Peretasan Bybit senilai US$1,5 miliar baru-baru ini menjadikan Grup Lazarus Korea Utara sebagai salah satu dari 15 holder Ethereum terbesar di dunia. Pelanggaran ini mengguncang dunia aset kripto, memperingatkan pengguna yang sebelumnya menganggap Ethereum sebagai salah satu jaringan paling aman dan terdesentralisasi.
Dalam percakapan dengan BeInCrypto, perwakilan dari Holonym, Cartesi, dan Komodo Platform membahas implikasi dari pelanggaran ini, langkah-langkah untuk mencegah situasi serupa di masa depan, dan bagaimana memulihkan kepercayaan publik terhadap Ethereum.
Jenis Pelanggaran yang Berbeda
Peretasan Bybit mengguncang komunitas kripto bukan hanya karena jumlah dana yang dicuri tetapi juga karena sifat pelanggarannya.
Sementara pelanggaran exchange kripto lainnya, seperti episode Mt. Gox 2014 atau peretasan Coincheck 2018, melibatkan kunci pribadi atau kompromi langsung dari wallet exchange, situasi Bybit berbeda.
Alih-alih mencuri kunci pribadi, para peretas memanipulasi proses penandatanganan transaksi, menunjukkan bahwa ini adalah serangan pada tingkat infrastruktur. Proses penandatanganan transaksi menjadi target, bukan penyimpanan aset itu sendiri.
Analisis forensik dari peretasan Bybit melacak pelanggaran tersebut ke Safe Wallet, sebuah infrastruktur wallet multi-tanda tangan yang disediakan oleh pihak ketiga. Safe Wallet menggunakan smart contract dan file JavaScript yang disimpan di cloud pada AWS S3 untuk memproses dan mengamankan transaksi.
Peretas dapat diam-diam memodifikasi transaksi dengan menyuntikkan JavaScript berbahaya ke dalam penyimpanan AWS S3 Safe Wallet. Oleh karena itu, meskipun sistem Bybit tidak diretas secara langsung, para peretas mengubah tujuan transfer yang telah disetujui oleh Bybit.
Detail ini mengungkapkan kelemahan keamanan yang serius. Integrasi pihak ketiga menjadi titik lemah meskipun sebuah exchange mengunci sistemnya.
Lazarus Group di Antara Holder Terbesar Ethereum
Setelah peretasan besar-besaran ini, Korea Utara menjadi salah satu dari 15 holder Ethereum terbesar.
Menurut data on-chain, Gemini, yang sebelumnya memegang posisi ke-15, memiliki 369.498 ETH di wallet Ethereum-nya. Sejak peretas Bybit mencuri lebih dari 401.000 ETH, mereka kini melampaui Gemini dalam kepemilikan.
Fakta bahwa kelompok terkenal seperti Lazarus, yang bertanggung jawab atas beberapa peretasan profil tinggi di sektor kripto, kini memegang jumlah Ether yang signifikan menimbulkan beberapa masalah kepercayaan. Sementara spekulasi awal menunjukkan kelemahan dalam sifat terdesentralisasi Ethereum, Nanak Nihal Khalsa, Co-Founder Holonym, menepis klaim ini.
Mengingat bahwa tata kelola dan mekanisme konsensus Ethereum bergantung pada validator daripada holder token, kepemilikan ETH yang besar oleh Grup Lazarus tidak mengkompromikan desentralisasi keseluruhan jaringan.
“Lazarus masih memiliki kurang dari 1% ETH yang beredar, jadi saya tidak melihatnya sebagai hal yang sangat relevan selain dari segi tampilan. Meskipun itu banyak ETH, mereka masih memiliki kurang dari 1%. Saya sama sekali tidak khawatir,” ujar Khalsa kepada BeInCrypto.
Kadan Stadelmann, Chief Technology Officer di Komodo Platform, setuju, menekankan bahwa desain infrastruktur Ethereum adalah sumber kelemahannya.
“Ini membuktikan adanya kerentanan dalam arsitektur Ethereum: pelaku ilegal dapat memperluas kepemilikan mereka lebih jauh dengan menargetkan exchange atau protokol DeFi, dan dengan demikian mempengaruhi dinamika pasar dan mungkin mengubah keputusan tata kelola dalam proses off-chain Ethereum dengan memberikan suara pada proposal peningkatan. Meskipun desentralisasi teknis Ethereum tidak terkompromikan, Grup Lazarus telah merusak kepercayaan pada Ethereum,” terang Stadelmann kepada BeInCrypto.
Namun, meskipun holder token tidak dapat mempengaruhi mekanisme konsensus Ethereum, mereka dapat memanipulasi pasar.
Dampak Potensial dan Manipulasi Pasar
Meskipun para peretas Bybit sudah selesai mencuci ETH yang dicuri, Stadelmann menjelaskan serangkaian skenario yang mungkin dilakukan oleh Lazarus Group dengan kekayaan besar yang mereka kumpulkan. Salah satu opsi adalah staking.
