Hanya dengan 200 Ribu, Hacker Raup Hampir 100 Juta, Serangan Lagi Terjadi pada Stablecoin DeFi

marsbitDipublikasikan tanggal 2026-03-22Terakhir diperbarui pada 2026-03-22

Abstrak

Serangan terhadap Resolv Labs, platform stablecoin USR berbasis strategi delta-neutral, terjadi pada pukul 10:21 waktu Beijing. Peretas dengan alamat awal 0x04A2 berhasil mencetak 50 juta USR hanya dengan 100.000 USDC, menyebabkan nilai USR anjlok ke $0.25. Setelah itu, peretas kembali mencetak 30 juta USR dengan 100.000 USDC tambahan. Akibatnya, beberapa platform peminjaman seperti Morpho dan Lista DAO di BNB Chain terdampak signifikan. Penyebab serangan diduga karena kontrol tidak sah terhadap SERVICE_ROLE yang seharusnya dipegang oleh pihak proyek. Sistem mempercayai parameter yang diberikan tanpa verifikasi on-chain atau batas maksimal pencetakan, memungkinkan peretas mencetak USR dalam jumlah besar secara tidak wajar. Resolv Labs juga dikritik karena lambat merespons, membutuhkan 3 jam untuk menghentikan protokol akibat prosedur multi-signature yang rumit. Peretas telah mengonversi USR yang dicuri ke USDC, USDT, dan ETH, menghasilkan keuntungan sekitar $20 juta dari modal awal $200.000. Insiden ini menekankan pentingnya verifikasi berlapis dan mekanisme pencegahan yang lebih efisien dalam desain protokol DeFi.

Ditulis oleh: Eric, Foresight News

Sekitar pukul 10:21 waktu Beijing hari ini, Resolv Labs, yang menerbitkan stablecoin USR menggunakan strategi delta netral, diserang oleh hacker. Alamat yang dimulai dengan 0x04A2 menggunakan 100.000 USDC untuk mencetak 50 juta USR dari protokol Resolv Labs.

Seiring terungkapnya peristiwa ini, harga USR langsung anjlok ke sekitar $0,25, dan pada saat penulisan ini, telah pulih ke sekitar $0,8. Harga token RESOLV juga mengalami penurunan tertinggi hampir 10% dalam waktu singkat.

Kemudian, hacker melakukan hal yang sama lagi dengan menggunakan 100.000 USDC untuk mencetak 30 juta USR. Seiring dengan terlepasnya pasak (depegging) USR secara signifikan, pedagang arbitrase juga cepat bertindak. Banyak pasar pinjaman di Morpho yang mendukung USR, wstUSR, dll. sebagai jaminan hampir habis dilahap. Lista DAO di BNB Chain juga telah menghentikan permintaan pinjaman baru.

Yang terkena dampak tidak hanya protokol pinjaman ini. Dalam desain protokol Resolv Labs, pengguna juga dapat mencetak token RLP, yang memiliki fluktuasi harga lebih besar dan imbal hasil lebih tinggi, tetapi bertanggung jawab untuk memberikan kompensasi ketika protokol mengalami kerugian. Saat ini, jumlah token RLP yang beredar hampir 30 juta, dengan pemegang terbesar Stream Finance memegang lebih dari 13 juta RLP, dengan eksposur risiko bersih sekitar $17 juta.

Benar, Stream Finance, yang sebelumnya sudah terkena imbas sekali karena xUSD, mungkin akan terkena pukulan lagi.

Pada saat penulisan, hacker telah mengonversi USR menjadi USDC dan USDT, dan terus membeli Ethereum, dan telah membeli lebih dari 10.000 ETH. Dengan 200.000 USDC, hacker menguangkan aset senilai lebih dari $20 juta, menemukan 'token 100x' miliknya selama pasar bearish.

Sekali Lagi, Dimanfaatkan karena 'Tidak Ketat'

Penurunan tajam pada 11 Oktober tahun lalu menyebabkan banyak stablecoin yang diterbitkan menggunakan strategi delta netral mengalami kerugian collateral karena ADL (Automatic Deleveraging). Beberapa proyek yang menggunakan altcoin sebagai aset untuk menjalankan strategi mengalami kerugian yang lebih parah bahkan langsung kabur.

