Protokol keuangan terdesentralisasi (DeFi) X100 yang beroperasi di jaringan utama Ethereum mengalami eksploitasi besar yang menguras cadangan perbendaharaan dan posisi likuiditas hingga bernilai sedikitnya 4,85 juta USDT pada Sabtu (24/10/2026). Insiden keamanan siber ini terjadi menyusul serangan pengambilalihan tata kelola (governance takeover) yang memungkinkan aktor jahat memanipulasi hak eksekusi kontrak pintar perbendaharaan protokol secara sepihak. Firma intelijen keamanan siber Web3 Blockaid segera merilis peringatan darurat dan mengonfirmasi bahwa aktivitas eksploitasi di jaringan Ethereum masih aktif berlangsung dengan perpindahan aset bertahap ke sejumlah dompet digital baru.
Kronologi Pengambilalihan Tata Kelola dan Pembobolan Kas
Berdasarkan data analisis transaksi on-chain, peretasan terhadap protokol X100 bermula dari keberhasilan penyerang mengeksekusi kontrol hak suara mayoritas pada modul tata kelola terdesentralisasi. Melalui rekayasa parameter proposal darurat atau manipulasi bobot voting, pelaku berhasil meloloskan transaksi berbahaya tanpa terdeteksi oleh mekanisme pertahanan awal komunitas pengembang. Begitu kendali administratif penuh dikuasai, pelaku langsung melancarkan dua transaksi berurutan untuk mencairkan aset perbendaharaan (treasury tokens) dan membongkar seluruh posisi likuiditas yang dikelola protokol menjadi stablecoin Tether (USDT).
Kedua transaksi awal tersebut secara akumulatif berhasil mengonversi token cadangan kas X100 menjadi 4,85 juta USDT hanya dalam hitungan menit. Modus pengambilalihan tata kelola ini menyoroti kembali kerentanan kritis pada arsitektur voting terdesentralisasi yang minim masa sanggah (timelock) memadai. Tanpa adanya jeda waktu bagi komunitas untuk memveto keputusan berbahaya, sistem kontrak pintar secara otomatis mengeksekusi pengalihan aset perbendaharaan layaknya mandat resmi dari para pemegang token tata kelola yang sah.
Pengurasan Kolam Likuiditas Uniswap dan Konversi ke Ether
Tidak berhenti pada pencairan brankas kas utama, eksploitasi kemudian meluas ke pasar sekunder melalui transaksi ketiga yang dieksekusi oleh alamat pengirim berbeda. Transaksi susulan ini secara spesifik menargetkan kolam likuiditas terdesentralisasi di bursa Uniswap, dengan menarik sebanyak 549.916 token X serta 1.909 USDT yang kemudian langsung dialihkan ke alamat penerima baru. Penarikan likuiditas secara agresif tersebut menyebabkan saldo kolam likuiditas yang terdampak anjlok drastis hingga tersisa kurang dari 200 USDT, memicu kepanikan dan kejatuhan harga token secara instan.
Setelah menguasai jutaan stablecoin hasil jarahan, peretas utama segera melancarkan strategi pencucian dana di pasar spot on-chain. Pelaku menukar sekitar 4,75 juta USDT menjadi aset Ether (ETH) guna menghindari risiko pembekuan sepihak dari penerbit stablecoin Tether. Berdasarkan pelacakan alur dana oleh para peneliti keamanan, hasil konversi tersebut kemudian dipecah ke dalam empat alamat dompet baru yang masing-masing menerima alokasi tepat 400 ETH, sementara dompet distribusi utama penyerang tercatat masih menyimpan sisa cadangan sebesar 423 ETH.
Peringatan Blockaid dan Implikasi Keamanan Tata Kelola DeFi
Firma keamanan siber blockchain Blockaid memperingatkan komunitas kripto dan pelaku pasar bahwa eksploitasi terhadap infrastruktur X100 masih terus dipantau secara ketat karena pergerakan dana penyerang masih aktif berlangsung. Tim analis keamanan mengimbau para pengguna dan penyedia likuiditas (LP) untuk segera mencabut izin persetujuan transaksi (revoke token allowances) yang tertaut dengan seluruh kontrak pintar X100 guna mencegah kerugian lanjutan pada saldo dompet interaktif pengguna.
Insiden peretasan senilai 4,85 juta USDT ini menambah daftar panjang kerentanan protokol DeFi yang bersumber dari kelemahan mekanisme tata kelola on-chain. Para auditor keamanan dan pengembang Web3 kini didesak untuk memperketat jeda waktu eksekusi (timelock delays), menetapkan pembatasan kuorum minimum yang dinamis, serta menerapkan sistem pemutus sirkuit darurat (emergency pause) berbasis multisig dengan pengawasan wali amanat independen guna melindungi cadangan perbendaharaan dari upaya hostile takeover serupa di masa depan.
Sumber: TokenPost & The Defiant
