yETH milik Yearn Finance Mengalami Peretasan Besar, Penyerang Mengirim ETH Senilai 3 Juta Dolar AS ke Tornado Cash

Tinjauan Eksploitasi yETH

Yearn Finance, protokol keuangan terdesentralisasi (DeFi) terkemuka, mengalami pelanggaran keamanan besar yang melibatkan produk yETH. Serangan ini menciptakan celah pencetakan tanpa batas, memungkinkan pelaku jahat menguras seluruh pool yETH hanya dalam satu transaksi. Eksploitasi canggih ini menyoroti tantangan keamanan yang terus berlangsung dalam ekosistem DeFi dan menimbulkan kekhawatiran atas kerentanan kontrak pintar.

Produk yETH menawarkan pendekatan inovatif terhadap staking likuid, berfungsi sebagai token indeks yang menggabungkan berbagai versi staking likuid Ethereum (ETH). yETH terdiri dari beragam Ethereum Liquid Staking Derivatives (LSD), sehingga pengguna memperoleh eksposur terdiversifikasi ke berbagai protokol staking. Pendekatan keranjang ini bertujuan menurunkan risiko sekaligus menjaga likuiditas aset yang di-staking.

Yearn Finance segera mengonfirmasi insiden tersebut melalui kanal resmi dan memastikan kepada para pengguna bahwa Vault V2 dan V3 inti tetap aman serta tidak terpengaruh eksploitasi. Pembedaan ini sangat krusial, sebab vault tersebut menampung dana pengguna terbesar dan menjadi produk utama protokol. Isolasi kerentanan pada produk yETH mencegah dampak lebih luas terhadap ekosistem platform.

Berdasarkan analisis data blockchain, eksploitasi tersebut menghasilkan token yETH dalam jumlah hampir tak terbatas melalui celah pencetakan. Penyerang lalu secara sistematis menguras jutaan dolar dari pool Balancer terkait yang menyediakan likuiditas perdagangan yETH. Presisi dan kecepatan serangan mengindikasikan pengetahuan teknis tinggi serta perencanaan matang dari para pelaku.

Dampak finansialnya besar: penyerang berhasil mengekstrak sekitar 1.000 ETH, bernilai sekitar $3 juta saat insiden terjadi. Untuk mengaburkan jejak dana curian, penyerang menyalurkan hasilnya melalui Tornado Cash, layanan mixing kripto yang meningkatkan privasi transaksi dengan memutus koneksi on-chain antara alamat sumber dan tujuan. Taktik ini lazim digunakan peretas untuk mempersulit pelacakan dana dan menghindari penegakan hukum.

Serangan ini pertama kali terdeteksi oleh peneliti keamanan blockchain Togbe, yang menemukan “transaksi berat” tidak biasa yang melibatkan beberapa token staking likuid (LST). Protokol terdampak meliputi Yearn, Rocket Pool, Origin, dan Dinero, menunjukkan pola serangan terkoordinasi yang menargetkan ekosistem staking likuid secara luas. Deteksi dini ini bermanfaat bagi kesadaran komunitas, meski tidak cukup untuk mencegah eksploitasi.

Insiden yETH Menyoroti Keamanan DeFi

Eksekusi teknis serangan menunjukkan metode canggih yang mengeksploitasi celah pada desain kontrak pintar. Insiden ini melibatkan beberapa kontrak pintar baru yang sengaja dibuat untuk eksploitasi. Kontrak-kontrak ini mengeksekusi transaksi jahat lalu langsung melakukan self-destruct, menghapus bukti langsung dari blockchain dan mempersulit analisis forensik. Mekanisme self-destruct tersebut merupakan teknik yang kerap digunakan pelaku untuk menghilangkan jejak dan menyulitkan investigasi.

Meski total kerugian finansial masih diselidiki, penilaian awal menunjukkan pool yETH memiliki nilai sekitar $11 juta sebelum serangan. Selisih antara total nilai pool dan $3 juta yang berhasil diekstrak pelaku mengindikasikan tidak semua dana terkuras, atau sebagian aset masih terkunci dalam mekanisme protokol. Perhitungan kerugian secara menyeluruh memerlukan audit komprehensif atas seluruh kontrak pintar dan pool likuiditas terdampak.

Respons komunitas DeFi terhadap eksploitasi ini beragam, mencerminkan perdebatan seputar praktik keamanan di keuangan terdesentralisasi. Sebagian anggota komunitas mengkhawatirkan penggunaan arsitektur kontrak pintar lama oleh Yearn Finance, mempertanyakan apakah protokol telah memperbarui infrastrukturnya untuk mengatasi celah yang diketahui. Di sisi lain, ada yang membela protokol, menekankan bahwa bahkan kode yang telah diaudit tetap bisa memiliki kelemahan yang baru terungkap setelah dieksploitasi.

Insiden ini bukan Yearn Finance pertama kali mengalami pelanggaran keamanan. Protokol ini pernah diretas pada 2021, di mana vault yDAI mengalami kerugian $11 juta. Saat itu, pelaku berhasil mengekstrak sekitar $2,8 juta sebelum kerentanan diperbaiki. Keterulangan insiden keamanan menimbulkan pertanyaan tentang proses audit protokol dan efektivitas manajemen kerentanannya.

