## Eksploit Unleash Protocol: bagaimana $3,9 juta dana ditarik melalui kerentanan manajemen

Peneliti keamanan dari PeckShield menemukan insiden serius di platform terdesentralisasi Unleash Protocol, yang berjalan di atas Story Protocol. Penjahat memanfaatkan kerentanan dalam sistem manajemen multi-tanda tangan dan berhasil menarik sekitar $3,9 juta aset pengguna. Insiden ini menunjukkan pentingnya perlindungan kontrol administratif dalam ekosistem DeFi.

## Anatomi peretasan: dari akses tidak sah hingga penarikan dana

Serangan dimulai dengan kompromi mekanisme multi-tanda tangan Unleash Protocol. Penjahat mendapatkan akses administratif tidak sah dan mengimplementasikan pembaruan smart contract yang tidak disetujui, yang melewati prosedur persetujuan standar. Ini memberi penjahat kendali langsung atas protokol dan kemampuan untuk menarik dana dari kontrak tanpa izin internal dari tim.

Setelah menarik aset dari protokol, penjahat mulai membagi dana yang dicuri menjadi bagian kecil untuk menyulitkan pelacakan. Di blockchain Ethereum, tercatat deposit dalam bentuk 1 337,1 ETH, yang masuk ke Tornado Cash — alat privasi populer untuk menyembunyikan asal-usul transaksi. Sistem deposit berulang (dari jumlah kecil hingga batch sebesar 100 ETH) jelas diarahkan untuk mencampur aset melalui protokol mixer guna menghilangkan hubungan antara dana yang dicuri dan sumber aslinya.

## Aset apa saja yang menjadi sasaran

Selama eksploit, beberapa token kunci dari ekosistem terkompromi: WIP, USDC, WETH, stIP, dan vIP. Semua aset ini ditarik di luar kendali yang disetujui tanpa persetujuan dari tim utama. Tim Unleash Protocol menegaskan bahwa insiden ini terbatas pada kontrak protokol itu sendiri — Story Protocol, validator-nya, dan infrastruktur dasar tetap utuh.

## Tindakan platform dan rekomendasi untuk pengguna

Segera setelah menemukan kerentanan, Unleash Protocol menghentikan semua operasi untuk mencegah kerugian lebih lanjut. Tim memulai penyelidikan bersama para ahli keamanan independen dan pakar forensik. Saat ini, pengguna sangat disarankan untuk menahan diri dari berinteraksi dengan kontrak Unleash Protocol sampai ada pembaruan resmi mengenai perbaikan kerentanan.

Insiden ini kembali menegaskan pentingnya audit keamanan rutin, konfirmasi ganda untuk operasi manajemen kritis, dan pemantauan akses administratif yang memadai di protokol DeFi.