Hanya dengan 200 Ribu, Hacker Raup Hampir 100 Juta, Serangan Lagi Terjadi pada Stablecoin DeFi

marsbitDipublikasikan tanggal 2026-03-22Terakhir diperbarui pada 2026-03-22

Abstrak

Serangan terhadap Resolv Labs, platform stablecoin USR berbasis strategi delta-neutral, terjadi pada pukul 10:21 waktu Beijing. Peretas dengan alamat awal 0x04A2 berhasil mencetak 50 juta USR hanya dengan 100.000 USDC, menyebabkan nilai USR anjlok ke $0.25. Setelah itu, peretas kembali mencetak 30 juta USR dengan 100.000 USDC tambahan. Akibatnya, beberapa platform peminjaman seperti Morpho dan Lista DAO di BNB Chain terdampak signifikan. Penyebab serangan diduga karena kontrol tidak sah terhadap SERVICE_ROLE yang seharusnya dipegang oleh pihak proyek. Sistem mempercayai parameter yang diberikan tanpa verifikasi on-chain atau batas maksimal pencetakan, memungkinkan peretas mencetak USR dalam jumlah besar secara tidak wajar. Resolv Labs juga dikritik karena lambat merespons, membutuhkan 3 jam untuk menghentikan protokol akibat prosedur multi-signature yang rumit. Peretas telah mengonversi USR yang dicuri ke USDC, USDT, dan ETH, menghasilkan keuntungan sekitar $20 juta dari modal awal $200.000. Insiden ini menekankan pentingnya verifikasi berlapis dan mekanisme pencegahan yang lebih efisien dalam desain protokol DeFi.

Ditulis oleh: Eric, Foresight News

Sekitar pukul 10:21 waktu Beijing hari ini, Resolv Labs, yang menerbitkan stablecoin USR menggunakan strategi delta netral, diserang oleh hacker. Alamat yang dimulai dengan 0x04A2 menggunakan 100.000 USDC untuk mencetak 50 juta USR dari protokol Resolv Labs.

Seiring terungkapnya peristiwa ini, harga USR langsung anjlok ke sekitar $0,25, dan pada saat penulisan ini, telah pulih ke sekitar $0,8. Harga token RESOLV juga mengalami penurunan tertinggi hampir 10% dalam waktu singkat.

Kemudian, hacker melakukan hal yang sama lagi dengan menggunakan 100.000 USDC untuk mencetak 30 juta USR. Seiring dengan terlepasnya pasak (depegging) USR secara signifikan, pedagang arbitrase juga cepat bertindak. Banyak pasar pinjaman di Morpho yang mendukung USR, wstUSR, dll. sebagai jaminan hampir habis dilahap. Lista DAO di BNB Chain juga telah menghentikan permintaan pinjaman baru.

Yang terkena dampak tidak hanya protokol pinjaman ini. Dalam desain protokol Resolv Labs, pengguna juga dapat mencetak token RLP, yang memiliki fluktuasi harga lebih besar dan imbal hasil lebih tinggi, tetapi bertanggung jawab untuk memberikan kompensasi ketika protokol mengalami kerugian. Saat ini, jumlah token RLP yang beredar hampir 30 juta, dengan pemegang terbesar Stream Finance memegang lebih dari 13 juta RLP, dengan eksposur risiko bersih sekitar $17 juta.

Benar, Stream Finance, yang sebelumnya sudah terkena imbas sekali karena xUSD, mungkin akan terkena pukulan lagi.

Pada saat penulisan, hacker telah mengonversi USR menjadi USDC dan USDT, dan terus membeli Ethereum, dan telah membeli lebih dari 10.000 ETH. Dengan 200.000 USDC, hacker menguangkan aset senilai lebih dari $20 juta, menemukan 'token 100x' miliknya selama pasar bearish.

Sekali Lagi, Dimanfaatkan karena 'Tidak Ketat'

Penurunan tajam pada 11 Oktober tahun lalu menyebabkan banyak stablecoin yang diterbitkan menggunakan strategi delta netral mengalami kerugian collateral karena ADL (Automatic Deleveraging). Beberapa proyek yang menggunakan altcoin sebagai aset untuk menjalankan strategi mengalami kerugian yang lebih parah bahkan langsung kabur.

