Relayer yang dioperasikan Risk Labs milik Across Protocol kehilangan kurang dari $4 juta setelah seorang penyerang memalsukan peristiwa deposit Solana senilai $41,7 juta, demikian menurut laporan pasca-insiden yang dirilis oleh protokol lintas rantai tersebut.
Serangan terjadi antara pukul 05:07 dan 06:14 UTC pada 17 Juli, menurut post-mortem Across Protocol. Penyerang menggunakan 1.627 dompet Solana sekali pakai untuk membuat jumlah peristiwa deposit palsu yang sama.
Deposit tersebut memiliki nilai nominal gabungan sekitar $41,7 juta dan meminta pembayaran di 18 rantai tujuan. Across melaporkan bahwa dana tersebut diarahkan ke satu alamat penerima di jaringan yang kompatibel dengan Ethereum Virtual Machine.
Relayer Risk Labs memenuhi 581 permintaan sebelum Across menghentikan operasi Solana. Pembayaran tersebut mewakili sekitar 35,7% dari permintaan penipuan tetapi hanya 10,8% dari nilai yang mereka nyatakan.
Relayer tersebut menyalurkan sekitar $4,5 juta dari modalnya sendiri. Across membatalkan 1.046 permintaan yang tersisa, mencegah pembayaran tambahan sekitar $37 juta.
Sekitar $500.000 milik penyerang tetap terperangkap dalam protokol. Across mengurangi jumlah tersebut dari pembayaran bruto untuk menempatkan kerugian bersihnya di bawah $4 juta.
Across mengaitkan pelanggaran tersebut dengan cacat pada perangkat lunak pembaca peristiwa off-chain Risk Labs daripada kerentanan dalam kontrak pintarnya. Protokol tersebut juga melaporkan bahwa penyerang tidak membahayakan jaringan Solana.
Across menggunakan relayer yang menyalurkan aset mereka sendiri untuk menyelesaikan transfer lintas rantai sebelum mengklaim pembayaran kembali. Struktur tersebut menjadikan relayer Risk Labs bertanggung jawab atas kerugian tersebut, bukan pengguna yang telah mengirimkan transaksi sah.
Semua transfer yang valid diselesaikan atau sepenuhnya dikembalikan dananya pada 17 Juli, menurut Across. Situs web protokol tersebut menunjukkan bahwa ia telah memproses lebih dari $34 miliar dalam transfer tanpa melaporkan kehilangan dana pengguna.
Insiden ini berbeda dari eksploitasi Lien Finance yang dilaporkan oleh crypto.news pada 24 Juli. SlowMist menemukan bahwa penyerang Lien mengeksploitasi cacat validasi kontrak pintar untuk mencetak token obligasi yang tidak didukung dan menarik sekitar 542.144,63 USDC.
crypto.news juga melaporkan bahwa dompet yang terkait dengan eksploitasi Drift Protocol senilai $285 juta memindahkan 23.095,1 ETH, senilai sekitar $44,4 juta, melalui Tornado Cash pada 23 dan 24 Juli. Bersama-sama, insiden ini melibatkan metode serangan terpisah: kegagalan perangkat lunak off-chain di Across, logika kontrak yang cacat di Lien, dan pencucian pasca-eksploitasi yang terkait dengan Drift.
Across memulihkan layanan Solana dalam waktu sekitar 12 jam dengan merutekan transfer melalui Cross-Chain Transfer Protocol (CCTP) milik Circle. Protokol tersebut melaporkan bahwa para insinyurnya menyebarkan perbaikan akar penyebab sekitar lima jam setelah serangan.
Perubahan ini memiliki koneksi langsung dengan AS karena Circle menerbitkan USDC dan mengoperasikan CCTP. Circle menyatakan bahwa CCTP membakar USDC asli di jaringan sumber dan mencetak jumlah yang sama di jaringan tujuan tanpa menggunakan kumpulan likuiditas jembatan tradisional atau pengisi pihak ketiga.
Bagi pengguna AS yang memindahkan USDC ke atau dari Solana, solusi cadangan memungkinkan transfer dilanjutkan tanpa bergantung pada pembaca peristiwa Risk Labs yang terpengaruh. Pelanggaran Across tidak melibatkan cadangan USDC atau kontrak pencetakan Circle, menurut temuan protokol.
Pergeseran ini juga terjadi setelah Amerika Serikat menetapkan kerangka kerja stablecoin pembayaran federal pertamanya melalui GENIUS Act. Undang-undang tersebut mensyaratkan penerbit yang diizinkan untuk mempertahankan cadangan yang memenuhi syarat dan menerbitkan pengungkapan reguler, menurut lembar fakta Gedung Putih. Aturan tersebut mengatur penerbit stablecoin daripada perangkat lunak relayer terpisah yang menyebabkan kerugian Across.
ACX diperdagangkan mendekati $0,041 setelah post-mortem, dengan kapitalisasi pasar sekitar $29 juta, menurut CoinGecko. Token tersebut tetap lebih dari 97% di bawah harga tertinggi sepanjang masanya.
Across menyatakan bahwa kerugian tersebut tidak akan memengaruhi rencana pembelian kembali token ACX-nya. Namun, protokol tersebut tidak mengungkapkan apakah Risk Labs akan mengubah pendanaan relayer, sistem pemantauan, atau batas operasionalnya.
Aliran order Solana tetap dirutekan melalui CCTP. Across belum memberikan garis waktu untuk kembali ke sistem perutean sebelumnya atau mengumumkan pemulihan dana tambahan apa pun.
