Peretasan Protocol Truebit Mengungkap Risiko Overflow Bilangan Bulat: Kerugian sebesar $26,4 juta dalam ETH

Pada 12 Januari, perusahaan keamanan SlowMist mengungkapkan insiden kritis yang melibatkan protokol Truebit, menyoroti bagaimana kerentanan overflow bilangan bulat dapat menyebabkan kerugian keuangan yang katastrofik dalam sistem terdesentralisasi. Serangan tersebut, yang terjadi pada 8 Januari, mengakibatkan pencurian 8.535 ETH (senilai sekitar $26,44 juta) melalui eksploitasi canggih terhadap logika kontrak pintar protokol.

Bagaimana Overflow Bilangan Bulat Memungkinkan Serangan

Kerentanan utama berasal dari kontrak Purchase pada protokol Truebit, yang tidak memiliki perlindungan yang memadai terhadap kondisi overflow bilangan bulat. Seorang penyerang memanfaatkan kelemahan ini untuk memanipulasi perhitungan harga dalam kontrak, memungkinkan mereka mencetak token ( secara virtual tanpa biaya. Ini merupakan contoh klasik bagaimana overflow bilangan bulat—ketika operasi aritmatika melebihi nilai maksimum yang dapat ditampung oleh tipe data, menyebabkan nilai tersebut kembali ke awal—dapat digunakan sebagai senjata untuk menguras dana protokol.

Memahami Rincian Teknis

Akar penyebab kerentanan ini adalah tidak adanya perlindungan overflow dalam operasi penjumlahan bilangan bulat. Ketika kontrak Purchase melakukan perhitungan aritmatika tanpa validasi yang tepat, hal ini membuka peluang bagi penyerang untuk membuat transaksi yang melewati mekanisme penetapan harga token secara normal. Perhitungan harga yang salah ini memungkinkan pencetakan token jauh di bawah nilai pasar yang sebenarnya, secara efektif mencetak mata uang dari udara kosong sementara mekanisme keamanan protokol tetap tidak menyadarinya.

Mencegah Overflow Bilangan Bulat: Praktik Terbaik untuk Kontrak Pintar

SlowMist menekankan bahwa pengembang yang menggunakan versi Solidity sebelum 0.8.0 harus mengimplementasikan pustaka SafeMath di seluruh operasi aritmatika. SafeMath menyediakan perlindungan bawaan yang secara otomatis membatalkan transaksi saat terdeteksi kondisi overflow atau underflow, mencegah aktor jahat mengeksploitasi kerentanan tersebut. Untuk kontrak yang dibangun dengan versi Solidity yang lebih baru (0.8.0 dan di atasnya), bahasa ini kini sudah menyertakan aritmatika yang diperiksa secara default, menghilangkan banyak—meskipun tidak semua—risiko overflow bilangan bulat. Insiden ini menegaskan pentingnya praktik pemrograman defensif dan audit keamanan yang menyeluruh sebelum menerapkan kontrak pintar ke lingkungan produksi.