Ditulis oleh: Nicky, Foresight News
Pada 15 Juli, platform peluncuran token di Robinhood Chain, vlad.fun, mengalami insiden operasi jahat oleh pengembang internal pada hari peluncurannya. Menurut pengungkapan resmi, dua pengembang eksternal yang terlibat dalam pembangunan platform secara rahasia membuat token mereka sendiri dan meng-hardcode-nya ke dalam kode front-end, menyebabkan pengguna hanya dapat melihat token tersebut saat platform dimulai, sedangkan token dari pembuat lainnya sama sekali tidak terlihat. Tim menemukan anomali dalam dua jam, kemudian memecat pengembang yang terlibat dan menghapus kode jahat tersebut.
Pernyataan resmi menekankan bahwa tim tidak pernah menyetujui penerbitan token platform vlad.fun, kedua orang tersebut memutuskan sendiri untuk meluncurkannya demi "jumlah tayangan". Setelah negosiasi, keduanya telah mengembalikan biaya pembuat sekitar $15.000 dan pendapatan dari token pengujian, dana yang berhasil dikembalikan total sekitar 7,8 ETH, yang telah disimpan ke dalam dompet keamanan tim. Selain itu, biaya protokol sekitar 4,16 ETH yang dihasilkan dari peluncuran platform disimpan di alamat multi-sig tim.
Menurut informasi publik, vlad.fun dibangun dengan cepat dalam 48 jam oleh tim kecil beranggotakan 5 orang. Saat ini, dua anggota yang terkait dengan proyek telah memberikan pernyataan, dan hingga artikel ini ditulis, informasi spesifik tentang dua pengembang eksternal tersebut belum diungkapkan. Menurut thread penjelasan insiden yang dipublikasikan oleh akun resmi proyek pada 18 Juli, dua pengembang eksternal tersebut bertanggung jawab untuk menyediakan repositori kode inti platform peluncuran. Dalam komit kode terakhir sebelum platform diluncurkan, mereka secara manual menambahkan satu baris hardcode di front-end, yang memaksa token mereka sendiri ditampilkan di halaman utama, sementara token pembuat lainnya sepenuhnya tersembunyi karena masalah pemuatan.
Setelah diluncurkan, pengguna dengan cepat menyadari keanehan, seluruh platform hanya menampilkan satu token. Anggota tim mulai meninjau kode dan menemukan baris hardcode yang ditambahkan secara manual dalam riwayat komit. Saat ditanyai oleh tim, awalnya kedua pengembang tersebut mengelak dengan alasan teknis seperti kegagalan RPC, variabel lingkungan, dan masalah cache, tetapi fakta bahwa token terkait tetap terlihat jelas bertentangan dengan penjelasan semacam itu.
Menurut penjelasan resmi, kemudian salah satu pengembang meminta untuk menonaktifkan fitur perlindungan cabang pada repositori kode, dengan alasan perlu "memutar balik beberapa konten". Tim melakukan pencadangan stempel waktu untuk seluruh repositori sebelum mencabut perlindungan, dan mengamati bahwa keduanya menghapus baris kode yang berisi hardcode tersebut. Pernyataan resmi mencatat bahwa upaya untuk menghancurkan bukti ini akhirnya mengungkap niat mereka. Di hadapan bukti, kedua pengembang tersebut mengakui perbuatan mereka.
Insiden ini mencerminkan risiko kepercayaan yang dihadapi proyek-proyek kripto yang dibangun cepat ketika melibatkan pengembang eksternal. Identitas dua pengembang yang terlibat belum diumumkan secara publik, tim menyatakan telah mendengarkan saran untuk sementara tidak mengungkapkannya. Pihak vlad.fun menyatakan bahwa di masa depan tidak akan mengizinkan personel eksternal mengakses sistem sensitif, dan cenderung akan mengembangkan berdasarkan kontrak open-source.
Menurut tampilan situs web resmi, vlad.fun saat ini dalam status operasi ditangguhkan, tim menyatakan akan memprioritaskan penanganan masalah pengguna yang terdampak.
