Cara kerja eksploitasi
Penyerang mengambil flash loan dari Kamino — pinjaman yang harus dilunasi dalam transaksi yang sama — dan menggunakan dana tersebut untuk menggeser keseimbangan kolam likuiditas Allbridge secara artifisial. Dengan menaikkan sementara satu sisi pool, penyerang dapat menarik jumlah aset lain yang lebih besar dengan nilai tukar yang terdistorsi. Setelah penarikan, flash loan dilunasi, menyebabkan kolam Allbridge kekurangan sekitar $1,65 juta.
Flash loan sendiri adalah alat DeFi yang umum, tetapi menjadi berbahaya jika dikombinasikan dengan manipulasi harga atau kelemahan oracle. Dalam kasus ini, penyerang mengeksploitasi cara Allbridge menghitung nilai tukar berdasarkan saldo token internalnya.
Tanggapan Allbridge
Allbridge mengonfirmasi insiden tersebut di media sosial dan mengatakan telah menghentikan semua operasi untuk penyelidikan. Tim mengatakan sedang menyusun rencana untuk memulihkan dana dan akan membagikan detailnya setelah penyelidikan selesai. Pengguna disarankan untuk tidak melakukan deposit atau penarikan sampai pemberitahuan lebih lanjut.
Protokol belum mengumumkan jadwal untuk melanjutkan layanan. Belum jelas apakah dana yang dicuri dapat dipulihkan atau apakah Allbridge akan memberikan kompensasi kepada pengguna yang terkena dampak.
Peran Kamino
Kamino, protokol peminjaman yang menyediakan flash loan, tidak menjadi sasaran langsung. Flash loan adalah fitur standar di banyak platform DeFi dan sering digunakan untuk arbitrase dan refinansiasi yang sah. Namun, hal ini juga memungkinkan serangan jika digabungkan dengan kerentanan di protokol lain. Kamino belum memberikan komentar mengenai insiden ini.
Eksploitasi ini menyoroti risiko yang terus ada dalam keuangan terdesentralisasi: bahkan ketika protokol individu aman, komposabilitas DeFi dapat menciptakan permukaan serangan yang tidak terduga. Allbridge adalah yang terbaru dari serangkaian jembatan lintas rantai dan protokol likuiditas yang mengalami serangan flash loan.
