Protokol TMX Diserang dengan Eksploitasi Senilai $1.4J, Dipantau oleh CertiK

Para peneliti keamanan di CertiK telah mendeteksi serangan canggih terhadap kontrak yang tidak diverifikasi yang terhubung ke bursa terdesentralisasi TMX di jaringan Arbitrum. Insiden ini mengakibatkan sekitar 1,4 juta dolar aset yang dicuri, menandai pelanggaran besar lainnya dalam ekosistem DEX yang semakin menjadi sasaran.

Mekanisme Serangan di Balik Pencurian 1,4 Juta Dolar

Peretas merancang serangan kompleks yang melibatkan beberapa langkah yang memanfaatkan kerentanan dalam cara kontrak pintar TMX menangani penyediaan likuiditas dan pertukaran token. Dengan secara berulang kali mencetak token likuiditas pool (LP) TMX menggunakan jaminan USDT, pelaku mampu mengeksploitasi kelemahan desain kontrak secara sistematis.

Alur eksploitasi mengikuti pola ini: peretas mencetak token LP TMX, mempertaruhkannya untuk mendapatkan imbalan, lalu menukar USDT dengan stablecoin USDG. Setelah melepas taruhan, mereka menjual sejumlah besar USDG, menciptakan tekanan penurunan harga token secara artifisial. Urutan yang terkoordinasi ini memungkinkan mereka mengekstraksi jumlah besar USDT, Solana yang dibungkus (SOL), dan Ethereum yang dibungkus (WETH) dari cadangan kontrak.

Mengapa Serangan Ini Berhasil

Sifat kontrak TMX yang tidak diaudit tampaknya menjadi kerentanan utama. Berbeda dengan protokol yang telah diverifikasi secara formal, kontrak pintar yang tidak diaudit tidak memiliki tinjauan keamanan yang ketat untuk mengidentifikasi kasus tepi dan vektor eksploitasi. Peretas memanfaatkan kegagalan kontrak dalam memvalidasi urutan transaksi dengan benar dan menerapkan pemeriksaan yang cukup pada operasi multi-langkah—sebuah vektor umum dalam serangan DeFi.

Implikasi untuk Keamanan DEX

Insiden ini menegaskan risiko yang terus-menerus dihadapi bursa terdesentralisasi, terutama yang diterapkan di jaringan Layer 2 seperti Arbitrum. Meskipun L2 menawarkan keuntungan biaya, proyek terkadang terburu-buru ke pasar tanpa audit keamanan lengkap, meninggalkan pengguna dan penyedia likuiditas rentan. Kemampuan pemantauan CertiK menyoroti mengapa pengawasan on-chain menjadi penting untuk menangkap serangan ini secara real-time dan melindungi ekosistem yang lebih luas.

Serangan terhadap TMX ini menjadi pengingat bahwa bahkan platform DEX yang sudah mapan harus memprioritaskan verifikasi kontrak pintar dan pemantauan keamanan berkelanjutan untuk mencegah terjadinya pelanggaran serupa.