Kerentanan penyimpanan sementara menyebabkan kerugian 300.000 USD pada proyek on-chain

Pada 30 Maret 2025, sebuah proyek perdagangan leverage di Ethereum diserang, mengakibatkan kerugian aset lebih dari 300.000 dolar AS. Tim keamanan melakukan analisis mendalam terhadap kejadian ini, mengungkap rincian teknis serangan dan penyebab mendasar.

Latar Belakang Peristiwa

Serangan ditujukan pada proyek perdagangan margin bernama SIR.trading. Penyerang berhasil memanfaatkan celah dalam kontrak proyek tersebut untuk secara ilegal mentransfer sejumlah besar aset.

Analisis Alasan Teknis

Masalah inti dari serangan ini berasal dari fitur penyimpanan sementara (transient storage) yang diperkenalkan dalam versi Solidity 0.8.24. Penyimpanan sementara adalah lokasi penyimpanan data baru yang dirancang untuk memberikan cara penyimpanan sementara yang efektif selama transaksi dengan biaya rendah. Namun, dalam kasus ini, penggunaan penyimpanan sementara yang tidak tepat menyebabkan celah keamanan yang serius.

Penyebab dasar serangan adalah bahwa nilai yang digunakan dalam tstore untuk penyimpanan sementara dalam kontrak tidak dibersihkan dengan benar setelah pemanggilan fungsi selesai. Hal ini memungkinkan penyerang untuk membangun alamat jahat tertentu, melewati pemeriksaan izin, dan secara ilegal mentransfer token.

Proses Serangan

1. Penyerang membuat dua token jahat A dan B, dan menciptakan kumpulan likuiditas untuk kedua token tersebut di suatu DEX.
2. Penyerang memanfaatkan dua token ini untuk membuat pasar perdagangan leverage baru di proyek target.
3. Melalui transaksi yang dirancang dengan cermat, penyerang meninggalkan nilai tertentu di dalam penyimpanan transien.
4. Penyerang membuat kontrak jahat yang alamatnya cocok dengan nilai yang disimpan sebelumnya.
5. Dengan menggunakan kontrak jahat ini, penyerang berhasil melewati pemeriksaan hak dalam kontrak proyek.
6. Akhirnya, penyerang berhasil mengeluarkan token lain dari kontrak proyek (seperti WBTC, WETH) untuk mendapatkan keuntungan.

Analisis Aliran Dana

Berdasarkan analisis data on-chain, penyerang berhasil mencuri aset sekitar 300.000 dolar, termasuk:

• 17.814,8626 USDC
• 1.4085 WBTC
• 119.871 WETH

Aset yang dicuri ini kemudian ditukarkan menjadi WETH, dengan total sekitar 193.1428 WETH, dan dipindahkan ke dalam suatu protokol perdagangan privasi.

Perlu dicatat bahwa modal awal penyerang (0,3 ETH) juga berasal dari protokol privasi yang sama, yang dapat mengisyaratkan bahwa penyerang berusaha menyembunyikan identitas dan sumber dananya.

Saran Keamanan

Untuk mencegah kejadian serupa terjadi lagi, para ahli keamanan menyarankan:

1. Saat menggunakan penyimpanan sementara, segera setelah pemanggilan fungsi selesai, gunakan tstore(key, 0) untuk menghapus nilai yang disimpan.
2. Memperkuat audit dan pengujian keamanan kode kontrak, terutama harus sangat berhati-hati terhadap fitur-fitur yang baru diperkenalkan.
3. Saat melakukan pemeriksaan izin yang penting, hindari ketergantungan yang berlebihan pada mekanisme penyimpanan yang mungkin dimanipulasi.

Peristiwa ini sekali lagi menekankan pentingnya mempertimbangkan dampak keamanan potensial saat mengadopsi fitur teknologi baru. Untuk proyek blockchain, audit keamanan yang berkelanjutan dan evaluasi risiko sangat penting.