Tinjauan Kejadian Keamanan Industri Web3 2024: Analisis Sepuluh Kasus Serangan

Pada tahun 2024, industri Web3 mengalami pertumbuhan pesat namun juga menghadapi tantangan keamanan yang semakin serius. Menurut statistik, hingga akhir tahun, total kerugian di bidang ini mencapai 2,491 miliar USD akibat serangan hacker, penipuan, dan penggelapan oleh pihak proyek. Peristiwa-peristiwa ini tidak hanya mengungkapkan kerentanan di tingkat teknologi, seperti manajemen kunci pribadi dan masalah kontrak pintar, tetapi juga menyoroti pentingnya serangan rekayasa sosial dan risiko manajemen internal.

Artikel ini akan mengulas sepuluh peristiwa keamanan teratas di bidang Web3 pada tahun 2024, dengan harapan dapat mengambil pelajaran dari pengalaman tersebut untuk memberikan referensi dalam perlindungan keamanan di masa depan.

1. Sebuah bursa Jepang mengalami serangan besar

Kerugian: 3,04 miliar USD Metode Serangan: Kebocoran Kunci Pribadi

Pada 31 Mei 2024, sebuah bursa cryptocurrency terkenal di Jepang mengalami serangan bersejarah. Para hacker memanfaatkan kunci pribadi yang bocor untuk langsung memindahkan Bitcoin senilai lebih dari 300 juta dolar AS, dan dengan cepat menyebarkan dana ke beberapa alamat. Peristiwa ini mengungkapkan kekurangan serius bursa tersebut dalam pengelolaan kunci pribadi dan perlindungan keamanan multi-lapis. Meskipun bursa berusaha melacak hacker melalui pemantauan on-chain dan membekukan dana, sulit untuk memulihkan karena dana yang dicuri dengan cepat disebarkan dan dibersihkan melalui alat pencampur.

Pada akhir tahun, polisi Jepang mengidentifikasi bahwa serangan ini dilakukan oleh organisasi peretas tertentu.

2. PlayDapp mengalami kerugian besar

Kerugian: 290 juta dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 9 Februari 2024, PlayDapp mengalami kecelakaan keamanan yang serius. Hacker mencuri kunci pribadi untuk mencetak sejumlah besar token PLA, dengan nilai awal 36,5 juta dolar AS. Karena negosiasi dengan hacker gagal, penyerang kemudian mencetak lebih banyak token, menyebabkan total kerugian melonjak menjadi 253,9 juta dolar AS. PlayDapp terpaksa menghentikan kontrak asli dan beralih ke kontrak token baru. Peristiwa ini menyoroti kekurangan proyek blockchain dalam perlindungan kunci pribadi dan respons darurat.

3. Bursa kripto terbesar di India mengalami serangan yang terukur

Kerugian: 235 juta dolar AS Metode Serangan: Serangan Jaringan dan Phishing

Pada 18 Juli 2024, dompet multisig dari bursa cryptocurrency terbesar di India menjadi target serangan hacker yang terencana. Penyerang menggunakan teknik rekayasa sosial untuk memicu para penandatangan multisig menyetujui transaksi upgrade kontrak, kemudian memanfaatkan hak akses kontrak yang telah diupgrade untuk memindahkan semua aset di dalam dompet. Kasus ini mengungkapkan potensi risiko yang ada pada manajemen hak akses dan transparansi operasional dompet multisig, yang memicu refleksi mendalam di industri tentang mekanisme kontrol risiko internal proyek.

4. Gala Games Menghadapi Serangan Penerbitan Token

Kerugian: 216 juta dolar AS Metode Serangan: Kerentanan Kontrol Akses

Pada tanggal 20 Mei 2024, alamat privilese dari Gala Games diretas oleh hacker. Penyerang memanggil fungsi mint dari kontrak token, mencetak 5 miliar token GALA sekaligus. Selanjutnya, token-token ini ditukar secara bertahap menjadi ETH, menyebabkan kerugian langsung sebesar 216 juta dolar. Tim Gala Games kemudian mengaktifkan fitur daftar hitam untuk memblokir beberapa akun hacker, dan melalui jalur hukum, mereka berhasil memulihkan sebagian dari kerugian tersebut.

5. Dompet pribadi pendiri proyek cryptocurrency terkenal dicuri

Kerugian: 1,12 miliar dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 31 Januari 2024, empat dompet pribadi seorang co-founder proyek cryptocurrency terkenal diretas, mengakibatkan pencurian XRP senilai 112 juta dolar AS. Dompet-dompet ini diduga menjadi target serangan karena kurangnya perlindungan ganda perangkat keras. Meskipun beberapa dana yang dicuri berhasil dibekukan oleh suatu bursa dan membantu pelacakan, sebagian besar dana telah dicuci melalui bursa terdesentralisasi dan layanan pencampuran.

