Sebuah dompet yang terkait dengan peneliti keamanan pseudonim Quit menarik 3.832 NFT dari ratusan dompet tak berhubungan pada 25 September, tanda pertama yang terlihat dari operasi penyelamatan atau white hat yang dibangun di sekitar bug pada kontrak Payment Processor V2 milik LimitBreak. Operasi tersebut akhirnya memindahkan 23.155 NFT senilai hampir US$6 juta, sementara jalur eksploitasi terpisah meninggalkan 660 WETH yang tidak berhasil dipulihkan.
Operasi White Hat Pindahkan Ribuan NFT
Insiden ini pertama kali menarik perhatian ketika trader NFT, Cirrus, melaporkan bahwa sebuah dompet telah menguras 3.832 NFT dari lebih dari 100 dompet. Quit, yang juga menjabat sebagai VP of Blockchain di Yuga Labs, kemudian mengonfirmasi bahwa transfer tersebut merupakan bagian dari operasi white hat.
“Semua yang ada di 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33 aman dan akan dikembalikan begitu tidak lagi berisiko,” tulis peneliti tersebut.
Mereka menjelaskan bahwa persoalan yang mendasarinya melibatkan Payment Processor V2. Pada pukul 09.00 EST, seorang penyerang memakai bug itu untuk mengambil 10 Meebits, 50 Otherdeeds, 10 NFT World of Women, dan 235 Despertae Apewives.
Kerentanan yang Tidak Dapat Dijeda
Quit kemudian menemukan bahwa banyak NFT lain terpapar kerentanan yang sama, tetapi situasinya menjadi rumit karena V2 tidak dapat dijeda. LimitBreak berhasil menjeda Payment Processor V3 setelah dihubungi, namun V3 di ApeChain untuk sementara juga tidak bisa dijeda.
“Satu-satunya jalan untuk melindungi aset yang terdampak adalah menjalankan operasi white hat,” catat Quit.
Secara total, 23.155 NFT berhasil diselamatkan, dengan peneliti memperkirakan nilainya sekitar US$6 juta. Para pemilik nantinya dapat mengklaim aset tersebut setelah mencabut persetujuan atau approval yang rentan.
660 WETH Tidak Berhasil Diselamatkan
Meski demikian, penyelamatan itu tidak memulihkan seluruh aset yang terpapar celah tersebut. Quit kemudian menemukan bahwa kerentanan itu juga dapat dieksploitasi secara terbalik untuk mencuri WETH, sehingga 660 WETH berada dalam risiko.
“Bekerja sepanjang malam untuk menyelamatkan NFT senilai sekitar US$6 juta dan yang hanya bisa saya pikirkan adalah US$1,7 juta dalam WETH yang tidak sempat saya amankan,” ujarnya di X.
Peretasan Kedua pada Hari yang Sama
Insiden NFT tersebut terjadi hampir bersamaan dengan pelanggaran pada Bitget, di mana peretas memindahkan lebih dari US$351 juta dari sebagian hot wallet dan warm wallet, sementara cold storage yang menyimpan sebagian besar aset bursa itu tetap tidak tersentuh.
Seperti dilaporkan CryptoPotato, CEO Bitget Gracy Chen mengaitkan kerugian tersebut dengan sistem backend yang dikompromikan sehingga memungkinkan penyerang memalsukan data transaksi, bukan karena private key yang dicuri. Ia juga menyatakan bahwa pelanggan terdampak akan diganti rugi, dengan dana berasal dari user protection fund Bitget senilai US$464 juta.
XRP menjadi bagian tunggal terbesar dari mata uang kripto yang dicuri, dengan lebih dari 100 juta unit senilai lebih dari US$158 juta tersebar di sejumlah dompet.
Implikasi bagi Keamanan Aset Digital
Kasus ini menyoroti pentingnya kemampuan menjeda kontrak pintar ketika celah keamanan muncul. Ketidakmampuan menjeda Payment Processor V2 membuat langkah penyelamatan harus dilakukan melalui operasi white hat, sementara versi V3 yang dapat dijeda setelah pihak terkait dihubungi menunjukkan perbedaan penanganan yang signifikan.
Bagi pemilik aset yang terdampak, pengembalian NFT bergantung pada pencabutan persetujuan yang rentan sebelum aset dapat diklaim kembali. Sementara itu, jalur eksploitasi yang mengincar WETH memperlihatkan bahwa celah pada kontrak yang sama dapat dimanfaatkan untuk jenis aset lain dan berpotensi menimbulkan kerugian yang tidak dapat dipulihkan.
