Volubit.id — Protokol lending kripto Radiant Capital mengalami peretasan pada 17 Oktober 2024 WIB dini hari. Serangan pembobolan oleh hacker tersebut merupakan yang kedua kalinya dialami Radiant sepanjang tahun ini.

Sejumlah firma analitik melaporkan kerugian akibat peretasan mencapai sekitar $50 juta. Belum ada kepastian apakah aset kripto pengguna yang digondol akan diganti atau tidak.

We are aware of an issue with the Radiant Lending markets on Binance Chain and Arbitrum. We are working with SEAL911, Hypernative, ZeroShadow & Chainalysis and will provide an update as soon as possible. Markets on Base and Mainnet are paused until further notice.

— Radiant Capital (@RDNTCapital) October 16, 2024

Laporan awal dari firma keamanan Hacken menyatakan peretasan ini diduga akibat pelanggaran kontrol akses. Hacker diduga berhasil menguasai wallet multisig Radiant Capital. Mereka berhasil memanipulasi kontrak Pool Provider milik Radiant, dan memindahkan kepemilikan kontrak tersebut ke malicious contract yang mereka buat sendiri.

Hacken menyatakan peretas berhasil mengakses aset kripto di liquidity pool (LP) Radiant jaringan Binance Smart Chain (BSC) dan Arbitrum. Adapun token yang berhasil disedot peretas antara lain Wrapped Ether (WETH), Wrapped Bitcoin (WBTC), Arbitrum (ARB), USD Coin (USDC), dan Tether (USDT).

Serangan ini, menurut Hacken, tampaknya telah direncanakan jauh sebelumnya. Malicious contract yang digunakan untuk peretasan ini diketahui sudah diterbitkan sejak 14 hari lalu. Bahkan, peretas sempat melancarkan serangan permulaan sebelumnya pada 10 Oktober, namun aksi tersebut gagal. Peretas kembali mencoba dan berhasil dalam upaya kedua kalinya.

Chief Information Security Officer (CISO) Polygon Labs, Mudit Gupta, menyebut peretasan ini sebagai kegagalan manajemen keamanan Radiant Capital. Pasalnya, wallet multisig tim Radiant diatur hanya membutuhkan 3 tanda tangan dari 11 anggota wallet untuk menyetujui perubahan kontrak.

Selain BSC dan Arbitrum, Radiant juga berjalan di atas blockchain Ethereum dan Base. Pengguna yang sebelumnya pernah berinteraksi dengan smart contract protokol ini bisa melakukan pengecekan dan pencabutan akses kontrak via layanan yang disediakan Revoke Cash.

https://revoke.cash/exploits/radiant

Insiden ini merupakan yang kedua kali terjadi dan menimpa Radiant Capital sepanjang 2024. Pada Januari lalu, protokol ini mengalami eksploitasi melalui flash loan. Saat itu, peretas berhasil menguras dana senilai $4,5 juta.

Peretasan yang terjadi menyebabkan Radiant kehilangan 67% total value locked (TVL) protokol. Berdasarkan data DeFiLlama, aset terkunci di platform Radiant saat ini hanya tersisa sekitar $24,8 juta, rontok dari $75,6 juta sehari sebelum peretasan.