Ringkasan Sepuluh Peristiwa Keamanan Terbesar di Bidang Web3 Tahun 2024

Pada tahun 2024, industri blockchain menghadapi tantangan keamanan yang semakin serius sambil melakukan inovasi teknologi dan perluasan ekosistem. Menurut data dari suatu platform pemantauan keamanan, hingga saat ini, total kerugian di bidang Web3 pada tahun 2024 akibat serangan hacker, penipuan phishing, dan penggelapan oleh pihak proyek mencapai 24,91 miliar dolar AS.

Peristiwa-peristiwa ini tidak hanya mengungkapkan kekurangan teknis dalam manajemen kunci pribadi, kontrak pintar, dan aspek lainnya, tetapi juga menyoroti risiko potensial dari rekayasa sosial dan manajemen internal. Artikel ini akan meninjau sepuluh kejadian keamanan Web3 teratas tahun 2024, dengan harapan dapat mengambil pelajaran dari sana untuk memberikan referensi dalam menghadapi ancaman keamanan di masa depan.

1. DMM Bitcoin

Jumlah Kerugian: 3,04 Miliar Dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada tanggal 31 Mei 2024, bursa cryptocurrency ternama Jepang DMM Bitcoin mengalami serangan besar. Para hacker memanfaatkan kunci pribadi yang bocor untuk langsung memindahkan Bitcoin senilai lebih dari 300 juta dolar AS, dan dengan cepat mendistribusikan dana yang dicuri ke lebih dari 10 alamat yang berbeda. Peristiwa ini mengungkapkan celah serius dalam pengelolaan kunci pribadi dan perlindungan keamanan berlapis yang dimiliki bursa tersebut. Meskipun bursa berusaha melacak hacker melalui pemantauan di blockchain dan membekukan dana, usaha pelacakan menghadapi tantangan besar karena Bitcoin yang dicuri telah didistribusikan dan dicuci menggunakan alat pencampur.

Perlu dicatat bahwa pada 24 Desember, pihak berwenang Jepang mengonfirmasi bahwa insiden serangan ini dilakukan oleh suatu organisasi peretas internasional.

2. PlayDapp

Jumlah Kerugian: 2,90 miliar USD Metode Serangan: Kebocoran Kunci Pribadi

Pada 9 Februari 2024, PlayDapp mengalami kerugian besar. Penyerang menggunakan pencurian kunci pribadi untuk mencetak 2 miliar token PLA, yang awalnya bernilai 36,5 juta dolar AS. Karena kegagalan negosiasi antara pihak proyek dan penyerang, penyerang kemudian mencetak 15,9 miliar token PLA, yang bernilai 253,9 juta dolar AS. Sebagian token yang dicuri mengalir ke suatu platform perdagangan, setelah itu PlayDapp terpaksa menghentikan kontrak PLA dan bermigrasi ke kontrak token PDA yang baru. Peristiwa ini menyoroti kekurangan proyek blockchain dalam perlindungan kunci pribadi dan penanganan darurat.

3. Sebuah bursa kripto di India

Jumlah kerugian: 2,35 miliar dolar AS Metode Serangan: Serangan Jaringan dan Phishing

Pada 18 Juli 2024, dompet multi-tanda tangan Safe Wallet dari bursa kripto terbesar di India mengalami serangan yang terencana. Penyerang menggunakan teknik rekayasa sosial untuk mendorong penandatangan multi-tanda tangan untuk menandatangani transaksi peningkatan kontrak, dan kemudian memanfaatkan hak akses dari kontrak yang telah ditingkatkan untuk memindahkan semua aset di dalam dompet. Kasus ini mengungkapkan potensi risiko pada konfigurasi hak akses dan transparansi operasional dompet multi-tanda tangan, serta memicu refleksi mendalam di industri tentang mekanisme pengendalian risiko dan keamanan internal proyek.

4. Gala Games

Jumlah kerugian: 216 juta dolar AS Metode Serangan: Kerentanan Kontrol Akses

Pada 20 Mei 2024, sebuah alamat istimewa dari Gala Games diretas oleh peretas. Penyerang berhasil mencetak 5 miliar token GALA sekaligus dengan memanggil fungsi mint dalam kontrak token. Setelah itu, peretas menukarkan token yang baru dicetak ini menjadi ETH secara bertahap, yang secara langsung menyebabkan kerugian sebesar 216 juta dolar AS. Tim Gala Games dengan cepat mengaktifkan fungsi daftar hitam untuk memblokir beberapa akun peretas setelah kejadian itu, dan melalui jalur hukum, mereka berhasil memulihkan sebagian dari kerugian tersebut.