Resolv Labs, yang diserang kali ini, juga menggunakan mekanisme serupa untuk menerbitkan USR. Proyek ini pernah mengumumkan pada April 2025 bahwa mereka telah menyelesaikan putaran seed senilai $10 juta yang dipimpin oleh Cyber.Fund dan Maven11, dengan partisipasi dari Coinbase Ventures, dan meluncurkan token RESOLV pada akhir Mei/awal Juni.

Namun, alasan Resolv Labs diserang bukanlah kondisi pasar yang ekstrem, melainkan desain mekanisme pencetakan USR yang 'tidak cukup ketat'.

Saat ini belum ada perusahaan keamanan atau pihak resmi yang menganalisis penyebab peristiwa peretasan ini. Komunitas DeFi YAM melalui analisis awal menyimpulkan: Serangan kemungkinan besar disebabkan karena SERVICE_ROLE, yang digunakan oleh backend protokol untuk memberikan parameter ke kontrak pencetakan, dikendalikan oleh peretas.

Menurut analisis Grok, ketika pengguna mencetak USR, mereka akan mengirimkan permintaan on-chain dan memanggil fungsi requestMint dari kontrak, parameternya termasuk:

_depositTokenAddress: alamat token yang disetor;

_amount: jumlah yang disetor;

_minMintAmount: jumlah minimum USR yang diharapkan diterima (perlindungan slippage).

Kemudian, pengguna menyetor USDC atau USDT ke dalam kontrak, backend proyek SERVICE_ROLE memantau permintaan, menggunakan oracle Pyth untuk memeriksa nilai aset yang disetor, lalu memanggil fungsi completeMint atau completeSwap, untuk menentukan jumlah USR yang sebenarnya dicetak.

Masalahnya terletak pada, kontrak pencetakan sepenuhnya mempercayai _mintAmount yang diberikan oleh SERVICE_ROLE, menganggap angka ini telah diverifikasi off-chain oleh Pyth, sehingga tidak menetapkan batasan上限 (batas atas), juga tidak ada verifikasi oracle on-chain, langsung menjalankan mint(_mintAmount).

Berdasarkan ini, YAM menduga hacker mengendalikan SERVICE_ROLE yang seharusnya dikendalikan oleh pihak proyek (mungkin karena oracle internal失控 (kendali hilang), penipuan内部 (internal), atau pencurian kunci), saat mencetak langsung mengatur _mintAmount menjadi 50 juta, mewujudkan peristiwa serangan dengan menggunakan 100.000 USDC untuk mencetak 50 juta USR.

Pada akhirnya, kesimpulan yang diberikan Grok adalah, Resolv saat mendesain protokol tidak mempertimbangkan kemungkinan bahwa alamat (atau kontrak) yang digunakan untuk menerima permintaan pencetakan pengguna dapat dikendalikan oleh peretas. Saat permintaan pencetakan USR diserahkan ke kontrak yang akhirnya mencetak USR, tidak ada pengaturan jumlah pencetakan maksimum, juga tidak meminta kontrak pencetakan untuk melakukan verifikasi ulang dengan oracle on-chain, langsung mempercayai semua parameter yang diberikan oleh SERVICE_ROLE.

Pencegahan Juga Tidak Memadai

Selain menduga alasan peretasan, YAM juga menunjuk pada kesiapan yang tidak memadai dari pihak proyek dalam menangani krisis.

YAM di X menyatakan, Resolv Labs baru menjeda protokol 3 jam setelah serangan pertama hacker selesai,其中 (diantaranya) sekitar 1 jam penundaan berasal dari pengumpulan 4 tanda tangan yang diperlukan untuk transaksi multi-signature. YAM berpendapat, penjeda darurat seharusnya hanya memerlukan satu tanda tangan, dan wewenang harus didistribusikan ke anggota tim sebanyak mungkin, atau personel operasional eksternal yang tepercaya, untuk meningkatkan perhatian pada perilaku anomali on-chain, meningkatkan kemungkinan penjeda cepat, dan lebih baik mencakup zona waktu yang berbeda.

Meskipun saran untuk hanya memerlukan satu tanda tangan untuk menjeda protokol agak radikal, tetapi memerlukan多个 (banyak) tanda tangan dari berbagai zona waktu yang berbeda untuk menjeda protokol memang dapat menunda hal besar dalam situasi darurat. Memperkenalkan pihak ketiga tepercaya yang terus memantau perilaku on-chain, atau menggunakan alat pemantauan yang memiliki izin untuk menjeda protokol darurat, adalah 'pelajaran' yang dibawa oleh peristiwa ini.

