Seorang penyerang telah menguras token STRONG dan STRNGR senilai sekitar $72.000 setelah mengambil alih sistem tata kelola on-chain StrongBlock yang terbengkalai melalui proposal jahat.
Menurut perusahaan keamanan blockchain Defimon Alerts, penyerang memperoleh kekuatan voting yang cukup dalam tata kelola StrongBlock untuk meloloskan proposal yang akhirnya mentransfer kontrol administratif kontrak Governor protokol sebelum dana ditarik.
Alih-alih mengeksploitasi celah dalam kontrak pintar StrongBlock, penyerang menggunakan proses tata kelola protokol itu sendiri untuk mendapatkan akses istimewa. Setelah memperoleh hak administrator, penyerang memutakhirkan proxy Governor ke implementasi baru yang memungkinkan panggilan kontrak arbitrer menggunakan otoritas Governor.
Insiden ini menambah serangkaian peristiwa keamanan kripto baru-baru ini yang telah menargetkan sistem tata kelola, infrastruktur pendukung, dan perangkat lunak dompet melalui jalur serangan yang berbeda, alih-alih hanya mengandalkan bug kontrak pintar.
Sebelum serangan terjadi, penyerang mengumpulkan mayoritas token tata kelola STRONG protokol, yang digambarkan oleh Defimon Alerts telah menjadi hampir tidak berharga setelah proyek tersebut ditinggalkan.
Dengan kekuatan voting yang cukup, penyerang mengajukan proposal tata kelola yang menginstruksikan kontrak Upgrader Governor untuk mengeksekusi setPendingAdmin(attacker), menjadikan alamat penyerang sebagai administrator yang tertunda.
Alih-alih melewati tata kelola, proposal tersebut melewati setiap tahap yang diperlukan. Proposal itu menerima suara yang cukup, masuk ke antrean, dan dieksekusi sesuai dengan proses tata kelola normal protokol, akhirnya mentransfer kontrol administratif proxy Governor kepada penyerang.
Hak istimewa administratif kemudian memungkinkan penyerang untuk mengganti implementasi Governor dengan kontrak minimal yang tidak terverifikasi yang berisi fungsi forward(address, bytes).
Menurut Defimon Alerts, fungsi tersebut dibatasi pada akun yang dimiliki secara eksternal oleh penyerang dan secara efektif berfungsi sebagai mekanisme panggilan arbitrer, memungkinkan penyerang untuk mengeksekusi transaksi dengan otoritas Governor di seluruh kontrak StrongBlock.
Transfer token terjadi dalam transaksi berikut.
Menggunakan implementasi yang ditingkatkan, penyerang mengeksekusi transaksi yang mentransfer aset dari pool protokol daripada mengeksploitasi kesalahan dalam logika kontrak protokol.
Defimon Alerts mengatakan penyerang menghapus 32.695 token STRONG bersama dengan 383.447 STRNGR, sehingga nilai perkiraan aset yang dicuri menjadi sekitar $72.000.
Perusahaan keamanan tersebut mengkarakteristikkan insiden ini sebagai pengambilalihan tata kelola karena setiap tindakan kritis, termasuk perubahan administrator dan pemutakhiran kontrak, terjadi melalui izin tata kelola, bukan kerentanan perangkat lunak.
Dengan mengganti implementasi Governor sebelum memindahkan dana, penyerang mengubah kontrak tata kelola itu sendiri menjadi mekanisme yang digunakan untuk mengotorisasi transfer.
Insiden keamanan baru-baru ini telah menunjukkan bahwa penyerang semakin menargetkan berbagai bagian infrastruktur kripto.
Akhir bulan lalu, protokol perpetual terdesentralisasi Ostium menyimpulkan bahwa penyerang mencuri 23,75 juta USDC setelah mendapatkan akses tidak sah ke infrastruktur off-chain-nya, alih-alih mengeksploitasi kerentanan dalam kontrak pintarnya.
Menurut laporan post-mortem Ostium, laporan harga BTC-USD palsu yang diajukan melalui infrastruktur tepercaya memungkinkan penyerang menghasilkan keuntungan perdagangan artifisial yang diselesaikan terhadap vault likuiditas OLP publik protokol. Analisis sebelumnya dari perusahaan keamanan blockchain Blockaid juga menyimpulkan bahwa laporan oracle yang dimanipulasi, alih-alih cacat dalam kode kontrak, yang memungkinkan eksploitasi.
Secara terpisah, insiden dompet Coldcard berasal dari masalah firmware yang diperkenalkan selama pembaruan perangkat lunak Maret 2021. Tim teknik dan keamanan Bitcoin dari Coinkite dan Block menyimpulkan bahwa firmware yang terpengaruh menghasilkan seed dompet menggunakan generator pseudo-acak deterministik, alih-alih generator angka acak perangkat keras yang dimaksudkan, mengurangi entropi yang digunakan untuk membuat private key.
Galaxy Research telah mengkonfirmasi pencurian total 1.596 BTC di sekitar 7.300 alamat yang terkait dengan tiga gelombang serangan. Perusahaan riset juga telah mengidentifikasi gelombang keempat yang dicurigai terkoordinasi yang melibatkan 448,7 BTC lainnya, meskipun belum memasukkan alamat-alamat tersebut dalam total yang dikonfirmasi karena konfirmasi korban tambahan masih tertunda.
Insiden Coldcard telah mendorong pengembang untuk meninjau bagian yang jauh lebih besar dari ekosistem perangkat lunak Bitcoin.
Awal pekan ini, pengembang Bitcoin Calle mengatakan Bitcoin Red Team sukarela telah menyelesaikan tinjauan yang dibantu AI dan manual di 390 repositori terkait Bitcoin, mengidentifikasi 4.962 potensi masalah keamanan, termasuk 720 yang diklasifikasikan sebagai tingkat keparahan tinggi atau kritis.
Menurut Calle, sekitar 21,4% dari temuan yang dilaporkan telah direproduksi melalui verifikasi manual sebelum diungkapkan secara pribadi kepada pengembang yang terpengaruh.
Kampanye peninjauan ini mencakup dompet Bitcoin, pustaka kriptografi, perangkat lunak infrastruktur, dan proyek open-source lainnya. Calle mengatakan OpenSats mendanai sekitar $10.000 per hari untuk biaya komputasi, sementara Kimi Moonshot telah menyediakan akun AI dan akses ke model Kimi K3-nya untuk mendukung upaya tersebut.
Tidak seperti eksploitasi Ostium atau insiden dompet Coldcard, serangan StrongBlock tidak mengandalkan infrastruktur yang disusupi, manipulasi oracle, atau kelemahan kriptografi.
Sebaliknya, penyerang pertama-tama memperoleh kendali tata kelola sebelum memodifikasi kontrak administrator protokol itu sendiri.
Menurut Defimon Alerts, memutakhirkan proxy Governor ke implementasi yang berisi fungsi forward(address, bytes) yang dibatasi memberikan dompet penyerang otoritas eksklusif untuk mengeksekusi panggilan arbitrer melalui kontrak Governor.
Aset yang dicuri kemudian ditransfer menggunakan izin yang diberikan oleh protokol itu sendiri setelah proposal tata kelola selesai, menggambarkan bagaimana sistem tata kelola yang terbengkalai dapat terus menjalankan kontrol administratif atas kontrak protokol bahkan setelah aktivitas pengembangan sebagian besar berhenti.