5. Salah satu pendiri bersama perusahaan cryptocurrency

Jumlah Kerugian: 112 Juta Dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 31 Januari 2024, empat dompet pribadi dari salah satu pendiri bersama sebuah perusahaan cryptocurrency terkemuka diretas, mengakibatkan pencurian XRP senilai 112 juta dolar AS. Dompet-dompet ini diduga menjadi target serangan karena kurangnya perlindungan ganda dari perangkat keras. Setelah kejadian tersebut, sebuah platform perdagangan besar berhasil membekukan XRP senilai 4,2 juta dolar AS dan membantu melacak aset yang dicuri, tetapi sebagian besar dana telah dicuci melalui bursa terdesentralisasi dan layanan pencampuran.

6. Munchables

Jumlah Kerugian: 62,5 juta dolar AS Metode Serangan: Serangan Rekayasa Sosial

Pada tanggal 26 Maret 2024, platform permainan Web3 berbasis Blast, Munchables, mengalami serangan infiltrasi internal yang jarang terjadi. Penyerang menyamar sebagai pengembang blockchain dan mendapatkan akses ke kode inti serta kunci sensitif setelah bersembunyi dalam waktu lama. Meskipun serangan tersebut menyebabkan kerugian besar, di bawah tekanan komunitas dan tim, peretas akhirnya mengembalikan semua dana yang dicuri. Peristiwa ini menyoroti pentingnya keamanan rantai pasokan, terutama bagi proyek blockchain yang bergantung pada pengembang pihak ketiga.

7. Sebuah bursa cryptocurrency di Turki

Jumlah kerugian: 55 juta dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 22 Juni 2024, bursa cryptocurrency terbesar di Turki mengalami serangan kebocoran kunci privat, dengan kerugian lebih dari 55 juta USD dalam aset kripto. Dengan bantuan salah satu platform perdagangan besar, 5,3 juta USD dari dana yang dicuri berhasil dibekukan, tetapi aset lainnya belum berhasil dipulihkan. Peristiwa ini memperdalam kekhawatiran pasar tentang pengelolaan kunci privat di bursa terpusat.

8. Radiant Capital

Jumlah kerugian: 53 juta dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 17 Oktober 2024, dompet multisig Radiant Capital diretas oleh hacker. Karena menggunakan mode verifikasi tanda tangan 3/11 dengan ambang batas rendah, hacker berhasil menguasai kunci pribadi dari 3 penandatangan untuk melakukan tanda tangan di luar rantai, memindahkan kepemilikan kontrak dompet ke alamat jahat, yang akhirnya mengakibatkan pencurian sebesar 53 juta dolar AS. Serangan ini memicu refleksi industri tentang desain dan mekanisme tata kelola dompet multisig.

Perlu dicatat bahwa Radiant Capital sebelumnya telah kehilangan 4,5 juta dolar karena celah kontrak, dengan lebih dari 1900 ETH dicuri. Ini sekali lagi menyoroti perlunya proyek Web3 untuk meningkatkan tingkat perhatian terhadap keamanan.

9. Hedgey Finance

Jumlah Kerugian: 44,7 juta dolar AS Metode Serangan: Kerentanan Kontrak

Pada tanggal 19 April 2024, Hedgey Finance mengalami serangan terhadap beberapa kontrak on-chain. Hacker memanfaatkan celah persetujuan dalam kontrak ClaimCampaigns-nya, berhasil mengekstrak token dari dua rantai yaitu Ethereum dan Arbitrum, dengan total kerugian mencapai 44,7 juta dolar. Peristiwa ini sekali lagi menekankan pentingnya audit kode, terutama verifikasi yang ketat terhadap logika persetujuan token.

10. Sebuah platform pertukaran cryptocurrency

Jumlah kerugian: 44,7 juta dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 19 September 2024, dompet panas dari platform perdagangan cryptocurrency terkenal diretas oleh hacker, yang melibatkan banyak blockchain seperti Ethereum, BNB Chain, dan Tron. Meskipun bursa dengan cepat memulai mekanisme pemindahan aset dan pembekuan penarikan, hacker telah berhasil mengekstrak aset senilai 44,7 juta dolar AS. Serangan ini sekali lagi mencerminkan tingginya risiko pengelolaan dompet panas di bursa terpusat, dan lebih lanjut mendorong industri untuk mengeksplorasi solusi penyimpanan aset yang lebih aman.

Kejadian keamanan yang sering terjadi di tahun 2024 sekali lagi mengingatkan kita bahwa perkembangan industri blockchain tidak terlepas dari pengawalan keamanan. Dari kebocoran kunci privat hingga kerentanan kontrak, dari kelalaian manajemen internal hingga peningkatan metode serangan eksternal, setiap kejadian membawa pelajaran yang mendalam. Untuk menghadapi ancaman serangan yang semakin kompleks, semua pihak dalam industri perlu terus meningkatkan investasi dalam penelitian dan pengembangan teknologi, norma manajemen, serta pencegahan risiko. Di masa depan, kami berharap melalui kolaborasi industri dan inovasi teknologi, kita dapat bersama-sama membangun ekosistem blockchain yang lebih aman, memberikan perlindungan yang lebih andal bagi pengguna dan investor.