Anggota komunitas Will Mexi mengklarifikasi perannya sendiri secara publik setelah insiden terjadi. Dia menyatakan bertanggung jawab atas aplikasi proyek untuk bergabung dalam daftar, pengoptimalan front-end, desain, merek, dan animasi, bukan salah satu dari dua pengembang yang terlibat, dan juga tidak terlibat dalam perencanaan atau eksekusi operasi tersebut. Menurut deskripsinya, dia menguji versi normal situs web sekitar 20 menit sebelum peluncuran, sehingga tidak menemukan anomali.
Will Mexi menyatakan bahwa setelah platform resmi diluncurkan, dia melihat token sudah muncul dan tidak logis, kemudian membaca kode yang baru dikomit dan menemukan baris hardcode, lalu segera melaporkannya ke tim inti. Dia juga menyatakan bahwa sebelumnya mengaktifkan perlindungan cabang justru karena kehati-hatian terhadap kode eksternal, pengaturan ini akhirnya mempertahankan catatan komit lengkap dan bukti niat. Dia juga menyangkal membeli token platform apa pun, dan menyatakan mengalami kerugian karena membayar biaya RPC, API, dan penempatan server yang mahal.
Anggota tim inti @SOLsesame juga menyatakan sikap mendukung dalam thread insiden. Dia termasuk dalam tim inti kecil yang telah bekerja sama lama dengan Will Mexi dll. selama lebih dari setahun, dan bukan pengembang eksternal yang terlibat. Pengalamannya menunjukkan bahwa dia adalah pembangun aktif di ekosistem Solana, pernah terlibat mendalam dalam ekosistem ai16z dan proyek PartnersNFT serta PartnersDAO-nya, baru-baru ini juga bekerja sama dengan Will Mexi membangun dan meluncurkan seri NFT Black Bull dari nol untuk komunitas ANSEM dalam 24 jam.
Sebagai platform peluncuran token di Robinhood Chain, vlad.fun berbeda dengan platform peluncuran bonding curve tradisional. Tujuan desain vlad.fun adalah agar penyebaran token dapat diselesaikan dalam satu transaksi dan langsung diluncurkan ke Uniswap V3 atau V4, token dapat langsung diperdagangkan di bursa terdesentralisasi, tanpa melalui langkah "kelulusan" migrasi. Posisi pool likuiditas dikunci secara permanen melalui kontrak locker, tidak dapat ditarik kembali oleh tim, yang secara mekanis mengurangi risiko rug pull.
Dalam hal desain keadilan, platform mengadopsi mekanisme pasokan tetap, tanpa pra-penjualan, tanpa alokasi besar tim, sekaligus menyediakan fungsi opsional pembelian prioritas pengembang, yang memungkinkan pengembang membeli dengan biaya transaksi nol saat peluncuran. Mekanisme anti-paus membatasi kepemilikan maksimum per dompet hingga 2%, mencegah konsentrasi kepemilikan oleh satu alamat. Dalam hal perutean biaya, platform mendukung pengaturan biaya transaksi 1% hingga 5%, yang dapat mengalir secara instan ke penerima yang ditentukan, termasuk alamat dompet, akun media sosial, atau agen pembakaran kembali. Biaya terkunci saat peluncuran dan tidak dapat diubah. Selain itu, platform juga merencanakan mode opsional seperti staking bagi hasil.
Meskipun vlad.fun menekan tombol jeda karena insiden internal, ekosistem platform peluncuran di Robinhood Chain tidak mendingin. Menurut data DefiLlama, TVL rantai saat ini sekitar $258 juta, biaya 24 jam sekitar $118.000, pendapatan sekitar $106.000, di mana pengeluaran biaya Uniswap 24 jam mencapai $1,95 juta. Saat ini, ekosistem telah mengumpulkan beberapa platform peluncuran, masing-masing membentuk lanskap kompetisi yang terdiferensiasi: pendatang baru PONS menduduki posisi terdepan platform peluncuran berkat pengembangan padat dan pembaruan berkelanjutan, nilai pasar token platformnya sekitar $12 juta, kenaikan hampir 4200% dalam 7 hari terakhir. Selain itu, platform Butterfly fokus pada Meme tipe saham-koin tetapi belum membentuk produk hit, sementara token mekanisme inovatif asli Uniswap seperti token indeks tipe bagi hasil RWA karena mendapat perhatian resmi sempat melonjak hingga kapitalisasi pasar $30 juta pada 17 Juli.
