Kerentanan Kritikal dalam Kontrak BSC Memicu Kehilangan $100,000

BlockSec Phalcon, platform keamanan dari firma audit terkemuka BlockSec, baru-baru ini melaporkan di jaringan X penemuan serangan canggih terhadap kontrak tidak dikenal yang dideploy di chain BSC. Operasi jahat tersebut mengakibatkan pencurian sekitar $100.000, mengungkapkan kelemahan mendasar dalam mekanisme sinkronisasi protokol pembakaran pasangan token.

Arsitektur Protokol: Tempat Terjadinya Kerentanan

Menurut analisis yang dibagikan oleh Odaily, akar masalah terletak pada desain sistem pembakaran likuiditas. Kerentanan ini tidak hanya terletak pada kode yang cacat, tetapi pada arsitektur yang memungkinkan manipulasi secara berantai. Protokol mengimplementasikan fungsi sinkronisasi yang, meskipun bertujuan menjaga keseimbangan pasangan, akhirnya menjadi titik lemah kontrak.

Mekanisme ini diprogram untuk secara otomatis menghancurkan persentase token yang signifikan saat dilakukan operasi pertukaran, dengan keyakinan bahwa tindakan ini akan melindungi dana. Namun, fitur ini justru menjadi alat yang digunakan pelaku serangan untuk keuntungan mereka.

Eksekusi dalam Dua Fase: Anatomi Serangan

Pelaku memanfaatkan kerentanan melalui strategi arbitrase yang dilakukan dalam dua operasi berturut-turut. Pada fase pertama, selama pertukaran awal, dia berhasil menarik 99.56% dari token PGNLZ dari dana likuiditas. Tindakan ini sendiri seharusnya memicu mekanisme keamanan, tetapi arsitektur memungkinkan untuk dilanjutkan.

Pada fase kedua, pelaku melakukan operasi penjualan PGNLZ yang secara otomatis mengaktifkan fungsi transferFrom dari kontrak. Fungsi ini, sesuai desainnya, menghancurkan 99.9% dari sisa token PGNLP dan menjalankan sinkronisasi paksa. Di sinilah kerentanan menunjukkan seluruh magnitudnya: pembakaran massal PGNLP menyebabkan kenaikan harga relatif token secara artifisial, memanipulasi metrik nilai dana.

Keuntungan Pelaku Serangan: Eksploitasi Harga Manipulatif

Dengan memanfaatkan distorsi harga yang dihasilkan oleh sinkronisasi dan pembakaran token, pelaku melakukan langkah terakhirnya. Dengan harga yang dimanipulasi menguntungkannya, dia berhasil menarik hampir seluruh USDT yang tersisa di dana, menyelesaikan rangkaian kejadian yang berujung pada kerugian total sebesar $100.000.

Implikasi untuk Ekosistem BSC

Insiden ini menyoroti pola berulang dalam kerentanan kontrak pintar: konfluensi mekanisme yang tampaknya independen dapat menciptakan vektor serangan yang tidak terduga. Pengembang yang beroperasi di chain BSC dan merancang protokol dengan fungsi pembakaran harus mempertimbangkan kembali bagaimana fungsi ini berinteraksi dengan operasi sinkronisasi dan transfer dana, serta menerapkan validasi tambahan yang memutus rantai eksploitasi ini.