Sebuah kontrak pintar yang ditinggalkan dari protokol DeFi yang sudah mati, Aztec Connect, dieksploitasi sebesar $2 juta minggu ini — lebih dari tiga tahun setelah platform tersebut ditutup. Insiden ini menekankan bahaya yang terus ada dalam keuangan terdesentralisasi: begitu kontrak aktif di blockchain, kontrak tersebut tidak dapat diubah atau dimatikan, sehingga menjadi target yang tetap bagi penyerang bahkan setelah proyek itu sendiri sudah tiada.
Bagaimana Eksploitasi Terjadi
Penyerang menguras sekitar $2 juta dari kontrak yang tidak tersentuh sejak Aztec Connect berhenti beroperasi pada tahun 2024. Karena kontrak tersebut tidak dapat diubah — fitur inti dari banyak protokol DeFi — tidak ada yang bisa memperbaruinya untuk mengunci dana atau menonaktifkan fungsionalitas setelah penutupan. Eksploitasi ini tampaknya memanfaatkan kerentanan yang diketahui atau sekadar menarik dana yang masih dapat diakses karena izin asli kontrak.
Mengapa Kontrak yang Tidak Dapat Diubah Menjadi Risiko
Ketidakmampuan untuk diubah sering dipuji sebagai fitur keamanan dalam kode blockchain: tidak ada yang bisa mengubah aturan setelah diterapkan. Namun, sifat yang sama menjadi kewajiban ketika sebuah proyek ditutup. Jika kontrak menyimpan dana pengguna, memberikan hak penarikan, atau berinteraksi dengan protokol lain, fungsi-fungsi tersebut tetap aktif selamanya. Kasus Aztec Connect adalah contoh klasik: tim pergi, tetapi kontrak terus berjalan — dan akhirnya seorang penyerang menemukannya.
Kesenjangan dalam Strategi Keluar
Eksploitasi ini menyoroti celah dalam rencana penutupan banyak proyek DeFi. Hanya sedikit protokol yang dirancang untuk penonaktifan kontrak pintar yang bersih dan tidak dapat dibatalkan. Langkah-langkah sederhana — seperti menambahkan fungsi jeda, opsi penghancuran diri (jika didukung), atau mekanisme migrasi — dapat mengurangi risiko, tetapi memerlukan pandangan ke depan selama pengembangan. Dalam kasus Aztec Connect, tidak ada perlindungan semacam itu saat proyek berakhir.
Kerugian sebesar $2 juta kemungkinan besar tidak dapat dipulihkan. Karena blockchain menegakkan logika kontrak asli, tidak ada otoritas pusat yang dapat membalikkan transaksi atau menarik kembali dana. Uang itu hilang, dan penyerang tetap anonim.
Apa yang Bisa Dipelajari DeFi
Regulator dan peneliti keamanan telah memperingatkan selama bertahun-tahun bahwa kontrak yang ditinggalkan menciptakan bom waktu. Eksploitasi Aztec Connect bukanlah yang pertama — dan mungkin bukan yang terakhir — dari kontrak yang tidak aktif yang dijarah. Pertanyaannya sekarang adalah apakah para pengembang akan memperlakukan ketidakmampuan kontrak untuk diubah sebagai fitur yang harus dimatikan setelah proyek mati, atau terus memperlakukan penutupan hanya sebagai mematikan situs web. Tanpa perubahan dalam cara protokol merencanakan akhir mereka sendiri, kerugian serupa kemungkinan akan terjadi.
