekitar 6.7% dari total nilai pinjaman yang dilaporkan. Ini membuat pertanyaan kunci investigasi sangat menarik: apakah kerentanan yang diduga mempengaruhi pencatatan utang yang belum dilunasi, likuiditas yang disimpan, atau keduanya? Jadi, pertanyaan bermuara pada, 'Asumsi apa di V2 yang bisa dijadikan uang oleh pelaku kejahatan?'
Kolam Kecil di Tahun Rekor Pencapaian
Kerugian sebesar USD 775.000 kecil dibandingkan dengan peretasan kripto terbesar tahun 2026, tetapi ini sesuai dengan tren yang lebih luas.
TRM Labs mencatat 207 peretasan, jumlah tertinggi dalam periode enam bulan, dengan insiden tipikal sekitar USD 219.000. Lebih dari 100 kasus melibatkan eksploitasi kontrak dalam pekerjaan.
Pelanggaran infrastruktur dan masalah operasional hanya menyumbang sekitar 15% dari insiden, tetapi menyumbang sekitar 76% dari total kerugian.
Dengan demikian, kasus Ajna menggambarkan sisi lain dari masalah keamanan: kerugian tidak harus disebabkan oleh peretasan pertukaran besar-besaran atau kompromi kunci pribadi. Mereka dapat muncul dari asumsi yang mendasari logika peminjaman DeFi yang semakin kompleks.
end-content