6. Munchables Menghadapi Penyusupan Internal

Kerugian: 62,5 juta dolar AS Metode Serangan: Serangan Rekayasa Sosial

Pada 26 Maret 2024, platform game Web3 berbasis Blast, Munchables, mengalami serangan infiltrasi internal yang langka. Penyerang menyamar sebagai pengembang blockchain dan mendapatkan akses ke kode inti dan kunci sensitif setelah bersembunyi dalam waktu lama. Meskipun menyebabkan kerugian besar, di bawah tekanan komunitas dan tim, peretas akhirnya mengembalikan semua dana yang dicuri. Peristiwa ini menyoroti pentingnya keamanan rantai pasokan, terutama bagi proyek blockchain yang bergantung pada pengembang pihak ketiga.

7. Bursa utama Turki mengalami kebocoran kunci pribadi

Kerugian: 55 juta dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 22 Juni 2024, sebuah bursa cryptocurrency utama di Turki mengalami serangan kebocoran kunci privat, mengakibatkan kerugian lebih dari 55 juta dolar AS dalam aset kripto. Dengan bantuan salah satu bursa besar, 5,3 juta dolar AS dari dana yang dicuri berhasil dibekukan, tetapi aset lainnya masih belum dapat dipulihkan. Peristiwa ini memperdalam kekhawatiran pasar terhadap kemampuan manajemen kunci privat di bursa terpusat.

8. Dompet Multisignature Radiant Capital Diterobos

Kerugian: 53 juta dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada 17 Oktober 2024, dompet multisig dari Radiant Capital diserang oleh hacker. Karena menggunakan mode verifikasi tanda tangan 3/11 dengan ambang batas rendah, hacker berhasil mendapatkan kunci pribadi dari 3 penandatangan untuk melakukan tanda tangan off-chain, memindahkan kepemilikan kontrak dompet ke alamat jahat, yang akhirnya mengakibatkan pencurian sebesar 53 juta dolar AS. Serangan ini memicu refleksi industri mengenai desain dan mekanisme tata kelola dompet multisig.

Perlu dicatat bahwa Radiant Capital baru-baru ini kehilangan 4,5 juta dolar AS karena kerentanan kontrak, yang mencerminkan bahwa pihak proyek masih memiliki ruang untuk meningkatkan perhatian terhadap keamanan.

9. Hedgey Finance Mengalami Serangan Multi-Rantai

Kerugian: 44,7 juta dolar Metode Serangan: Kerentanan Kontrak

Pada tanggal 19 April 2024, beberapa kontrak on-chain Hedgey Finance diserang. Peretas memanfaatkan celah persetujuan pada kontrak ClaimCampaigns, berhasil mengekstrak token di dua jaringan, Ethereum dan Arbitrum, dengan total kerugian mencapai 44,7 juta dolar AS. Peristiwa ini sekali lagi menekankan pentingnya audit kode, terutama verifikasi yang ketat terhadap logika persetujuan token.

10. Dompet panas suatu bursa diretas

Kerugian: 44,7 juta dolar AS Metode Serangan: Kebocoran Kunci Pribadi

Pada tanggal 19 September 2024, dompet panas sebuah bursa terkena peretasan, melibatkan beberapa blockchain publik seperti Ethereum, BNB Chain, dan Tron. Meskipun bursa dengan cepat memulai mekanisme pemindahan aset dan pembekuan penarikan, peretas telah berhasil menarik aset senilai 44,7 juta dolar AS. Serangan ini sekali lagi memicu perhatian industri terhadap risiko manajemen dompet panas bursa terpusat, mendorong industri untuk mengeksplorasi solusi penyimpanan aset yang lebih aman.

Kejadian keamanan yang sering terjadi pada tahun 2024 kembali mengingatkan kita bahwa perkembangan sehat industri blockchain tidak terlepas dari jaminan keamanan yang kuat. Dari pengelolaan kunci pribadi hingga keamanan kontrak, dari kontrol internal hingga pertahanan eksternal, setiap kejadian menjadi peringatan bagi industri. Di masa depan, kami berharap melalui inovasi teknologi dan kolaborasi industri, kita dapat bersama-sama membangun ekosistem blockchain yang lebih aman dan dapat diandalkan, memberikan perlindungan yang lebih baik bagi pengguna dan investor.