Serangan hacker terhadap protokol DeFi早就 (sudah lama) tidak terbatas pada kerentanan kontrak. Peristiwa Resolv Labs memberikan peringatan kepada proyek: Asumsi dalam hal keamanan protokol应该是 (seharusnya) tidak mempercayai salah satu环节 (link) pun, semua环节 yang melibatkan parameter harus setidaknya diverifikasi ulang, bahkan backend yang dioperasikan oleh proyek sendiri也不例外 (tidak terkecuali).

Pertanyaan Terkait

QApa yang terjadi dengan Resolv Labs dan bagaimana serangan itu mempengaruhi nilai USR?

AResolv Labs, platform yang menggunakan strategi delta netral untuk menerbitkan stablecoin USR, diserang oleh peretas. Alamat yang dimulai dengan 0x04A2 menggunakan 100.000 USDC untuk mencetak 50 juta USR, menyebabkan nilai USR anjlok menjadi sekitar $0.25, sebelum pulih ke $0.80. Serangan kedua menggunakan 100.000 USDC lagi untuk mencetak 30 juta USR semakin memperparah situasi.

QBagaimana cara peretas mengeksploitasi celah dalam protokol Resolv Labs?

APeretas diduga mengontrol SERVICE_ROLE yang seharusnya dikelola oleh tim Resolv Labs. Peran ini memberikan parameter _mintAmount ke kontrak pencetakan tanpa batasan maksimal atau verifikasi oracle on-chain, memungkinkan peretas mencetak 50 juta USR hanya dengan 100.000 USDC.

QApa dampak serangan ini terhadap platform lain seperti Morpho dan Lista DAO?

ASerangan ini menyebabkan pasar pinjaman di Morpho, yang menerima USR dan wstUSR sebagai jaminan, hampir habis. Lista DAO di BNB Chain juga menghentikan sementara permintaan pinjaman baru karena penurunan nilai USR yang signifikan.

QSiapa yang paling terdampak selain Resolv Labs sendiri, dan mengapa?

AStream Finance adalah pihak yang paling terdampak, memegang lebih dari 13 juta RLP token dengan eksposur risiko bersih $17 juta. Token RLP dirancang untuk menanggung liabilitas jika protokol mengalami kerugian, membuat Stream Finance kembali mengalami pukulan finansial signifikan setelah sebelumnya terdampak oleh kolapsnya xUSD.

QApa pelajaran penting dari serangan ini bagi proyek DeFi lainnya?

ASerangan ini menggarisbawahi pentingnya tidak mempercayai satu pun bagian dalam protokol secara membabi buta. Semua parameter harus diverifikasi ulang, bahkan yang berasal dari backend internal. Prosedur penghentian darurat juga harus lebih efisien, tidak bergantung pada banyak tanda tangan yang dapat menunda respons selama krisis.

Bacaan Terkait

Dari Korea Selatan ke AS: Berkat AI, Pekerjaan Kerah Biru Makin Diminati

AI sedang mengubah logika pasar tenaga kerja secara global. Di Amerika Serikat dan Korea Selatan, gelar sarjana empat tahun semakin kehilangan daya tarik, sementara profesi kerah biru seperti teknisi listrik, tukang las, dan tukang ledeng mengalami peningkatan permintaan dan gaji yang signifikan. Data menunjukkan, pada Juni 2025, pendapatan sekolah kejuruan di AS naik 11,4%, sementara PHK karena AI mencapai rekor tertinggi. Generasi Z semakin mempertimbangkan pekerjaan kerah biru karena dianggap lebih tahan terhadap otomatisasi AI. Gaji di bidang ini kini setara atau bahkan melampaui profesi yang membutuhkan gelar sarjana. Di Korea, lulusan sekolah menengah kejuruan semikonduktor sangat dicari, dengan sebagian besar langsung diterima bekerja. Kekurangan tenaga terampil diperparah oleh gelombang pensiun dan ekspansi infrastruktur, seperti pusat data. Perusahaan seperti JPMorgan, Meta, dan Lowe's berinvestasi besar-besaran dalam program pelatihan. Namun, tantangan tetap ada dalam mengubah persepsi masyarakat yang lama memandang rendah pendidikan kejuruan. Para ahli menekankan perlunya upaya aktif dari industri untuk memperkenalkan peluang nyata dalam karir teknis kepada generasi muda.

