Nirvana Finance Dimulai Kembali: Kasus Pidana Pertama yang Dihasilkan oleh Serangan Smart Contract

Minggu lalu terjadi banyak peristiwa penting, di antaranya keputusan pemotongan suku bunga yang relatif agresif oleh Federal Reserve dan Bank of Japan yang tetap bertahan, yang menunjukkan bahwa informasi yang sangat negatif tidak mungkin muncul dalam waktu dekat. Mengenai arah ekonomi makro ini, pasar telah mendiskusikannya secara cukup mendalam, dan artikel ini tidak akan mengulangi pembahasan tersebut. Hal yang patut diperhatikan adalah bahwa investor harus terutama memperhatikan dua faktor kunci: pemulihan pasar tenaga kerja dan risiko kebangkitan inflasi.

Namun, sebuah berita menarik adalah proyek stablecoin algoritmik dalam ekosistem Solana, Nirvana Finance, mengumumkan peluncuran kembali versi V2. Proyek ini terpaksa menghentikan operasinya setelah diserang peretas pada Juli 2022, yang mengakibatkan kerugian lebih dari 3,5 juta dolar AS. Peluncuran kembali ini menunjukkan bahwa lembaga peradilan terkait mungkin telah menyelesaikan penanganan dana yang dicuri. Peristiwa ini dapat menjadi kasus pertama di AS yang dihukum karena serangan smart contract, yang memiliki arti penting bagi negara-negara dengan sistem hukum umum, dan proses penanganan kasus serupa di masa depan diharapkan dapat meningkat secara signifikan.

Latar belakang serangan pinjaman kilat pada Nirvana Finance

Nirvana Finance adalah proyek stablecoin algoritmik di blockchain Solana. Proyek ini diluncurkan pada awal tahun 2022, tetapi pada 28 Juli tahun yang sama mengalami serangan peretas, yang mengakibatkan semua agunan stablecoin NIRV (sekitar 3,5 juta dolar AS) dicuri. Meskipun kontrak proyek tidak bersifat open source, penyerang berhasil melakukan serangan tersebut dengan memanfaatkan fitur pinjaman kilat dari suatu platform pinjaman, fakta ini juga memicu beberapa spekulasi tentang kemungkinan adanya keterlibatan internal.

Perlu dicatat bahwa proyek ini mengklaim telah menyelesaikan "audit otomatis" sebelum diserang, tetapi terbukti bahwa praktik ini tidak dapat diandalkan. Salah satu pendiri proyek, Alex Hoffman, mengatakan dalam wawancara dengan media bahwa pada minggu terjadinya serangan, tim baru saja mulai melakukan pekerjaan audit secara resmi. Dia mengakui bahwa awalnya tidak memperkirakan proyek ini akan menarik perhatian yang begitu besar, sampai laporan media menyebabkan jumlah total nilai terkunci (TVL) meningkat pesat. Situasi ini tidak jarang terjadi di tengah perhatian besar terhadap jalur stablecoin algoritmik pada saat itu.

Setelah proyek mencapai keberhasilan awal, CEO dari sebuah platform blockchain secara pribadi mengawasi tim untuk melakukan audit smart contract, dan berusaha mempercepat proses audit. Namun, setelah jaminan dicuri, proyek terhenti, meskipun platform komunitasnya masih memiliki staf resmi yang menjaga.

Seluruh peristiwa ini mencapai titik balik pada 14 Desember 2023, ketika seorang insinyur keamanan perangkat lunak senior, Shakeeb Ahmed, yang pernah bekerja di salah satu raksasa teknologi, mengakui di Pengadilan Distrik Selatan New York atas tuduhan penipuan komputer yang terkait dengan serangan peretasan terhadap Nirvana Finance dan satu bursa cryptocurrency terdesentralisasi lainnya. Kantor Kejaksaan AS menyatakan bahwa ini adalah kasus pertama yang dihukum karena serangan peretasan terhadap smart contract.

