Coinspect telah mengungkap kerentanan Ill Bloom, yaitu celah pada wallet aset kripto yang menghasilkan recovery phrase lemah di beberapa blockchain. Para penyerang memanfaatkan celah ini pada 27 Mei dan menguras 431 wallet dengan total sekitar US$3,1 juta.
Coinspect menelusuri masalah ini ke generator angka acak pseudorandom yang tidak aman saat pembuatan wallet. Kerentanan ini ditemukan pada banyak chain, termasuk Bitcoin (BTC), Ethereum (ETH), dan Solana (SOL).
Cara Kerja Kerentanan Ill Bloom Merusak Wallet Kripto
Menurut Coinspect, generator yang bermasalah tersebut menghasilkan recovery phrase dengan kekuatan kriptografi jauh lebih lemah dari standar seharusnya. Akibatnya, penyerang bisa meregenerasi semua kemungkinan phrase dan menguras semua alamat yang berisi dana.
Para peneliti berhasil mereplikasi serangan ini dari awal hingga akhir. Mereka berhasil menurunkan semua alamat yang bisa dihasilkan recovery phrase lemah dan mencocokkannya dengan wallet yang berisi saldo di blockchain publik. Alamat yang terdampak ada sejak tahun 2018, dan sebagian besar berasal dari wallet aset kripto mobile yang tidak terlalu populer.
Pengguna diminta agar mengecek riwayat alamat wallet mereka. Pengguna wallet hardware tidak terdampak. Awal tahun ini, Binance telah mengeluarkan peringatan iOS penting untuk pengguna mobile.
Serangan Terkordinasi pada 27 Mei Kuras 431 Wallet
Berdasarkan analisis Coinspect, data yang dipantau memuat 2.114 alamat dengan saldo di Bitcoin, Ethereum, Tron, Rootstock, dan Polygon. Pada 27 Mei, akun-akun yang dikuras mengirim semua saldo ke sejumlah alamat kolektor bersama hanya dalam beberapa jam.
Bitcoin mencatat kerugian terbesar senilai US$2,57 juta, dan satu akun saja kehilangan lebih dari US$1,1 juta. Secara historis, semua alamat yang terpapar pernah menyimpan hingga US$12,56 juta pada puncaknya di April 2022.
Coinspect menuturkan, angka US$3,1 juta tersebut merupakan batas bawah karena terus ditemukan akun baru yang terdampak. Serangan ini juga menambah kerugian aset kripto akibat pencurian di tahun ini, yang pada Januari saja sudah menembus US$400 juta.
Kunci privat yang bocor bisa langsung menguras nilai, seperti yang baru-baru ini terjadi pada insiden kebocoran privat key di Humanity Protocol. Menariknya, insiden sebelumnya seperti Milk Sad, juga berasal dari masalah acak yang lemah seperti ini.
Cara Pengguna Aset Kripto Melindungi Dana Mereka
Coinspect telah merilis alat pengecekan yang membandingkan alamat publik dengan kumpulan data yang sudah diketahui rawan ini. Tapi, hasil negatif tidak menjamin keamanan karena kumpulan data tersebut belum sepenuhnya lengkap.
Pengguna yang ditemukan cocok sebaiknya membuat wallet aset kripto baru dan memindahkan dana ke alamat barunya. Sebaliknya, jika hanya mengimpor recovery phrase lama ke aplikasi lain, maka dana tetap rentan dicuri.
Di saat yang sama, para penipu memanfaatkan situasi seperti ini, seperti yang terjadi pada penipuan airdrop palsu di Hyperliquid baru-baru ini. Coinspect menegaskan bahwa mereka tidak pernah meminta rahasia apapun.
“Kami tidak akan pernah meminta seed phrase, private key, tanda tangan, persetujuan, atau meminta pengguna mengirim dana untuk ‘memulihkan’ atau melindungi wallet,” terang Coinspect.
Vendor wallet terus mendorong standar keamanan yang lebih baik, termasuk standar Clear Signing Ethereum yang baru. Meski begitu, beberapa hari ke depan akan mengungkap aplikasi apa saja yang menghasilkan recovery phrase lemah. Sampai saat itu, memindahkan aset kripto dari alamat yang sudah ditandai tetap menjadi satu-satunya solusi yang pasti aman.