Resolv Labs, yang diserang kali ini, juga menggunakan mekanisme serupa untuk menerbitkan USR. Proyek ini pernah mengumumkan pada April 2025 bahwa mereka telah menyelesaikan putaran seed senilai $10 juta yang dipimpin oleh Cyber.Fund dan Maven11, dengan partisipasi dari Coinbase Ventures, dan meluncurkan token RESOLV pada akhir Mei/awal Juni.

Namun, alasan Resolv Labs diserang bukanlah kondisi pasar yang ekstrem, melainkan desain mekanisme pencetakan USR yang 'tidak cukup ketat'.

Saat ini belum ada perusahaan keamanan atau pihak resmi yang menganalisis penyebab peristiwa peretasan ini. Komunitas DeFi YAM melalui analisis awal menyimpulkan: Serangan kemungkinan besar disebabkan karena SERVICE_ROLE, yang digunakan oleh backend protokol untuk memberikan parameter ke kontrak pencetakan, dikendalikan oleh peretas.

Menurut analisis Grok, ketika pengguna mencetak USR, mereka akan mengirimkan permintaan on-chain dan memanggil fungsi requestMint dari kontrak, parameternya termasuk:

_depositTokenAddress: alamat token yang disetor;

_amount: jumlah yang disetor;

_minMintAmount: jumlah minimum USR yang diharapkan diterima (perlindungan slippage).

Kemudian, pengguna menyetor USDC atau USDT ke dalam kontrak, backend proyek SERVICE_ROLE memantau permintaan, menggunakan oracle Pyth untuk memeriksa nilai aset yang disetor, lalu memanggil fungsi completeMint atau completeSwap, untuk menentukan jumlah USR yang sebenarnya dicetak.

Masalahnya terletak pada, kontrak pencetakan sepenuhnya mempercayai _mintAmount yang diberikan oleh SERVICE_ROLE, menganggap angka ini telah diverifikasi off-chain oleh Pyth, sehingga tidak menetapkan batasan上限 (batas atas), juga tidak ada verifikasi oracle on-chain, langsung menjalankan mint(_mintAmount).

Berdasarkan ini, YAM menduga hacker mengendalikan SERVICE_ROLE yang seharusnya dikendalikan oleh pihak proyek (mungkin karena oracle internal失控 (kendali hilang), penipuan内部 (internal), atau pencurian kunci), saat mencetak langsung mengatur _mintAmount menjadi 50 juta, mewujudkan peristiwa serangan dengan menggunakan 100.000 USDC untuk mencetak 50 juta USR.

Pada akhirnya, kesimpulan yang diberikan Grok adalah, Resolv saat mendesain protokol tidak mempertimbangkan kemungkinan bahwa alamat (atau kontrak) yang digunakan untuk menerima permintaan pencetakan pengguna dapat dikendalikan oleh peretas. Saat permintaan pencetakan USR diserahkan ke kontrak yang akhirnya mencetak USR, tidak ada pengaturan jumlah pencetakan maksimum, juga tidak meminta kontrak pencetakan untuk melakukan verifikasi ulang dengan oracle on-chain, langsung mempercayai semua parameter yang diberikan oleh SERVICE_ROLE.

Pencegahan Juga Tidak Memadai

Selain menduga alasan peretasan, YAM juga menunjuk pada kesiapan yang tidak memadai dari pihak proyek dalam menangani krisis.

YAM di X menyatakan, Resolv Labs baru menjeda protokol 3 jam setelah serangan pertama hacker selesai,其中 (diantaranya) sekitar 1 jam penundaan berasal dari pengumpulan 4 tanda tangan yang diperlukan untuk transaksi multi-signature. YAM berpendapat, penjeda darurat seharusnya hanya memerlukan satu tanda tangan, dan wewenang harus didistribusikan ke anggota tim sebanyak mungkin, atau personel operasional eksternal yang tepercaya, untuk meningkatkan perhatian pada perilaku anomali on-chain, meningkatkan kemungkinan penjeda cepat, dan lebih baik mencakup zona waktu yang berbeda.

Meskipun saran untuk hanya memerlukan satu tanda tangan untuk menjeda protokol agak radikal, tetapi memerlukan多个 (banyak) tanda tangan dari berbagai zona waktu yang berbeda untuk menjeda protokol memang dapat menunda hal besar dalam situasi darurat. Memperkenalkan pihak ketiga tepercaya yang terus memantau perilaku on-chain, atau menggunakan alat pemantauan yang memiliki izin untuk menjeda protokol darurat, adalah 'pelajaran' yang dibawa oleh peristiwa ini.