Pendiri proyek tidak berhenti berinovasi setelah diserang, melainkan beralih mengembangkan proyek lain, seperti superposition finance dan concordia systems. Ini juga mencerminkan keuntungan mempertahankan anonimitas tertentu, setidaknya menghindari penyebaran emosi negatif.

Pada tanggal 15 April 2024, kasus ini mencapai putusan, Shakeeb Ahmed dijatuhi hukuman tiga tahun penjara karena meretas dan menipu dua bursa cryptocurrency. Kemudian pada tanggal 6 Juni, dana yang dicuri dipindahkan kembali ke rekening yang ditentukan, menandai bahwa dana yang dicuri dari proyek secara resmi telah dipulihkan.

Sumber kasus: dari Crema Finance ke Nirvana Finance

Sebenarnya, sumber kasus ini seharusnya adalah bursa terdesentralisasi lainnya, Crema Finance. Nirvana Finance diungkapkan secara sukarela setelah hacker ditangkap.

Shakeeb Ahmed, seorang insinyur keamanan perangkat lunak berusia 34 tahun, adalah insinyur keamanan senior di sebuah perusahaan teknologi internasional saat melakukan serangan, dengan spesialisasi dalam smart contract dan audit blockchain. Dia ahli dalam rekayasa balik perangkat lunak, yang menjelaskan mengapa kontrak Nirvana yang tidak bersumber terbuka dapat diserang. Teknik rekayasa balik memungkinkan kode eksekusi yang telah dikompilasi diubah kembali menjadi bahasa tingkat tinggi yang dapat dibaca manusia, meskipun kontrak tidak bersumber terbuka, semua kode kompilasi disimpan di blockchain, pengembang yang akrab dengan teknik ini dapat dengan mudah mengaksesnya.

Menurut dokumen publik yang dirilis oleh Departemen Kehakiman AS, seluruh akar permasalahan berasal dari pertukaran terdesentralisasi Crema Finance yang diserang pada Juli 2022 dan mengalami kerugian sekitar 9 juta dolar AS. Pada 4 Juli 2022, Ahmed melakukan serangan melalui pinjaman kilat terhadap platform tersebut dan menawarkan "hadiah putih" sebesar 2,5 juta dolar AS sebagai imbalan untuk pengembalian aset pengguna lain dan menghentikan penuntutan. Akhirnya, Crema Finance setuju untuk menerima sekitar 1,68 juta dolar AS sebagai "hadiah".

Serangan Nirvana Finance diungkapkan secara sukarela setelah penangkapan Ahmed. Selain penyelidikan terhadap riwayat penelusuran komputer pribadinya, dokumen tersebut juga menjelaskan bahwa dia menggunakan berbagai metode, termasuk protokol pencampuran, koin privasi, dan lain-lain untuk mengaburkan aliran dana.

Jadi, bagaimana Ahmed akhirnya ditangkap? Ada dua kemungkinan penjelasan:

1. Berdasarkan analisis on-chain saat serangan terjadi, penyerang memiliki interaksi dengan alamat bursa terpusat tertentu, karena sumber dana awal alamat penyerang berasal dari sini.

2. Ahmed mungkin telah melakukan kesalahan saat menggunakan protokol privasi tertentu. Efek kebingungan dari protokol tersebut berkaitan dengan waktu penyimpanan dana dan jumlah transaksi penebusan yang terjadi selama periode tersebut. Ahmed menyetor dana ke protokol tersebut tidak lama setelah serangan dan segera melakukan penebusan, yang akhirnya mengalirkan dana ke bursa terpusat lainnya.

Petunjuk ini menunjukkan bahwa lembaga penegak hukum mungkin telah bekerja sama dengan bursa terpusat ini dan akhirnya menangkap Ahmed di New York.

Bagaimanapun, pemulihan dana yang dicuri adalah hasil yang positif. Kasus ini menyoroti dua masalah kunci: pertama, pengembang DApp harus menjadikan keamanan dana sebagai prioritas utama; kedua, kasus semacam ini sekarang memiliki template referensi untuk ditangani, yang dapat memberikan efek jera tertentu terhadap perilaku serupa.