Seorang hacker menguras sekitar US$86.000 dari pool vesting token bersama milik UNCX Network di Ethereum pada hari Rabu, dengan mengambil token yang telah dikunci oleh proyek lain. Firma keamanan Blockaid menyatakan bahwa serangan tersebut masih berlangsung.
UNCX, yang sebelumnya bernama UniCrypt, menawarkan cara bagi proyek kripto untuk mengunci token mereka sendiri agar pihak internal tidak bisa menjual lebih awal. Kontraknya menahan sekitar US$179,7 juta di berbagai blockchain, dengan US$111,4 juta di Ethereum.
Bagaimana Penyerang Bisa Mengambil Token Milik Orang Lain?
Blockaid menyebut kerugian terjadi melalui satu transaksi pengurasan. Banyak token yang dikunci proyek-proyek berbeda disimpan bersama dalam satu pool.
Penyerang membuka beberapa posisi vesting di sana. Posisi vesting adalah slot yang menyimpan token dan akan merilisnya sesuai jadwal yang telah ditentukan.
Kemudian, penyerang melepaskan satu posisi besar dan mengirim lebih banyak token ke pool. Setelah itu, mereka membatalkan sebuah posisi yang sudah ditambah jumlahnya.
Tindakan tersebut menyisakan satu posisi kecil yang tersisa. Menurut Blockaid, slot kecil itu kemudian dapat menarik token milik pengguna lain.
Panduan resmi UNCX sendiri menyebutkan bahwa token yang di-vesting terkunci secara waktu di kontrak yang sudah diaudit.
“tidak dapat dikirim, dijual, ditambahkan ke likuiditas atau di-staking,” bunyi salah satu cuplikan dalam panduan tersebut seperti tertulis.
Blockaid menyebutkan dua wallet milik pelaku. Data Etherscan menunjukkan salah satunya menyimpan sekitar US$5.874 dalam delapan transaksi.
Mengapa Kerugian US$86.000 Tetap Penting untuk Proyek Kecil
Pada waktu publikasi, UNCX belum mengeluarkan pernyataan publik terkait eksploitasi di platform mereka.
Token asli platform ini hampir tidak bereaksi. UNCX Network (UNCX) diperdagangkan pada harga US$24,80, naik 0,16% dalam 24 jam terakhir, menurut data BeInCrypto. Nilai pasar totalnya sekitar US$905.000.
Kerugian kecil pun tetap bisa menggagalkan sebuah proyek. Decentralized exchange Full Sail harus tutup setelah diretas yang menelan kerugian sekitar US$91.000 pada bulan Agustus.
Kode kontrak lama juga pernah menjadi sasaran. Notional Finance kehilangan US$1,73 juta akibat bug integer overflow di kontrak lawas mereka pada bulan September.
Fungsi locker token bertujuan agar pembeli dapat memastikan bahwa pihak internal tidak bisa melakukan dump atas pasokan token. Pertanyaan terbuka saat ini adalah proyek mana yang kehilangan token dan apakah UNCX bisa menghentikan pool sebelum penarikan lebih lanjut terjadi.