Serangan hacker terhadap protokol DeFi早就 (sudah lama) tidak terbatas pada kerentanan kontrak. Peristiwa Resolv Labs memberikan peringatan kepada proyek: Asumsi dalam hal keamanan protokol应该是 (seharusnya) tidak mempercayai salah satu环节 (link) pun, semua环节 yang melibatkan parameter harus setidaknya diverifikasi ulang, bahkan backend yang dioperasikan oleh proyek sendiri也不例外 (tidak terkecuali).

Pertanyaan Terkait

QApa yang terjadi dengan Resolv Labs dan bagaimana serangan itu mempengaruhi nilai USR?

AResolv Labs, platform yang menggunakan strategi delta netral untuk menerbitkan stablecoin USR, diserang oleh peretas. Alamat yang dimulai dengan 0x04A2 menggunakan 100.000 USDC untuk mencetak 50 juta USR, menyebabkan nilai USR anjlok menjadi sekitar $0.25, sebelum pulih ke $0.80. Serangan kedua menggunakan 100.000 USDC lagi untuk mencetak 30 juta USR semakin memperparah situasi.

QBagaimana cara peretas mengeksploitasi celah dalam protokol Resolv Labs?

APeretas diduga mengontrol SERVICE_ROLE yang seharusnya dikelola oleh tim Resolv Labs. Peran ini memberikan parameter _mintAmount ke kontrak pencetakan tanpa batasan maksimal atau verifikasi oracle on-chain, memungkinkan peretas mencetak 50 juta USR hanya dengan 100.000 USDC.

QApa dampak serangan ini terhadap platform lain seperti Morpho dan Lista DAO?

ASerangan ini menyebabkan pasar pinjaman di Morpho, yang menerima USR dan wstUSR sebagai jaminan, hampir habis. Lista DAO di BNB Chain juga menghentikan sementara permintaan pinjaman baru karena penurunan nilai USR yang signifikan.

QSiapa yang paling terdampak selain Resolv Labs sendiri, dan mengapa?

AStream Finance adalah pihak yang paling terdampak, memegang lebih dari 13 juta RLP token dengan eksposur risiko bersih $17 juta. Token RLP dirancang untuk menanggung liabilitas jika protokol mengalami kerugian, membuat Stream Finance kembali mengalami pukulan finansial signifikan setelah sebelumnya terdampak oleh kolapsnya xUSD.

QApa pelajaran penting dari serangan ini bagi proyek DeFi lainnya?

ASerangan ini menggarisbawahi pentingnya tidak mempercayai satu pun bagian dalam protokol secara membabi buta. Semua parameter harus diverifikasi ulang, bahkan yang berasal dari backend internal. Prosedur penghentian darurat juga harus lebih efisien, tidak bergantung pada banyak tanda tangan yang dapat menunda respons selama krisis.

Bacaan Terkait

Bitcoin Diamond Hands Torehkan Rekor Suplai Baru 14,8 Juta BTC

Data on-chain menunjukkan pasokan Bitcoin oleh pemegang jangka panjang (LTH) mencapai rekor tertinggi sepanjang masa (ATH) sebesar 14,8 juta BTC. LTH adalah investor yang menyimpan asetnya selama lebih dari 155 hari dan dianggap sebagai pihak yang memiliki keyakinan kuat ("diamond hands") dalam jaringan Bitcoin. Peningkatan pasokan LTH ini mencerminkan kecenderungan investor untuk terus memegang (HODL) aset mereka, bukan akumulasi baru, karena ada jeda waktu 155 hari sebelum koin yang dibeli tercatat dalam kelompok ini. Sebaliknya, penjualan oleh LTH langsung terlihat. Pasokan LTH sempat turun pada paruh kedua 2025 dan selama penurunan harga, namun mulai pulih sejak Februari dan kini mencapai level tertinggi. Sementara itu, harga Bitcoin saat ini bergerak sideways di sekitar level $80.700.

