Peretasan Jembatan Ronin 2022: Berkas Pencurian US$620 Juta dari Ekosistem Axie

Jaringan Ronin dibuat Sky Mavis agar pemain Axie Infinity tidak perlu membayar biaya gas Ethereum yang mahal setiap kali bertransaksi. Supaya aset bisa berpindah antara Ethereum dan Ronin, dibutuhkan jembatan. Pada Maret 2022, jembatan itulah yang dibobol. Berkas ini menyusun apa yang diketahui publik, apa yang belum bisa kami verifikasi, dan pelajaran yang bisa dipetik oleh pemain gim kripto.

Kronologi dari pembobolan sampai atribusi

1. Februari 2021

   Sky Mavis meluncurkan dompet Ronin. Transaksi menjadi cepat dan hampir tanpa biaya bagi pemain.

2. 23 Maret 2022

   Dalam dua transaksi, penyerang mengeluarkan 173.600 ether dan 25,5 juta USDC dari jembatan Ronin. Nilainya saat itu sekitar US$620 juta.

3. Enam hari kemudian

   Perusahaan baru menyadari pembobolan itu. Jeda ini menjadi salah satu sorotan terbesar dalam kasus Ronin.

4. 8 April 2022

   Sky Mavis menyatakan berharap bisa memulihkan sebagian dana, tetapi prosesnya akan memakan waktu bertahun-tahun.

5. 14 April 2022

   FBI menyatakan kelompok Lazarus dan APT38, yang disponsori negara Korea Utara, bertanggung jawab.

6. Setelahnya

   Sky Mavis menghimpun modal ventura tambahan dan mengganti dana semua pengguna yang terdampak. Sebagian kripto curian dicuci melalui layanan pencampur Tornado Cash.

Mengapa jembatan menjadi sasaran empuk

Jembatan antarjaringan bekerja seperti loket penitipan. Aset asli dikunci di satu sisi, lalu sisi lain menerbitkan catatan setara yang bisa dipakai. Konsekuensinya, semua aset yang pernah menyeberang menumpuk di satu tempat penyimpanan. Bagi penyerang, itu seperti brankas yang isinya terus bertambah setiap kali pengguna baru datang. Penjelasan umum tentang cara kerja jembatan dan wrapped token ada di token jembatan dan titik rawan peretasannya.

Jembatan Ronin dijaga oleh sekelompok validator. Penarikan dari brankas dianggap sah jika cukup banyak validator menandatanganinya. Laporan pascainsiden Ronin menjelaskan berapa kunci yang dikuasai penyerang dan bagaimana caranya, tetapi kami tidak berhasil mengakses dokumen tersebut untuk verifikasi. Karena itu jumlah validator dan kunci tidak kami kutip. Yang bisa kami sampaikan secara umum: jika penyerang menguasai cukup banyak kunci, sistem akan menganggap penarikan palsu sebagai penarikan sah.

Enam hari tanpa alarm: pelajaran pemantauan

Jeda enam hari sering dibahas lebih serius daripada nilai curiannya. Brankas berisi ratusan juta dolar seharusnya memicu peringatan ketika jumlah besar keluar dalam waktu singkat. Bagi pengguna, pelajarannya bukan soal teknik keamanan jaringan, melainkan soal pertanyaan yang layak diajukan: apakah sebuah proyek punya pemantauan transaksi yang terbuka, batas penarikan harian, dan laporan audit yang bisa dibaca publik?

Dampaknya ke pemain Axie dan token AXS/SLP

Peretasan terjadi saat ekonomi Axie sudah melemah. SLP telah kehilangan lebih dari 99 persen nilainya menjelang Februari 2022, dan jumlah pemain terus turun. Dana pengguna akhirnya diganti, tetapi kepercayaan terhadap ekosistem terpukul. Dalam laporan Reuters April 2023, rata-rata pemain harian tercatat sekitar 250.000, jauh dari puncak 2,7 juta. Profil lengkap dan harga AXS ada di berkas Axie Infinity.

Mengapa pelaku negara mengincar jembatan kripto

Atribusi FBI kepada kelompok yang disponsori negara Korea Utara mengubah cara orang memandang kasus ini. Peretasan tidak lagi bisa dianggap ulah iseng perorangan. Pelaku semacam itu punya waktu, sumber daya, dan kesabaran untuk menyerang titik yang nilainya paling besar. Jembatan antarjaringan memenuhi semua syarat: asetnya menumpuk, transaksinya sulit dibatalkan, dan hasil curian bisa dipecah lalu dicuci melalui layanan pencampur. Bagi pengguna biasa, kesimpulannya praktis: makin besar nilai yang terkunci di satu kontrak, makin besar pula alasan pihak kuat untuk membobolnya.

Bagaimana jika Anda pernah memakai jembatan

• Jangan membiarkan aset menginap di jembatan atau di jaringan samping lebih lama dari yang diperlukan.
• Catat alamat kontrak resmi jembatan yang Anda pakai; penipu sering membuat situs tiruan setelah insiden besar.
• Abaikan pesan yang menawarkan "pengembalian dana korban" dengan meminta frasa pemulihan dompet.
• Ikuti kabar insiden hanya dari kanal resmi proyek, lalu bandingkan dengan media yang kredibel.

Kasus Ronin juga menunjukkan bahwa satu pelaku bisa menyerang berkali-kali. Kelompok yang sama dikaitkan FBI dengan pencurian sekitar US$100 juta dari jembatan Horizon milik Harmony yang dilaporkan pada 24 Juni 2022.