$10M ETH yang Dicuri Menghilang ke Tornado Cash: Apa yang Dapat Diberitahukan Tentang Risiko Kontrak Pintar dari Peretasan Maret 2024

Ingat tentang bencana phishing $24 sejuta dari September 2023? Nah, ceritanya belum selesai. Pada 21 Maret, CertiK mendeteksi hacker akhirnya memindahkan 3.700 ETH (~$10M dengan harga saat ini) ke Tornado Cash—layanan mixing yang dirancang untuk menyamarkan jejak transaksi. Ini bukan langkah sembarangan. Ini adalah contoh klasik bagaimana crypto yang dicuri akhirnya dicuci.

Buku Panduan Serangan

Begini ceritanya: Seorang whale crypto menyetujui transaksi yang tampak seperti “Increase Allowance” rutin. Kedengarannya tidak berbahaya, kan? Salah besar. Persetujuan tunggal ini memberi hacker izin untuk menguras token ERC-20 langsung dari dompet mereka menggunakan kontrak pintar berbahaya. Dalam dua tahap, penyerang menyedot 9.579 stETH dan 4.851 rETH dari layanan staking Rocket Pool.

Data dari PeckShield menunjukkan hacker kemudian mengonversi hasilnya menjadi 13.785 ETH + 1,64 juta DAI, menyebar dana ke berbagai dompet dan bursa. Pola pencucian uang klasik.

Persetujuan Token Adalah Titik Lemah Crypto

Bagian yang menakutkan? Ini bukan kejadian tunggal. Laporan Scam Sniffer menemukan $47M hilang karena phishing hanya dalam Februari saja, dengan 78% terjadi di Ethereum. Kenapa? Karena sebagian besar pengguna tidak tahu apa yang mereka setujui saat menandatangani kontrak.

Hanya beberapa hari setelah peretasan ini, bursa Dolomite juga dieksploitasi melalui kontrak lama—$1,8 juta hilang dari pengguna yang lupa mereka memberi izin berbulan-bulan lalu. Pelajaran yang bisa diambil: Setiap persetujuan token adalah pintu belakang potensial.

Sisi Positifnya

Tidak semua peretasan berakhir total kehilangan. Tim Layerswap menangkap situs web mereka yang terkompromi dalam beberapa jam, membatasi kerusakan ke $100K sejumlah 50 pengguna. Mereka bahkan mengembalikan dana kepada korban—sebuah kemenangan langka dalam dunia keamanan crypto.

Apa Artinya Ini untuk Kamu

Polanya jelas: hacker tidak selalu merusak kode—mereka memanfaatkan perilaku pengguna. Sebelum kamu menyetujui kontrak apa pun, tanyakan pada diri sendiri: Apakah saya tahu apa yang sebenarnya dilakukan? Bisakah saya mencabut izin nanti? Lebih baik lagi, gunakan pemeriksa izin alamat sebelum menandatangani sesuatu yang mencurigakan. Perbedaan antara situasi kritis dan bencana bisa saja hanya satu langkah verifikasi selama 30 detik.