Token CCC di BSC telah mengalami eksploitasi yang menyebabkan kerugian sekitar $117.000 setelah penyerang memanipulasi fungsi sell() kontrak token dan membakar token yang disimpan di kumpulan likuiditasnya.
Menurut perusahaan keamanan blockchain TenArmorAlert, sistem pemantauannya mendeteksi aktivitas mencurigakan yang melibatkan CCC di BSC pada 28 Agustus dan melacak insiden tersebut ke fungsi sell() kontrak token. Perusahaan tersebut mengatakan fungsi tersebut digunakan untuk membakar token CCC langsung dari pasangan penyedia likuiditas (liquidity provider pair), yang diikuti oleh pergerakan harga token yang tidak normal.
TenArmorAlert memperkirakan kerugian dari serangan tersebut sekitar $117.000. Perusahaan tersebut mengidentifikasi transaksi serangan yang dimulai dengan “0x89d805064” dalam peringatan keamanannya tetapi tidak memberikan rincian lengkap aset yang dihapus atau hasil akhir penyerang.
Informasi yang tersedia tidak mengidentifikasi bagaimana penyerang memperoleh kemampuan untuk memicu fungsi yang terpengaruh, apakah kontrol akses dilewati, atau apakah interaksi kontrak lain diperlukan sebelum token dapat dibakar.
Serangan yang dilaporkan berpusat pada token CCC yang dipegang oleh pasangan LP alih-alih penarikan langsung aset dari kumpulan.
TenArmorAlert mengatakan fungsi sell() kontrak membakar CCC dari pasangan LP. Menghapus token dari pasangan perdagangan dengan cara ini dapat mengubah saldo token yang digunakan oleh kumpulan, meskipun perusahaan keamanan tersebut belum menerbitkan analisis teknis terperinci yang menjelaskan urutan transaksi lengkap dalam insiden CCC.
Perusahaan tersebut secara khusus mengaitkan aktivitas tersebut dengan pergerakan harga CCC yang tidak normal setelah pembakaran. Laporan independen yang diterbitkan setelah peringatan tersebut membawa perkiraan kerugian $117.000 dan penjelasan fungsi sell() yang sama.
Tidak ada informasi yang tersedia pada saat penulisan yang menunjukkan apakah tim CCC telah menjeda kontrak yang terpengaruh, mengubah izinnya, memulihkan dana, atau mengumumkan kompensasi untuk penyedia likuiditas yang terpengaruh.
Rincian tentang token CCC itu sendiri masih terbatas dalam peringatan keamanan. TenArmorAlert mengidentifikasi jaringan yang terpengaruh sebagai BSC, yang umumnya dikenal sebagai BNB Smart Chain, tetapi postingan awalnya tidak menyebutkan nama bursa terdesentralisasi yang menjadi host pasangan LP.
Mekanisme yang dijelaskan oleh TenArmorAlert memiliki kesamaan dengan eksploitasi token sebelumnya di mana fungsi kontrak dimanipulasi untuk mengubah saldo token yang dipegang oleh kumpulan likuiditas.
Insiden CCC mengikuti beberapa serangan yang melibatkan kontrak token dan infrastruktur likuiditas di BNB Chain tahun ini.
Pada bulan Juli, crypto.news sebelumnya melaporkan bahwa Swan Treasury kehilangan $625.000 setelah penyerang memperoleh kunci penanda tangan off-chain yang digunakan oleh kontrak ZhaiquanBuy-nya. Kunci yang disusupi memungkinkan penyerang untuk menghasilkan tanda tangan yang valid dan membeli token STY dengan diskon besar sebelum menjualnya melalui kumpulan likuiditas STY-USDT.
Perusahaan keamanan blockchain Defimon Alerts menemukan bahwa insiden Swan Treasury melibatkan fungsi buy() kontrak tersebut. Fungsi tersebut menghitung jumlah STY yang didistribusikan berdasarkan nilai diskon yang ditandatangani, dan penanda tangan yang disusupi memungkinkan penyerang untuk menghasilkan tanda tangan yang mengatur parameter tersebut menjadi satu. Penyerang kemudian dapat memperoleh STY dengan sekitar seperseratus dari harga yang dimaksudkan.
Token berbasis BNB Chain lainnya mengalami penurunan harga yang tajam pada bulan Juli setelah eksploitasi terpisah. Balance Coin jatuh lebih dari 99% setelah perusahaan keamanan mengaitkan dua transaksi mencurigakan dengan serangan senilai sekitar $915.000 yang melibatkan 42DAO.
TenArmor melaporkan dalam kasus itu bahwa satu transaksi mencetak sekitar 4,5 juta token BLC yang tidak didukung sebelum dipindahkan ke PancakeSwap V2. Penyerang dilaporkan menukar token tersebut dengan USDT dan BTCB yang dipatok Binance, sementara BLC turun dari mendekati patokan $1 yang dimaksudkan ke titik terendah sepanjang masa $0,001209.
Serangan lain tahun ini telah mencapai kumpulan likuiditas melalui kelemahan tingkat kontrak yang berbeda.
Pada bulan Juni, Token of Power mengalami eksploitasi $1,58 juta yang melibatkan kumpulan Balancer V1 TOP/WETH-nya. Blockaid menggambarkan insiden tersebut sebagai serangan pengambilalihan tata kelola, sementara Cyvers melacak kerugian tersebut ke kumpulan Balancer yang terpengaruh.
Penyerang menguras 944,2 WETH dari kumpulan, membuatnya sangat encer dengan token TOP. PeckShield kemudian melacak 945,1 ETH yang dikirim ke Tornado Cash. Perusahaan keamanan belum menerbitkan laporan teknis lengkap tentang serangan itu pada saat laporan Juni.
Serangan bulan Mei terhadap DxSale melibatkan bentuk manipulasi kontrak lain di BNB Chain. Seorang penyerang diduga menggunakan pintu belakang kontrak tersembunyi untuk menarik BNB yang dikunci oleh lebih dari 1.400 penyedia likuiditas, dengan kerugian diperkirakan mencapai $7,3 juta. PeckShield kemudian melacak sekitar $1,87 juta BNB yang bergerak dari alamat yang dikendalikan penyerang ke dua dompet utama sebelum aset didistribusikan ke beberapa alamat deposit Binance.
Insiden BNB Chain yang lebih lama memberikan perbandingan teknis yang lebih dekat dengan mekanisme yang dijelaskan dalam peringatan CCC. SafeMoon kehilangan sekitar $8,9 juta pada Maret 2023 setelah penyerang mengeksploitasi fungsi pembakaran publik yang memungkinkan token milik alamat lain dibakar. Kerentanan tersebut telah diperkenalkan melalui peningkatan proyek dan digunakan terhadap kumpulan likuiditas protokol.
TenArmorAlert belum mengatakan apakah fungsi sell() CCC mengandung cacat izin yang sebanding atau apakah serangan tersebut memerlukan urutan panggilan kontrak yang berbeda. Peringatan 28 Agustus-nya hanya mengidentifikasi fungsi tersebut, pembakaran token CCC dari pasangan LP, perilaku harga abnormal yang dihasilkan, dan perkiraan kerugian $117.000.
Pada saat peringatan tersebut, tidak ada post-mortem terperinci, rencana pemulihan, atau informasi lebih lanjut tentang penyerang yang telah diungkapkan.
