AI Pipelines Beri Keunggulan Struktural untuk Penyerang dibandingkan Crypto Defender, Kata Chainalysis

Penyerang mencuri setidaknya US$36,7 juta dari protokol yang menjalankan smart contract tak terverifikasi selama enam bulan terakhir, menurut laporan Chainalysis. Perusahaan tersebut mengaitkan lonjakan ini dengan pengembangan eksploitasi yang dibantu AI.

Large language models (LLM) sekarang bisa menganalisis bytecode hasil dekompilasi dengan kecepatan dan skala yang tidak bisa ditandingi oleh tim manusia mana pun. Akibatnya, contract closed-source yang dulunya menghalangi penyerang kini justru jadi sasaran secara sistematis.

Mengapa Kode Tersembunyi Tidak Lagi Melindungi Protokol DeFi

Kebanyakan protokol Decentralized Finance (DeFi) besar mempublikasikan dan memverifikasi source code mereka di block explorer. Tapi, ada juga sebagian yang tetap menutup kodenya, dengan harapan kerahasiaan ini bisa melindungi mereka dari serangan penjahat.

Chainalysis menemukan bahwa taruhan ini gagal. Decompiler seperti Dedaub, Heimdall, dan Panoramix kini bisa mengubah bytecode mentah menjadi kode Solidity yang mudah dibaca.

Setelah didekompilasi, kode ini langsung bisa dimasukkan ke LLM yang mampu menemukan bug reentrancy, celah access control, dan kesalahan aritmatika.

Setelah masuk dalam pipeline otomatis, model-model ini bisa memindai ribuan smart contract tak terverifikasi sekaligus. Mereka kemudian menyaring target berdasarkan tingkat kemungkinan eksploitasi dan potensi keuntungan.

Anthropic juga menemukan bahwa AI sekarang dapat menjalankan langkah serangan tingkat lanjut untuk hacker amatir, sehingga meningkatkan total ancaman secara keseluruhan.

Selain itu, smart contract tak terverifikasi juga lolos dari lapisan keamanan informal yang biasanya melindungi kode open-source. Peneliti white-hat tidak bisa memeriksa kontrak tersebut, dan beberapa protokol yang menjadi korban eksploitasi bahkan tidak melibatkan kontrak tersebut ke dalam program bug bounty mereka.

Ikuti kami di X untuk mendapatkan berita terbaru secara langsung

Peretasan Truebit Menunjukkan Perburuan Kerentanan Secara Sistematis

Insiden terbesar terjadi pada 8 Januari, saat seorang penyerang menguras US$26,2 juta dari Truebit. Smart contract yang rawan itu sudah tidak terverifikasi di Ethereum (ETH) sejak 2021.

Terjadi integer overflow pada bonding curve, sehingga penyerang bisa mencetak token hampir tanpa biaya dan kemudian membakar token itu untuk menukar dengan ETH sungguhan. Menariknya, alamat yang sama sudah lebih dulu menguras Sparkle protocol sebesar 5 ETH hanya dua belas hari sebelumnya.

Sementara itu, riset Anthropic membuktikan AI agent bisa secara mandiri mengeksploitasi smart contract dan meraup jutaan dolar. Ini termasuk kontrak yang dibuat setelah batas pengetahuan model AI tersebut. Para ahli keamanan juga sudah memperingatkan bahwa AI agent lebih unggul dari auditor manusia di dunia DeFi.

Chainalysis memperkirakan tren ini akan semakin cepat karena alat dekompilasi makin canggih dan jumlah smart contract tidak terverifikasi semakin banyak. Perusahaan ini mendorong semua protokol agar memverifikasi seluruh kode yang telah diluncurkan, memperluas cakupan bug bounty, serta menerapkan pemantauan on-chain secara real-time.

Langganan channel YouTube kami untuk menyaksikan para pemimpin dan jurnalis berbagi insight ahli