bitcoinist27m yang lalu

Bitcoin Diamond Hands Torehkan Rekor Suplai Baru 14,8 Juta BTC

bitcoinist27m yang lalu

Wall Street's 'Perburuan Kepatuhan': Migrasi Besar-besaran Cadangan Stablecoin

Dalam sepekan terakhir, beberapa lembaga Wall Street secara bersamaan mempercepat langkah mereka dalam pengembangan dana pasar uang ter-tokenisasi. Pada 12 Mei, JPMorgan Chase mengumumkan peluncuran dana pasar uang ter-tokenisasi kedua mereka, JLTXX, di Ethereum. Di hari yang sama, Payward (induk perusahaan Kraken) menjalin kerja sama strategis dengan Franklin Templeton untuk mengintegrasikan dana ter-tokenisasi seri BENJI ke platform Kraken sebagai alat kolateral dan manajemen kas bagi institusi. Tidak lama sebelumnya, BlackRock kembali mengajukan permohonan kepada SEC untuk dua dana ter-tokenisasi baru, memperdalam kerja samanya dengan Securitize. Serangkaian tindakan ini mencerminkan bahwa antisipasi regulasi mendorong persiapan sisi penawaran dari para institusi besar. Aksi para raksasa keuangan ini menargetkan likuiditas crypto dari berbagai sisi. BlackRock, melalui kemitraan dengan Securitize, berupaya mentransformasi bisnis penyimpanan cadangan stablecoin tradisionalnya secara menyeluruh menjadi aset ter-tokenisasi. JPMorgan, dengan produk JLTXX-nya, mempersiapkan infrastruktur penyelesaian dan cadangan backend untuk bank-bank besar di masa depan jika mereka menerbitkan stablecoin. Sementara itu, kolaborasi Franklin Templeton dan Kraken dengan BENJI bertujuan menyediakan alat manajemen kas berbasis blockchain yang menghasilkan yield dan dapat digunakan sebagai kolateral, mengakali potensi larangan pembayaran bunga pada stablecoin. Langkah-langkah ini sebagian besar dipicu oleh kerangka regulasi yang sedang dibentuk, terutama GENIUS Act yang menetapkan daftar ketat aset cadangan yang memenuhi syarat untuk stablecoin dan melarang pembayaran bunga kepada pemegangnya. Peraturan pelaksanaannya ditargetkan selesai pada 2026. Di sisi lain, CLARITY Act yang sedang dibahas akan mengatur struktur pasar aset digital. Celah antara kedua undang-undang ini—di mana stablecoin dilarang memberi bunga tetapi aset ter-tokenisasi lainnya (seperti dana pasar uang) mungkin tidak—menciptakan peluang bagi produk seperti BENJI. Para pelaku pasar memperkirakan pasar stablecoin dan dana ter-tokenisasi dapat mencapai triliunan dolar dalam beberapa tahun ke depan, mendorong persaingan sengit di antara institusi keuangan tradisional untuk menguasai aliran likuiditas baru ini.

marsbit30m yang lalu

Wall Street's 'Perburuan Kepatuhan': Migrasi Besar-besaran Cadangan Stablecoin

marsbit30m yang lalu

SK Hynix Menjadi "Pengkhianat Kapitalis", Karyawan Samsung Mogok Kerja Besar-besaran

Pembicaraan antara Samsung Electronics dan serikat pekerjanya mencapai titik kritis, dengan serikat pekerja mengancam akan melakukan pemogokan selama 18 hari mulai 21 Mei karena perundingan gagal. Pemogokan yang melibatkan puluhan ribu pekerja di divisi semikonduktor ini berpotensi mengganggu produksi memori global. Inti perselisihan terletak pada struktur bonus. Serikat pekerja menuntut formula pembagian keuntungan tahunan yang tetap sebesar 13% dari laba operasional divisi semikonduktor, mencontoh kesepakatan yang telah diterapkan oleh pesaing SK Hynix. SK Hynix tahun lalu menyetujui pembagian 10% laba operasional kepada karyawan untuk sepuluh tahun ke depan, yang telah menghasilkan bonus signifikan berkat keuntungan besar dari penjualan HBM untuk chip AI Nvidia. Manajemen Samsung menawarkan bonus satu kali berdasarkan kinerja saat ini, tetapi menolak mengikatnya dalam formula tahunan yang permanen. Kekhawatiran mereka adalah menetapkan preseden yang dapat mengacaukan struktur kompensasi di seluruh grup bisnis yang beragam dan memicu tuntutan serupa dari divisi lain. Konflik ini menyoroti pertanyaan yang lebih luas dalam industri AI: bagaimana keuntungan besar yang dihasilkan oleh teknologi ini didistribusikan di dalam perusahaan? Model bagi hasil berbasis tunai ala SK Hynix menawarkan alternatif terhadap skema kepemilikan saham tradisional Silicon Valley. Hasil negosiasi di Samsung, apa pun bentuknya, dapat menjadi tren penting bagi pekerja di seluruh rantai pasokan teknologi tinggi untuk memperjuangkan bagian yang lebih adil dari "kue AI".