marsbit3m yang lalu

Dari Korea Selatan ke AS: Berkat AI, Pekerjaan Kerah Biru Makin Diminati

marsbit3m yang lalu

Dari TPU ke Agent yang Berevolusi Sendiri: Bagaimana Jeff Dean Menilai Langkah Selanjutnya AI

Jeff Dean, Kepala Ilmuwan AI di Google, membagikan pandangannya tentang arah perkembangan AI dalam wawancara di YC Startup School 2026. Ia menekankan bahwa tahap berikutnya AI bukan hanya tentang melatih model yang lebih pintar, tetapi membangun sistem yang memungkinkan AI bekerja jangka panjang, terus mencoba, memvalidasi otomatis, dan mengakumulasi kemampuan. **Tren Utama AI:** * **Perubahan Fokus:** Kompetisi AI bergeser dari "siapa yang memiliki model lebih besar" ke "siapa yang dapat mengorganisir kecerdasan dengan lebih baik." * **Kemampuan Agent:** Kemampuan AI kini mendekati insinyur pemula dan berkembang pesat dalam tugas kompleks dan alur kerja panjang. * **Otomatisasi Penelitian:** Sistem AI akan semakin banyak digunakan untuk meningkatkan sistem AI itu sendiri melalui eksperimen otomatis dan evaluasi. **Peluang dan Tantangan:** * **Peluang Startup:** Tim kecil dapat bersaing dengan fokus pada bidang spesifik di mana model umum gagal (tingkat keberhasilan ~1%). Peluang terletak pada data milik pribadi, alat evaluasi khusus, atau model domain-spesifik. * **Tantangan Teknis:** Biaya utama dalam sistem AI saat ini adalah **perpindahan data**, bukan komputasi. **Latensi rendah** dan **efisiensi energi** sangat penting untuk pengambilan keputusan real-time dan agen yang berjalan lama. * **Rekayasa Konteks:** Kunci untuk sistem AI yang berguna terletak pada organisasi konteks—alat, memori, lingkungan eksekusi, dan mekanisme umpan balik—bukan hanya modelnya sendiri. **Keterampilan (skills)** yang dikodekan menjadi aset berharga. **Saran untuk Inovasi:** * **Prinsip Pertama:** Tantang asumsi yang ada dan hitung kembali batasan dari sudut pandang prinsip pertama. * **Spesifikasi yang Jelas:** Ketika kode menjadi murah, **spesifikasi yang jelas**, **selera (taste)** dalam memilih masalah, dan **standar penerimaan** menjadi lebih berharga. * **Metode Ilmiah Terotomatisasi:** AI dapat mempercepat siklus penemuan dengan mengotomatisasi proposal eksperimen dan membuat verifikasi yang cepat dan murah. Pada intinya, di era AI, kemampuan langka yang paling berharga tetaplah **kemampuan untuk melihat dan mendefinisikan masalah dengan jelas.**

marsbit4m yang lalu

Dari TPU ke Agent yang Berevolusi Sendiri: Bagaimana Jeff Dean Menilai Langkah Selanjutnya AI

marsbit4m yang lalu

Qualcomm: Kegilaan AI Reda, Kapan Ponsel Keluar dari Kemelut?

Qualcomm merilis laporan keuangan Q3 2026 (hingga Juni 2026) dengan hasil yang datar. Pendapatan $9.95 miliar turun 4% tahun-ke-tahun, meskipun melampaui ekspektasi pasar. Margin kotor turun menjadi 53.1%, terdampak kenaikan biaya memori dan komponen lainnya. **Kinerja Segmen Utama:** * **Ponsel:** Pendapatan turun 19.6% menjadi $5.09 miliar, terdampak penurunan pengiriman ponsel Android (selain Apple) dan tren OEM yang menggunakan platform lama untuk menekan biaya. * **Mobil:** Melonjak 61% menjadi $1.59 miliar, didorong Snapdragon Digital Chassis. * **IoT:** Tumbuh 9% menjadi $1.83 miliar. Panduan untuk Q4 2026 memperkirakan pendapatan $9.7-10.5 miliar, namun EPS diproyeksikan lebih rendah dari perkiraan pasar. **Tantangan & Strategi:** Pasar ponsel yang lemah dan tekanan biaya tetap menjadi beban. Sementara itu, Qualcomm berupaya mendiversifikasi ke **data center AI**, dengan rencana mencakup Akselerator AI, CPU komersial, chip kustom, dan produk konektivitas. Perusahaan menargetkan pendapatan data center $5 miliar pada FY2027 dan $15 miliar pada FY2029. Namun, bisnis ini belum berkontribusi signifikan saat ini, dan kekhawatiran pasar terhadap kelangsungan pengeluaran AI telah menyebabkan koreksi harga saham. Analis memandang prospek data center sebagai "opsi" masa depan, sementara nilai saat ini lebih bergantung pada pemulihan bisnis tradisional.