“Keamanan Proof-of-Stake Ethereum bergantung pada validator yang jujur dan ketahanan dari wallet, exchange, dan dApps. Meskipun hasil curian Lazarus Group tidak mengancam mekanisme konsensus blockchain, karena kepemilikan mereka tidak diketahui di-stake, hal ini tentu menimbulkan kekhawatiran bahwa ini bisa terjadi. Mereka sepertinya tidak akan melakukan ini, karena dana yang mereka curi telah dilacak,” terang Stadelmann.
Sejalan dengan kemungkinan yang sama kecilnya, para peretas Bybit bisa menyebabkan penurunan pasar yang signifikan dengan menjual semua kepemilikan mereka.
“Kepemilikan mereka memang memberi mereka kesempatan untuk memanipulasi pasar, seperti jika mereka menjual kepemilikan mereka. Ini akan sulit dilakukan karena ETH mereka telah ditandai. Jika mereka mencoba menukar ETH dengan menjual, aset mereka bisa dibekukan,” tambah Stadelmann.
Yang paling dikhawatirkan Stadelmann ke depannya adalah dampak yang bisa ditimbulkan oleh peretasan terhadap protokol layer-2 Ethereum.
“Lazarus dan mitranya bisa mencoba menyerang protokol layer-2 seperti Arbitrum dan Optimism. Serangan sensor pada layer-2 bisa merusak dApps dan menyebabkan ekosistem bergerak menuju sequencer transaksi terpusat. Itu akan menyoroti kelemahan Ethereum,” ujarnya.
Meskipun jaringan Ethereum tidak dikompromikan, serangan terhadap Safe Wallet menyoroti kerentanan dalam keamanan ekosistem yang lebih besar.
“Pelanggaran ini tentu saja meningkatkan ketegangan dalam ekosistem, dan menciptakan distribusi token yang tidak merata. Pertanyaannya tetap: apakah Lazarus atau kelompok peretas lain yang terkait dengan aktor negara akan mencoba mengeksploitasi ekosistem Ethereum, terutama pada layer-2?” simpul Stadelmann.
Ini juga menimbulkan pertanyaan tentang perlunya standar keamanan yang lebih baik.
Verifikasi Lebih Penting dari Kepercayaan
Khalsa berpendapat bahwa peretasan Bybit, meskipun tidak mengancam keamanan inti Ethereum, menyoroti perlunya standar keamanan yang lebih baik di kalangan pengguna.
“Mengatakan bahwa peretasan adalah masalah Ethereum sama seperti mengatakan kematian akibat kecelakaan mobil adalah masalah mobil ketika pengemudi tidak mengenakan sabuk pengaman. Apakah mobil bisa memiliki lebih banyak langkah keamanan? Ya, dan seharusnya. Tapi seperti sabuk pengaman yang tidak banyak berhubungan dengan mobil, peretasan ini tidak banyak berhubungan dengan Ethereum. Ini adalah protokol dan bekerja persis seperti yang diharapkan. Masalahnya adalah kurangnya kenyamanan dan pengetahuan untuk mengamankan aset digital,” ujarnya.
Secara khusus, insiden ini mengungkapkan kerentanan dalam wallet multi-signature, menunjukkan bahwa ketergantungan pada integrasi pihak ketiga dapat memperkenalkan risiko signifikan, bahkan dengan keamanan internal yang kuat. Pada akhirnya, bahkan langkah-langkah keamanan wallet yang paling canggih menjadi tidak efektif jika proses penandatanganan dapat dikompromikan.
Khalsa menekankan bahwa langkah-langkah keamanan self-custody yang terbukti ada, sementara wallet multi-signature tidak termasuk di antaranya. Dia menambahkan bahwa lembaga pemerintah seharusnya sejak lama menganjurkan standar dan praktik keamanan yang lebih baik.
“Dampak yang bisa kita harapkan adalah menjadi serius dalam menghentikan Korea Utara mencuri lebih banyak dana. Meskipun bukan tempatnya pemerintah untuk mengubah cara self-custody dilakukan, ini benar-benar tempatnya pemerintah untuk mendorong ‘praktik terbaik’ industri yang lebih baik. Serangan ini disebabkan oleh mitos bahwa multisig dari wallet hardware aman. Sayangnya, dibutuhkan serangan ini untuk diakui, tetapi standar yang lebih baik yang ditetapkan oleh lembaga pemerintah dapat mendorong praktik yang lebih aman tanpa perlu kompromi US$1,5 miliar untuk membangunkan industri,” tegasnya.
Insiden ini juga mengungkapkan perlunya memverifikasi transaksi daripada mempercayai aplikasi pihak ketiga.
Solusi untuk Kerentanan Front-End
Dengan menyuntikkan JavaScript berbahaya ke server cloud Safe Wallet yang rentan, Lazarus Group meluncurkan serangan canggih, memungkinkan mereka meniru antarmuka dan menipu pengguna.
