Analisis mendalam insiden kerentanan Truebit: Bagaimana overflow bilangan bulat memungkinkan peretas mencetak koin senilai 26,44 juta dolar tanpa biaya

8 Januari 2024, platform verifikasi perhitungan Truebit mengalami insiden keamanan besar. Laporan analisis dari tim keamanan SlowMist mengungkapkan kebenaran di balik kejadian ini: penyerang memanfaatkan kerentanan overflow integer pada kontrak Purchase untuk mencetak token TRU dengan biaya mendekati nol, kemudian mencuri 8.535 ETH senilai sekitar 26,44 juta dolar AS. Lebih mengkhawatirkan lagi, hacker telah melakukan pencucian dana secara penuh antara tanggal 10-11 Januari melalui Tornado Cash, sehingga upaya pemulihan menjadi hampir tidak mungkin. Ini bukan hanya kerugian ekonomi besar, tetapi juga ujian serius terhadap kesadaran keamanan ekosistem kontrak pintar secara keseluruhan.

Esensi Kerentanan: Mekanisme Perlindungan yang Dilupakan

Apa itu overflow integer

Overflow integer adalah kerentanan umum namun berbahaya pada kontrak pintar. Secara sederhana, ketika perhitungan nilai melebihi batas maksimum tipe data, sistem secara otomatis akan “mengulang” ke nilai minimum. Contohnya, jika nilai maksimum dari bilangan tanpa tanda 8-bit adalah 255, maka saat Anda menambahkan 1, hasilnya akan menjadi 0.

Dalam kontrak Purchase di Truebit, kerentanan ini dimanfaatkan untuk perhitungan harga. Penyerang dengan parameter transaksi yang dirancang secara cermat menyebabkan overflow pada perhitungan harga, sehingga sistem mengizinkan pencetakan token TRU dengan harga sangat rendah (mendekati nol). Ini setara dengan penyerang melakukan operasi yang seharusnya membutuhkan biaya jutaan dolar hanya dengan biaya yang hampir nol.

Mengapa kerentanan ini muncul

Berdasarkan analisis SlowMist, penyebab utama adalah kontrak Truebit tidak memiliki mekanisme perlindungan overflow. Masalah ini merupakan kerentanan keamanan klasik dalam bahasa pemrograman Solidity.

Truebit menggunakan versi Solidity sebelum 0.8.0 untuk mengompilasi kontraknya, yang berarti semua operasi aritmatika harus dilindungi oleh SafeMath. Namun, jelas bahwa pada salah satu bagian perhitungan Price, perlindungan ini terlewatkan.

Jalur Serangan dan Respons Pasar

Proses aksi hacker

Berdasarkan pemantauan informasi terkait, proses eksekusi serangan ini sangat efisien dan mengagetkan:

• Langkah pertama: mengidentifikasi kerentanan, membuat transaksi berbahaya
• Langkah kedua: mencetak sejumlah besar token TRU dengan biaya sangat rendah
• Langkah ketiga: menggunakan token yang dicetak untuk menarik ETH dari pool dana Truebit
• Langkah keempat: cepat memindahkan dana ke alamat mixer
• Langkah kelima: menyelesaikan pencucian uang melalui Tornado Cash (selesai 10-11 Januari)

Seluruh proses dari penemuan kerentanan hingga pencucian dana berlangsung kurang dari 72 jam. Tingkat profesionalisme dan kecepatan eksekusi hacker menunjukkan ini bukan sekadar percobaan acak, melainkan serangan yang direncanakan secara khusus.

Isyarat kekhawatiran pasar

Insiden ini memicu reaksi negatif yang jelas di pasar. Berdasarkan data terbaru, harga ETH saat ini adalah 3.102,47 dolar AS, menunjukkan tren melemah: turun 0,03% dalam 24 jam dan turun 2,14% dalam 7 hari terakhir. Meskipun penurunan tidak terlalu besar, masalah yang lebih dalam adalah keraguan investor terhadap keamanan proyek seperti protokol verifikasi perhitungan (Computation Verification Protocol).

Truebit adalah infrastruktur verifikasi perhitungan penting dalam ekosistem Layer 2. Insiden keamanannya tidak hanya merusak kepercayaan terhadap proyek itu sendiri, tetapi juga memicu kekhawatiran industri secara luas tentang “seberapa banyak kerentanan serupa yang masih ada.”

Pelajaran Industri: Ini Bukan Insiden Individual

Mengapa SafeMath sangat penting

Dalam laporannya, SlowMist secara tegas menyarankan: untuk semua kontrak yang dikompilasi dengan versi Solidity sebelum 0.8.0, harus selalu menggunakan SafeMath untuk melindungi semua operasi aritmatika. Ini bukan pilihan, melainkan garis pertahanan dasar yang wajib.

Peran SafeMath sangat sederhana namun krusial: ia memeriksa setiap operasi aritmatika untuk overflow, dan jika terjadi, langsung membatalkan transaksi (revert). Langkah ini tampak berlebihan, tetapi mampu mencegah bencana seperti yang terjadi pada Truebit.

Masalah Blind Spot dalam Audit

Menariknya, meskipun Truebit adalah proyek yang cukup matang secara pendanaan dan teknologi, kontraknya seharusnya telah melalui proses audit keamanan. Namun, kerentanan ini tetap terlewatkan. Ini mencerminkan masalah industri:

• Tim audit mungkin terlalu bergantung pada alat otomatis
• Kurangnya pemahaman risiko khusus dari versi Solidity lama
• Kedalaman peninjauan kode yang tidak memadai

Ini menunjukkan bahwa bahkan proyek yang sudah diaudit pun tidak bisa menjamin keamanan 100%.

Ancaman Berkelanjutan dari Mixer

Tornado Cash kembali berperan sebagai “lubang hitam” dana dalam insiden ini. Setelah dana masuk ke mixer, hampir tidak mungkin dilacak atau dibekukan. Inilah sebabnya kerugian 8.535 ETH dianggap “hampir tidak bisa dipulihkan.”

Ini mengingatkan kita bahwa, bahkan jika kita berhasil mendapatkan alamat dompet hacker, jika mereka segera memindahkan dana ke mixer, penegakan hukum selanjutnya akan menghadapi kesulitan besar.

Kesimpulan

Insiden Truebit pada dasarnya adalah bencana yang disebabkan oleh perlindungan dasar yang dilupakan. Kerugian sebesar 8.535 ETH dan 26,44 juta dolar AS hanyalah permukaannya; masalah yang lebih dalam adalah:

• Pemilihan versi sangat penting: menggunakan Solidity versi lama membutuhkan kesadaran dan perlindungan ekstra
• SafeMath bukan opsi: melainkan garis pertahanan wajib
• Audit bukan segalanya: perlu peninjauan kode dan penilaian risiko yang lebih mendalam
• Respons cepat sangat krusial: kecepatan transfer dana hacker menunjukkan perlunya mekanisme tanggap darurat yang lebih gesit

Bagi industri secara keseluruhan, ini adalah pelajaran mahal. Tetapi jika dapat mendorong standar keamanan yang lebih ketat, proses audit yang lebih mendalam, dan pemilihan versi yang lebih hati-hati, biaya ini mungkin tidak akan sia-sia sepenuhnya.