marsbit6m yang lalu

Qualcomm: Kegilaan AI Reda, Kapan Ponsel Keluar dari Kemelut?

marsbit6m yang lalu

Eksploitasi Coldcard Memicu Pelarian Bitcoin, Konsolidasi Kripto 'Bullish': Hodler's Digest, 2 Agustus

Eksploitasi dompet hardware Coldcard menyebabkan kerugian sekitar 1.367 BTC ($88,6 juta) dan memicu kepanikan di kalangan pemegang Bitcoin kecil, mendorong mereka untuk memindahkan aset ke bursa terpusat. Data menunjukkan peningkatan signifikan dalam transfer Bitcoin di bawah 1 BTC. Sementara itu, di ranah regulasi, tenggat waktu untuk "Clarity Act" AS hampir habis dengan berbagai perselisihan politik yang belum terselesaikan, terutama terkait aturan etika dan penanganan keuntungan crypto Donald Trump. Laporan keuangan kuartal kedua dari perusahaan crypto seperti Coinbase dan MicroStrategy menunjukkan hasil yang kurang baik, dengan MicroStrategy mencatat kerugian besar karena valuasi Bitcoin yang turun. Namun, analis ARK Invest menyatakan fase konsolidasi industri crypto saat ini justru sangat bullish, dengan pendapatan terkonsentrasi pada sedikit protokol dominan seperti Hyperliquid dan Pump.fun. Laporan lain mengungkapkan Piala Dunia 2026 menghasilkan volume pasar prediksi berbasis blockchain senilai $20 miliar. Harga Bitcoin dan Ether turun sekitar 3% dalam seminggu, dengan Cardano (ADA) menjadi penguat terbesar di antara 100 kripto teratas. Grayscale memperkirakan harga Bitcoin mungkin telah mencapai titik terendah lebih awal dari siklus tradisionalnya. Berita buruk (FUD) minggu ini termasuk tuduhan terhadap pendiri Telegram Pavel Durov oleh Rusia dan Australia, serta laporan pemutusan hubungan kerja karyawan Pump.fun tepat sebelum mereka menerima token bernilai jutaan dolar.

cointelegraph24m yang lalu

Eksploitasi Coldcard Memicu Pelarian Bitcoin, Konsolidasi Kripto 'Bullish': Hodler's Digest, 2 Agustus

cointelegraph24m yang lalu

BERITA TERBARU: Donald Trump Berikan Pernyataan Tegas Terkait Iran! Dia Menghentikan Serangan

Presiden AS Donald Trump mengumumkan bahwa Arab Saudi, Uni Emirat Arab, Qatar, dan Iran memintanya untuk menunda serangan militer yang direncanakan. Trump menyatakan bahwa operasi terhadap Iran akan sangat besar dan kuat, namun ia menangguhkan rencana serangan setelah negara-negara di kawasan itu meminta waktu untuk negosiasi diplomatik. Sekutu di kawasan dipercaya mendekati kesepakatan, dengan tahap pertama fokus pada keamanan dan pembukaan kembali Selat Hormuz. Trump menyatakan bahwa begitu hal ini disepakati, perundingan tentang program nuklir Iran akan dimulai. Selat Hormuz merupakan titik transit vital untuk pengangkutan minyak dan LNG dunia, dan konflik militer di wilayah ini dapat berdampak signifikan pada harga energi dan perdagangan global. Trump juga mengumumkan bahwa negosiasi baru dengan Iran akan dimulai besok. Selain itu, ia mengomentari intervensi AS di pasar terkait Yen Jepang, menyatakan bahwa Washington selalu mendukung Tokyo dan juga memperoleh manfaat ekonomi dari aturan terkait.

cryptonews.ru2j yang lalu