Menurut Erick de Moura, co-founder Cartesi, eksploitasi ini menyoroti kerentanan kritis. Masalahnya terletak pada ketergantungan pada pipeline pembangunan dan penerapan terpusat dalam sistem yang dimaksudkan untuk desentralisasi.
“Insiden SAFE ini menjadi pengingat tegas bahwa Web3 hanya seaman tautan terlemahnya. Jika pengguna tidak dapat memverifikasi bahwa antarmuka yang mereka gunakan adalah asli, desentralisasi menjadi tidak berarti,” ujarnya.
De Moura juga menambahkan bahwa kesalahpahaman umum dalam keamanan Web3 adalah bahwa pelanggaran smart contract adalah salah satu bentuk peretasan exchange yang paling efektif. Namun, dia menganggap bahwa strategi Lazarus Group di Bybit membuktikan sebaliknya. Menyuntikkan kode berbahaya ke antarmuka depan atau komponen off-chain lainnya jauh lebih mulus.
“Para peretas tidak perlu melanggar smart contract atau memanipulasi sistem ByBit secara langsung. Sebaliknya, mereka menyuntikkan kode berbahaya ke antarmuka depan, menipu pengguna untuk berpikir bahwa mereka berinteraksi dengan platform yang terpercaya,” jelasnya.
Terlepas dari kerentanan ini, transisi dari keamanan berbasis kepercayaan ke keamanan yang dapat diverifikasi adalah mungkin.
Alasan untuk Reproducible Builds
De Moura memandang peretasan Bybit sebagai panggilan untuk bangun bagi komunitas Web3. Saat exchange dan pengembang menilai kembali keamanan mereka, dia berpendapat bahwa build yang dapat diverifikasi dan direproduksi sangat penting untuk mencegah serangan di masa depan.
“Pada intinya, build yang dapat direproduksi memastikan bahwa ketika kode sumber dikompilasi, selalu menghasilkan output biner yang sama. Ini menjamin bahwa perangkat lunak yang digunakan pengguna tidak diubah oleh pihak ketiga di suatu tempat dalam jalur penerapan,” ujarnya.
Teknologi blockchain sangat penting untuk memastikan proses ini terjadi.
“Bayangkan sebuah sistem di mana setiap build perangkat lunak menghasilkan biner dan sumber daya dengan cara yang dapat diverifikasi, dengan sidik jari (atau checksum) mereka disimpan di chain. Alih-alih menjalankan build tersebut di server cloud atau komputer yang rentan terhadap pelanggaran keamanan, mereka dapat dieksekusi pada co-processor blockchain khusus atau oracle komputasi terdesentralisasi,” tutur De Moura kepada BeInCrypto.
Pengguna dapat membandingkan checksum dari sumber daya front-end yang mereka muat dengan data di chain melalui plugin atau fitur browser. Kecocokan yang berhasil menunjukkan antarmuka build yang autentik, sedangkan ketidaksesuaian menandakan potensi kompromi.
“Jika pendekatan build yang dapat diverifikasi dan direproduksi diterapkan pada SAFE, eksploitasi bisa dicegah. Front-end yang berbahaya akan gagal dalam verifikasi terhadap catatan di chain, langsung mengungkap serangan tersebut,” terang De Moura.
Pendekatan ini menawarkan alternatif yang berguna daripada mengandalkan pengguna dengan tingkat pengetahuan self-custody yang bervariasi.
Mengatasi Kesenjangan Pengetahuan Pengguna
Seiring serangan menjadi lebih canggih, kurangnya pengetahuan pengguna tentang cara menyimpan aset digital dengan aman menjadi kerentanan yang signifikan.
Peretasan Bybit membuat frustrasi pengguna yang awalnya berpikir bahwa mengandalkan integrasi pihak ketiga sudah cukup untuk melindungi aset mereka. Ini juga mempengaruhi persepsi yang lebih luas tentang keamanan mata uang kripto.
“Ini menunjukkan bahwa kripto masih berada di era Wild West dan dalam fase pertumbuhan dalam hal keamanan. Saya pikir dalam beberapa tahun kita akan memiliki keamanan yang lebih baik, namun dalam kondisi saat ini, ketakutan publik sangat beralasan,” komentar Khalsa.
Pada akhirnya, mengadopsi pendekatan yang berbeda akan sangat penting bagi komunitas Web3 untuk membangun ekosistem yang lebih aman dan tangguh. Titik awal yang baik adalah menuntut praktik industri yang lebih baik dan mengevaluasi integrasi build yang dapat diverifikasi dan direproduksi.
Penyangkalan
Seluruh informasi yang terkandung dalam situs kami dipublikasikan dengan niat baik dan bertujuan memberikan informasi umum semata. Tindakan apa pun yang dilakukan oleh para pembaca atas informasi dari situs kami merupakan tanggung jawab mereka pribadi.
Selain itu, sebagian artikel di situs ini merupakan hasil terjemahan AI dari versi asli BeInCrypto yang berbahasa Inggris.