Selain itu, Yearn Finance menemukan skrip bermasalah pada Desember 2023 yang tanpa sengaja menghapus 63% posisi treasury miliknya. Walaupun bukan serangan jahat, insiden tersebut membuktikan bahwa kesalahan teknis—baik dari peretas eksternal maupun internal—bisa mengakibatkan kerugian finansial besar. Gabungan insiden ini mendorong tuntutan untuk pengujian lebih ketat, verifikasi formal kontrak pintar, dan peningkatan pemantauan keamanan.

Eksploitasi yETH menyoroti tantangan utama yang dihadapi industri DeFi. Seiring protokol semakin kompleks dan saling terhubung, permukaan serangan kian luas, membuka peluang baru bagi eksploitasi. Derivatif staking likuid, meski menawarkan fungsionalitas bernilai, menambah lapisan interaksi kontrak pintar yang harus diamankan. Setiap titik integrasi dan komposabilitas adalah potensi celah yang menuntut analisis keamanan mendalam.

Pemanfaatan Tornado Cash oleh pelaku juga menyoroti tantangan regulasi dan penegakan hukum di dunia kripto. Walaupun layanan mixing kripto memiliki tujuan privasi yang sah, layanan ini sering digunakan pelaku kriminal untuk mencuci dana curian. Sifat dual-use tersebut memicu ketegangan antara pendukung privasi dan regulator yang berupaya memberantas kejahatan keuangan di sektor kripto.

Ke depan, insiden ini menjadi pengingat pentingnya keamanan dalam pengembangan DeFi. Protokol harus mengutamakan audit keamanan menyeluruh, menjalankan program bug bounty untuk mendorong hacker white-hat mengidentifikasi celah, dan menjaga kemampuan respons cepat terhadap ancaman baru. Komunitas DeFi juga perlu menumbuhkan budaya kesadaran keamanan, sehingga pengguna memahami risiko tiap protokol dan mengambil keputusan alokasi aset secara bijak.

Peretasan yETH membuktikan bahwa protokol mapan dengan basis pengguna besar pun tetap rentan terhadap serangan canggih. Seiring ekosistem DeFi terus berkembang, industri harus membangun kerangka keamanan lebih tangguh, meningkatkan koordinasi respons insiden, serta memperbaiki transparansi praktik keamanan demi membangun kepercayaan dan memastikan masa depan keuangan terdesentralisasi.

FAQ

Apa saja detail spesifik serangan peretasan Yearn Finance yETH?

Pada 30 November, vault yETH Yearn Finance diserang oleh hacker yang mencuri sekitar 1.000 ETH dengan nilai sekitar $3 juta. Penyerang lalu mentransfer ETH curian tersebut ke Tornado Cash.

Berapa dana yang dicuri dalam peretasan ini dan apakah dana pengguna tetap aman?

Sekitar $3 juta dalam bentuk ETH dicuri pada serangan ini. Dana pengguna tetap aman karena protokol menjaga perlindungan dan mekanisme asuransi yang kuat untuk melindungi aset deposan dari insiden seperti ini.

Mengapa penyerang memilih mentransfer ETH curian ke Tornado Cash?

Penyerang menggunakan Tornado Cash untuk mencampur dan menyamarkan dana curian. Mixer ini memutus jejak transaksi, sehingga sangat sulit melacak asal dan tujuan ETH curian, melindungi privasi serta mencegah pemulihan dana.

Apa itu yETH dan bagaimana perbedaannya dengan ETH biasa?

yETH adalah token ERC-20 yang dipatok ke ETH, memungkinkan utilitas lintas blockchain dengan mempertahankan paritas nilai 1:1. Berbeda dari ETH asli, yETH dapat ditransfer bebas antar berbagai blockchain dan diintegrasikan ke protokol DeFi.

Apa dampak insiden keamanan ini terhadap Yearn Finance dan seluruh ekosistem DeFi?

Insiden ini menyebabkan kerugian dana langsung bagi Yearn Finance, menurunkan reputasinya, serta memicu kekhawatiran di ekosistem DeFi terkait keamanan protokol dan celah kontrak pintar, yang berpotensi memengaruhi kepercayaan pengguna terhadap platform yield farming.

Bagaimana pengguna dapat melindungi dana mereka di protokol DeFi dan langkah apa yang harus diambil?

Gunakan dompet yang aman untuk menyimpan dana, jangan pernah membagikan private key kepada siapa pun, aktifkan autentikasi dua faktor, verifikasi hasil audit kontrak pintar, mulai dengan nominal kecil, pantau aktivitas akun secara rutin, dan lakukan diversifikasi ke beberapa protokol.

Apa rencana respons Yearn Finance terhadap serangan ini dan apakah mereka akan mengganti kerugian pengguna?

Yearn Finance mengumumkan rencana kompensasi untuk mengganti kerugian pengguna terdampak peretasan. Protokol sedang aktif berupaya memulihkan dana curian melalui analisis blockchain dan kerja sama dengan penegak hukum. Detail kompensasi lengkap akan diumumkan seiring kemajuan proses pemulihan.