marsbit40m yang lalu

SK Hynix Menjadi "Pengkhianat Kapitalis", Karyawan Samsung Mogok Kerja Besar-besaran

marsbit40m yang lalu

Penelitian Membongkar Mitos PHK AI: 80% Perusahaan Melakukan PHK, Tak Ada Satu Pun yang Berhasil Raih Untung

Penelitian Gartner terhadap 350 perusahaan dengan pendapatan tahunan di atas $10 miliar mengungkap bahwa 80% perusahaan yang menerapkan AI atau otomatisasi telah melakukan pemutusan hubungan kerja (PHK). Namun, tidak ada korelasi positif antara tingkat PHK dan laba atas investasi—perusahaan yang memangkas banyak karyawan tidak lebih untung daripada yang sedikit mengurangi. Perusahaan dengan laba tertinggi justru menggunakan AI sebagai "penguat karyawan" (people amplification), meningkatkan produktivitas pekerja, bukan menggantikan mereka. Sebaliknya, data pasar tenaga kerja menunjukkan, pada Januari-April 2026, hampir 50.000 posisi hilang dengan alasan AI, terutama di sektor teknologi yang mencatat PHK tertinggi sejak 2023. Muncul kritik soal "AI washing" di mana perusahaan menggunakan AI sebagai dalih untuk PHK yang sebenarnya didorong faktor lain seperti tekanan ekonomi. Gartner menilai PHK terkait AI saat ini lebih sebagai uji coba skala kecil, bukan transformasi yang mendatangkan keuntungan besar. Meski banyak proyek AI diperkirakan gagal, investasi tetap mengalir deras. Untuk jangka panjang, Gartner memperkirakan bisnis otonom akan menjadi pencipta lapangan kerja bersih pada 2028-2029, karena akan muncul peran baru yang tidak dapat digantikan AI.

marsbit43m yang lalu

Penelitian Membongkar Mitos PHK AI: 80% Perusahaan Melakukan PHK, Tak Ada Satu Pun yang Berhasil Raih Untung

marsbit43m yang lalu

Altman Ungkap Bom Waktu Saat Musk Sedang Bepergian: Dia Pernah Ingin Anak-anaknya Mewarisi OpenAI

Saat sidang kasus hukum antara Elon Musk dan OpenAI, Sam Altman bersaksi untuk pertama kalinya. Dalam kesaksiannya, Altman mengungkapkan konflik internal mendalam di awal pendirian OpenAI dengan Musk. Altman menyatakan bahwa Musk ingin memiliki kendali yang lebih besar atas OpenAI, termasuk kepemilikan saham mayoritas dan hak penentu akhir atas arah organisasi. Klaim paling mengejutkan adalah bahwa Musk pernah membayangkan untuk mewariskan kendali atas OpenAI kepada anak-anaknya di masa depan—sebuah gagasan yang ditolak keras oleh Altman dengan alasan bertentangan dengan prinsip dasar bahwa AGI seharusnya tidak dikendalikan oleh individu atau entitas tunggal. Altman juga membantah narasi utama Musk bahwa OpenAI telah "mengkhianati misi awalnya" dengan beralih ke struktur for-profit. Dia bersaksi bahwa Musk sejak awal mengetahui dan bahkan mendukung eksplorasi model profit, karena menyadari kebutuhan dana besar untuk pengembangan AI. Perselisihan lain muncul ketika Musk mengusulkan agar OpenAI bergabung dengan Tesla, usul yang ditolak Altman karena khawatir misi penelitian OpenAI akan tersandung oleh tujuan komersial perusahaan mobil. Altman menggambarkan gaya manajemen Musk yang terstruktur dan berorientasi pada hasil sebagai tidak cocok dengan budaya penelitian OpenAI, bahkan merusak moral tim inti. Dia juga mengungkapkan kekhawatiran tim akan tindakan balasan Musk setelah hengkang dari dewan. Dalam kesaksiannya, Altman tampak lebih banyak berbicara sebagai CEO yang menangani tata kelola organisasi dan tantangan sumber daya, dibandingkan sebagai idealis teknologi. Dia mengaku sempat mempertimbangkan pindah ke Microsoft saat sempat dipecat pada 2023, tetapi memilih kembali karena dedikasinya yang besar pada OpenAI.

marsbit1j yang lalu

Altman Ungkap Bom Waktu Saat Musk Sedang Bepergian: Dia Pernah Ingin Anak-anaknya Mewarisi OpenAI