Dompet Tron Berisiko: 14.500 Alamat Bisa Menghadapi Pembajakan
- Para penyerang telah mengeksploitasi kerentanan baru di dompet Tron, dengan 2.130 dompet pada Q4 2024 saja, masing-masing kehilangan sekitar US$31,5 juta.
- Metode serangan melibatkan pemblokiran transaksi yang sah sementara memungkinkan korban untuk secara tidak sadar menyetor lebih banyak dana.
Kerentanan yang baru diidentifikasi yang ditemukan pada dompet Tron telah menemukan bahwa lebih dari 14.500 dompet di platform tersebut mengekspos jutaan kepemilikan kripto. Menurut laporan perusahaan keamanan AMLBot, 2.130 dompet tersebut diduga telah disusupi pada Q4 2024 saja, masing-masing menyimpan sekitar US$31,5 juta.
Penipuan Dompet Kripto Tron
Alih-alih langsung menguras dompet, penyerang secara diam-diam mendapatkan kendali dan memblokir transaksi yang sah, membuat pemilik sebenarnya tidak menyadarinya. Penundaan deteksi ini memungkinkan korban untuk tanpa sadar menyetor lebih banyak dana ke dalam akun yang disusupi.
“Biasanya, korban bahkan tidak menyadari bahwa dompetnya hilang,” jelas Mykhailo Tiutin, CTO AMLBot. Salah satu pengguna yang terkena dampak mengungkapkan bagaimana dia telah menambahkan 1.000 USDT ke dompetnya tanpa menyadari bahwa dompet tersebut telah disusupi. “Jika pencuri segera mengambil semua uang saya, saya akan segera menyadari bahwa saya telah kehilangan dompet saya,” katanya, menurut laporan CoinTelegraph.
Kerentanan terletak pada transaksi UpdateAccountPermission milik Tron, yang merupakan fitur yang dirancang untuk membuat dompet lebih aman dengan menetapkan peran dan menetapkan ambang batas untuk otorisasi transaksi. Sebagai contoh, jika ambang batas transaksi adalah 10 dan dua kunci memiliki bobot masing-masing lima, maka kedua kunci tersebut harus menyetujui transaksi tersebut.
Akan tetapi, jika seorang penyerang mendapatkan sebuah kunci pribadi dari pemilik dompet, ia dapat menambahkan kuncinya sendiri ke akun tersebut dan mengkonfigurasinya untuk memenuhi ambang batas yang dibutuhkan. Hal ini, pada dasarnya, mengunci pemilik yang sah dari dompetnya.
“Dompet tidak memiliki notifikasi atau informasi apapun yang mengatakan bahwa seseorang telah menambahkan kunci lain ke dompet Anda. Sama sekali tidak ada indikasi bahwa dompet Anda hilang sampai Anda sendiri yang mengirim transaksi keluar,” kata Tiutin.
Setelah penguncian, pengguna tidak dapat melakukan banyak hal. “Serangan ini sangat mengkhawatirkan, karena tidak ada cara untuk memulihkan dana bagi pengguna karena kunci pribadi penyerang diperlukan untuk transaksi lebih lanjut,” kata Sattvik Kansal, salah satu pendiri Rome Protocol.
Meskipun kerentanan ini telah dieksploitasi, fungsi UpdateAccountPermission bermanfaat dalam banyak hal. Hal ini terutama membantu entitas bisnis dan organisasi untuk memiliki kontrol bersama atas dana mereka. Menggunakan persetujuan multi-tanda tangan meminimalkan transaksi yang tidak sah dan mendukung tata kelola yang terdesentralisasi.
Bergerak Untuk Meningkatkan Keamanan Dompet
Bukan sesuatu yang eksklusif untuk Tron adalah eksploitasi fungsi dompet. Faktanya, banyak pengguna Ethereum yang mengalami kerugian besar akibat penyalahgunaan fitur-fitur umum seperti “approve” dan “permit” Perusahaan keamanan Blockchain Scam Sniffer mencatat bahwa penipuan phishing mencapai US$9,38 juta pada November 2024, di mana US$7 juta di antaranya berasal dari Ethereum.
Mencegah serangan semacam ini dimulai dengan melindungi private key. Seperti yang dijelaskan oleh Axel Leloup, peneliti keamanan utama di Dowsers, “Pastikan kunci pribadi dan frasa mnemonik disimpan dengan aman, sebaiknya offline, dan jangan pernah dibagikan dengan pihak yang tidak dipercaya.”
Dalam satu contoh, kunci pribadi dalam dompet Tron yang terkena dampak tertanam dalam kode sumber langsung dari kontrak pintar selama pengujian, membuatnya sangat rentan. Eksposur yang rendah terhadap saldo dompet dapat membuat para penyerang semakin enggan, terutama karena fungsi UpdateAccountPermission membebankan biaya 100 TRX.
Disclaimer: Konten pada artikel ini hanya merefleksikan opini penulis dan tidak mewakili platform ini dengan kapasitas apa pun. Artikel ini tidak dimaksudkan sebagai referensi untuk membuat keputusan investasi.
Kamu mungkin juga menyukai
Arbitrum mengatakan bahwa mereka menarik diri dari program akselerator setelah Nvidia menolak asosiasi dengan kripto
Secara Singkat Arbitrum Foundation mengatakan bahwa mereka menarik diri dari program Nvidia-backed Ignition AI Accelerator setelah pembuat chip meminta agar namanya tidak disebutkan dalam pengumuman publik. Laporan sebelumnya mengindikasikan bahwa NVIDIA menolak tawaran Arbitrum untuk bergabung dengan program akselerator tersebut. Arbitrum menyebut penarikan tersebut sebagai “keputusan bisnis yang tepat” dalam sebuah pernyataan.

Protokol DeFi Solana Loopscale terkena eksploitasi senilai $5,8 juta dua minggu setelah peluncuran
Ringkasan Cepat Protokol DeFi Solana Loopscale kehilangan $5,8 juta pada hari Sabtu setelah penyerang yang tidak dikenal mengeksploitasi masalah dengan salah satu pasarnya, kata platform tersebut. Loopscale mengatakan bahwa pihaknya secara aktif bekerja sama dengan penegak hukum untuk melacak pelaku dan mencoba memulihkan dana. Platform tersebut sementara membatasi fitur tertentu pada hari Sabtu saat menyelidiki insiden tersebut.

Nintendo, Pengembang Veteran Disney Baru Saja Meluncurkan Aplikasi di Pi Network

Musim Bitcoin Berkuasa: Indeks Altcoin Datar Mendekati Rekor Terendah

Berita trending
LainnyaHarga kripto
Lainnya








