Lebih dari US$500.000 NFT Berhasil Diselamatkan dalam Operasi White-Hat oleh Yuga

Yuga Labs berhasil menyelamatkan 68 NFT senilai lebih dari US$500.000 lewat aksi darurat white-hat, sehingga bisa mengamankan aset-aset yang terekspos akibat eksploitasi Flooring Protocol sebelum penyerang berhasil menguras semuanya.

Aset yang berhasil diselamatkan termasuk 29 Bored Apes, dua CryptoPunks, dan empat Mutant Apes; sekarang semua NFT itu ada dalam kendali Yuga dan akan dikembalikan ke pemiliknya setelah protokol sudah diperbaiki.

Bagaimana Eksploitasi Terjadi

Flooring Protocol merupakan platform likuiditas NFT. Pengguna bisa mengunci NFT mereka dan mendapatkan fpToken yang sifatnya dapat diperdagangkan serta dipatok satu banding satu dengan NFT yang disimpan itu.

Penyerang mulai dengan sejumlah kecil Wrapped Ether (WETH), lalu memanfaatkan celah pada logika akuntansi protokol yang memungkinkan mereka mencetak saldo fpToken hampir tak terbatas.

Menurut VP blockchain Yuga, 0xQuit, token ID yang dibuat secara jahat menciptakan apa yang ia sebut sebagai status kepemilikan hantu. Pemeriksaan kepemilikan lolos di satu sisi, namun pencatatan internal justru berbeda di sisi lain, terang 0xQuit.

Ikuti kami di X untuk mendapat berita terbaru secara real-time

Dua underflow yang tak terkontrol terjadi berikutnya, sehingga saldo penyerang menjadi sangat besar. Mereka lalu men-dump harga fpToken sampai mendekati nol dan menguras pool yang terdampak.

Kenapa Yuga Turun Tangan

Peneliti kemudian menemukan jalur serangan kedua yang mengekspos pool bernilai lebih besar, termasuk koleksi NFT blue-chip. NFT tersebut selamat dari serangan pertama karena pool mereka punya likuiditas yang sedikit.

Taruhannya ada di koleksi andalan itu. Harga dasar Bored Ape berada di sekitar 8,95 ETH atau sekitar US$15.121, sedangkan CryptoPunks di atas 32 ETH atau kira-kira US$55.248, menurut data CoinGecko per 8 Juni.

Dengan harga itu, 29 Bored Apes saja nilainya sekitar US$441.000 dan jadi item terbesar dalam aset yang diselamatkan.

Perhitungan tersebut sesuai dengan data lebih dari US$500.000 untuk total 68 NFT yang disebutkan oleh 0xQuit. Eksploitasi juga terjadi di akhir pekan, ketika hanya sedikit tim yang memantau aktivitas on-chain.

Flooring Protocol sudah masuk masa sunset sejak tahun lalu, dan divisi NFT-nya sebagian besar tidak lagi dikelola. Arsitek aslinya hanya bertahan sebagai penyedia likuiditas dan ikut kehilangan asetnya sendiri dalam insiden ini.

CEO Michael Figge mengungkap dia memerintahkan desk GrailsOTC untuk mengeluarkan dana dan NFT guna misi penyelamatan. Tim kemudian meluncurkan kontrak yang memakai celah bug yang sama namun untuk bertahan, meniru langkah recovery white-hat yang sebelumnya pernah dilakukan di DeFi.

Yuga, yang juga mengakuisisi koleksi CryptoPunks, menegaskan langkah ini bersifat sementara. Sang arsitek, dengan nama akun 0xFreeLunch, mengambil tanggung jawab dan menyalahkan kode yang teroptimasi gas sehingga bug sulit terdeteksi auditor.

Apa yang Terjadi Selanjutnya

Arsitek protokol itu juga menduga penyerang memakai tools AI canggih, melihat betapa rumitnya serangan tersebut. Sementara itu, Quit meminta para holder supaya tidak mendekati platform ini.

Pelaku masih menyimpan beberapa NFT curian, sehingga kasus ini belum selesai. Seperti proyek-proyek DeFi lain setelah terkena eksploitasi, Flooring kini kemungkinan akan melakukan peluncuran kontrak baru dan harus mengambil keputusan soal ganti rugi bagi holder yang terdampak.