Protokol manajemen aset blockchain Swan Treasury telah mengalami kerugian sekitar $625.000 setelah penyerang mengeksploitasi kunci penanda tangan off-chain yang bocor untuk membeli token STY dengan diskon besar sebelum menjualnya untuk mendapatkan keuntungan.
Menurut perusahaan keamanan blockchain Defimon Alerts, eksploitasi terjadi di BNB Chain setelah kunci penanda tangan off-chain protokol, yang dikodekan secara permanen sebagai alamat _signer di kontrak ZhaiquanBuy, disusupi.
Penyerang menggunakan kunci yang bocor untuk menghasilkan tanda tangan yang valid untuk dompet mereka sendiri, memungkinkan mereka untuk melewati batasan pembelian yang dimaksudkan oleh protokol.
Defimon Alerts mengatakan penyerang memanipulasi fungsi buy(), yang menghitung jumlah STY yang diterima pengguna berdasarkan nilai diskon yang ditandatangani. Dengan menghasilkan tanda tangan yang valid dengan parameter diskon diatur ke satu, penyerang membeli STY dengan harga sekitar seperseratus dari harga yang seharusnya.
Menggunakan pinjaman kilat PancakeSwap senilai sekitar 19.700 USDT, penyerang memperoleh hampir 687.000 token STY melalui mekanisme pembelian diskon tersebut.
Perusahaan keamanan tersebut mengatakan eksploitasi tidak berhenti di situ. Tanda tangan yang valid juga dipalsukan untuk fungsi claim() dan transfer() protokol pada kontrak terkait, memberikan penyerang akses tambahan ke STY sebelum menjual token ke dalam pool likuiditas STY/USDT.
Setelah melepas posisi, penyerang memperoleh keuntungan sekitar 625.000 USDT, menurut Defimon Alerts.
STY diperdagangkan sekitar $2.87 pada saat kejadian, catat laporan perusahaan.
Dalam penilaian teknisnya, Defimon Alerts mengatakan setiap operasi ecrecover yang diamati selama eksploitasi diselesaikan ke alamat penanda tangan protokol yang dikodekan secara permanen daripada akun yang dikendalikan penyerang mana pun.
Perusahaan tersebut mengatakan perilaku ini menunjukkan bahwa kunci penanda tangan pribadi itu sendiri telah disusupi, bukan karena protokol mengandung cacat dalam logika verifikasi tanda tangannya. Karena tanda tangan yang dihasilkan sangat cocok dengan penanda tangan yang diharapkan, transaksi tersebut tampak valid bagi kontrak pintar yang terpengaruh.
Temuan ini mempersempit kemungkinan penyebab eksploitasi ke akses tidak sah ke kredensial penandatanganan protokol, daripada kesalahan dalam proses verifikasi kriptografi.
Pada saat publikasi, Swan Treasury belum menjelaskan secara publik bagaimana kunci penanda tangan tersebut terekspos atau apakah tindakan mitigasi tambahan telah diterapkan.
Insiden ini menambah serangkaian serangan kripto di mana kunci istimewa yang disusupi, daripada bug kontrak pintar, memungkinkan penyerang untuk mengakses dana protokol.
Pada Juni 2025, perusahaan keamanan blockchain Hacken mengungkapkan bahwa kunci pribadi yang disusupi yang terhubung ke kontrak dengan hak istimewa pencetakan (minting) memungkinkan penyerang untuk membuat 900 juta token HAI di seluruh Ethereum dan BNB Chain.
Hacken mengatakan kunci tersebut terekspos saat perusahaan melakukan perubahan arsitektural pada infrastruktur jembatan blockchain-nya, memungkinkan penyerang memperoleh sekitar $250.000 sebelum akun pencetakan yang terpengaruh dicabut dan operasi jembatan dihentikan.
Penelitian terpisah juga terus mengidentifikasi eksposur kunci pribadi sebagai salah satu risiko keamanan paling persisten di industri. Sebuah laporan Hacken yang dikutip oleh crypto.news sebelumnya menemukan bahwa kegagalan kontrol akses, termasuk kebocoran kunci pribadi, menyumbang 78% dari kerugian peretasan kripto yang tercatat selama tahun 2024.
Baru-baru ini, Zilliqa mengungkapkan cacat pada aplikasi Ledger natifnya yang dapat memungkinkan penyerang untuk memulihkan kunci pribadi dari tanda tangan transaksi publik. Jaringan menangguhkan transaksi ZIL natif setelah menentukan bahwa kelemahan dalam pembuatan nonce memungkinkan untuk merekonstruksi kunci yang terpengaruh setelah cukup tanda tangan terkumpul.
Zilliqa mengatakan masalah tersebut berasal dari aplikasi Ledger-nya sendiri daripada perangkat keras Ledger itu sendiri dan menginstruksikan pengguna yang terpengaruh untuk menunggu panduan pemulihan daripada segera memindahkan dana.
Peneliti akademik dan pelaku industri kripto juga telah memperingatkan bahwa keamanan kunci pribadi tetap rentan di luar eksploitasi kontrak pintar tradisional.
Para peneliti dari University of California melaporkan awal tahun ini bahwa beberapa layanan perutean AI pihak ketiga mampu mengakses kredensial sensitif, termasuk kunci pribadi mata uang kripto dan frasa benih (seed phrases), karena mereka memproses permintaan pengguna dalam teks biasa (plaintext).
Selama pengujian terkontrol, para peneliti mengamati perilaku jahat dari beberapa layanan perutean dan menunjukkan bahwa satu perantara berhasil menguras Ether dari dompet uji setelah menerima kunci pribadinya.
Meskipun studi universitas tidak terkait dengan insiden Swan Treasury, para peneliti menyimpulkan bahwa pengembang harus menghindari mengekspos kunci pribadi atau frasa benih ke sistem perantara dan sebaliknya mengandalkan perlindungan kriptografi yang lebih kuat untuk mengurangi risiko pencurian kredensial.
