Protokol infrastruktur likuiditas terdesentralisasi UNCX Network (sebelumnya dikenal sebagai UniCrypt) mengalami insiden eksploitasi keamanan serius pada kontrak pintar Vesting V2 miliknya. Kerentanan logika akuntansi tersebut memicu pengurasan kotor (gross drain) aset kripto senilai sekitar $1,49 juta atau setara Rp24,5 miliar lintas empat jaringan blockchain utama. Insiden yang berlangsung sejak Rabu, 14 Oktober hingga Kamis, 15 Oktober ini bermula dari galat penghitungan pangsa saldo (stale share count) di dalam kolam token bersama (shared token pools). Celah tersebut memungkinkan sejumlah posisi klaim menarik token melebihi alokasi hak pencairan mereka yang sah, sehingga merugikan saldo proyek lain yang menggunakan kontrak penahanan token tersebut.
Kronologi Eksploitasi dan Mekanisme Bug Vesting V2
Berdasarkan analisis forensik on-chain, transaksi eksploitasi pertama yang berhasil terdeteksi terjadi pada jaringan Ethereum pada Rabu, 14 Oktober pukul 11:49:59 ET (15:49:59 UTC). Pada serangan pembuka tersebut, pelaku berhasil menguras sekitar $86.000 dari kolam token tunggal dalam satu transaksi cepat. Tak berselang lama, pelaku bersama dompet peniru (copycat wallets) dan bot arbitrase Maximal Extractable Value (MEV) memperluas serangan ke jaringan lain sebelum protokol sempat menerapkan tindakan mitigasi menyeluruh.
Hingga Kamis, 15 Oktober pukul 02:19 ET (06:19 UTC), tercatat sedikitnya 11 transaksi pengurasan berhasil dieksekusi secara terkoordinasi lintas empat ekosistem blockchain. Skema serangan melibatkan manipulasi kompleks yang mencakup pembukaan beberapa posisi penguncian (lock positions), pembukaan kunci berskala besar, transfer likuiditas ke dalam kolam, serta penambahan saldo posisi sesaat sebelum fungsi pembatalan dan penarikan dipanggil secara beruntun. Celah ini secara spesifik terjadi pada fungsi rilis dan pembatalan jadwal vesting bersama.
Kerentanan Invarian Global Counter dan Rincian Kerugian
Kerusakan akuntansi internal ini dipicu oleh kegagalan kontrak pintar dalam menyelaraskan pengurangan ganda atas jumlah saham global. Pada kontrak Vesting V2 UNCX, beberapa jadwal vesting proyek disatukan dalam satu saldo token bersama. Ketika fungsi release() dieksekusi untuk mencairkan token yang telah matang, sistem mengurangi total penghitung saham global tetapi tetap mempertahankan catatan saham pada posisi tersebut. Ketika posisi tersebut kemudian dibatalkan melalui fungsi cancel(), sistem secara keliru mengurangi kembali jumlah saham yang sama dari penghitung global.
Pengurangan ganda ini mendistorsi nilai proporsional saldo yang tersisa, sehingga posisi aktif dapat mengklaim bagian yang jauh lebih besar daripada hak semestinya, termasuk menyedot token milik proyek lain yang tidak terafiliasi. Head of Security Immunefi, Gonçalo Magalhães, menegaskan akar masalah teknis ini. Pada akhirnya, smart contract gagal memastikan bahwa tidak ada fungsi yang dapat merusak invarian di sekitar penghitung global saham, ujar Gonçalo Magalhães dalam keterangan resminya saat mengulas kelemahan arsitektur kontrak pintar tersebut.
Secara agregat, pengurasan kotor sebesar $1,49 juta tersebut berdampak langsung pada 10 token proyek berbeda. Jaringan BNB Chain menanggung kerugian terbesar dengan estimasi sekitar $969.000, disusul Ethereum sebesar $242.000, Robinhood Chain senilai $169.000, dan jaringan Base sebesar $114.000. Manajemen UNCX mengklarifikasi bahwa kontrak penguncian likuiditas (liquidity-locking contracts) utama serta kontrak vesting versi terdahulu (legacy vesting) berada di luar cakupan kerentanan dan tetap beroperasi aman.
Pemulihan Dana White-Hat dan Mitigasi Keamanan DeFi
Sebagai perkembangan positif pasca-insiden, proyek IMO mengumumkan pada Jumat, 16 Oktober bahwa peretas bertopi putih (white-hat hacker) telah berhasil mengamankan dan mengembalikan seluruh dana terdampak milik komunitas mereka. Pengembalian dana tersebut memungkinkan pemulihan likuiditas dan dibukanya kembali aktivitas perdagangan pada kolam proyek IMO di jaringan Base secara normal. Namun, angka $1,49 juta tetap merupakan estimasi pengurasan kotor awal dan belum mencerminkan kalkulasi kerugian bersih final setelah memperhitungkan dana yang dipulihkan.
Peristiwa ini menjadi pengingat kritis bagi ekosistem Decentralized Finance (DeFi) mengenai risiko berbagi saldo token dalam satu modul kontrak pintar multi-penyewa (multi-tenant shared pool). Pengembang protokol diimbau untuk memperketat pengujian invarian formal dan audit matematis berkelanjutan guna memastikan setiap pembaruan kontrak pintar tidak menyisakan celah desinkronisasi antara status saldo global dan variabel lokal pengguna.
Sumber: TokenPost dan Immunefi
