ZetaChain Melaporkan Kerentanan Pesan Lintas-Rantai, Kerugian $333,868 dari Serangan 24 April

Pesan Gate News, 29 April — ZetaChain merilis laporan pasca-kejadian yang mengonfirmasi bahwa serangan 24 April mengeksploitasi kerentanan dalam pipeline pesan lintas-rantai (cross-chain). Insiden tersebut menyebabkan total kerugian sebesar $333,868 (terutama USDC dan USDT) di seluruh sembilan transaksi di Ethereum, Arbitrum, Base, dan BSC. Serangan tersebut hanya memengaruhi tiga dompet tim internal, tanpa dana pengguna yang terdampak.

Serangan tersebut memanfaatkan tiga kerentanan yang saling terhubung: sistem lintas-rantai mengizinkan “panggilan sewenang-wenang” (arbitrary calls) dengan pembatasan yang minimal; kontrak GatewayEVM di sisi penerima menerima sebagian besar perintah, termasuk “transferFrom”; dan pengguna yang telah menyetor token melalui “GatewayEVM.deposit()” telah memberikan persetujuan tak terbatas yang tidak dicabut, yang dieksploitasi penyerang untuk mengambil token dari dompet.

ZetaChain mencatat bahwa pelaku tidak bertindak secara oportunistik, melainkan telah menginvestasikan waktu dan sumber daya yang signifikan untuk persiapan, termasuk mendanai sebuah dompet melalui Tornado Cash tiga hari sebelum serangan dan melakukan serangan brute-force untuk menyamar sebagai alamat korban. Protokol telah menerapkan tambalan (patch), dan fungsionalitas transaksi lintas-rantai akan tetap dinonaktifkan hingga pembaruan dan audit selesai.