Eksploit Jembatan $24 Juta Arbitrum Ungkap Titik Lemah Keamanan L2

Apa yang bergerak di layer L2 modular + DA

$24.150.000 USDC keluar dari ekosistem Arbitrum pada 22 Juli. Targetnya adalah jembatan kustodi USDC yang dioperasikan oleh AFX Trade – sebuah perpetual DEX di Arbitrum – secara independen dari infrastruktur jaringan itu sendiri. PeckShield melacak penyerang yang menjembatani dana curian dari Arbitrum ke Ethereum dan menukarnya dengan 12.467 ETH, menurut The Block.

Offchain Labs segera memisahkan insiden ini dari arsitektur inti L2. Tim mengonfirmasi infrastruktur jembatan native Arbitrum tidak terpengaruh, menurut Cointelegraph. AFX Trade langsung menangguhkan operasi jembatan dan mendatangkan spesialis keamanan eksternal.

Di tengah situasi ini, pasar yang lebih luas tetap stabil. Bitcoin diperdagangkan antara $66.300 dan $67.000, didukung oleh optimisme atas legislasi kripto AS dan tanda-tanda awal rotasi modal dari saham AI ke aset digital, sebagaimana dilaporkan Cointelegraph. Saham semikonduktor naik untuk hari kedua berturut-turut sementara yen melemah melewati 163 per dolar untuk pertama kalinya sejak 1986, menurut CoinDesk.

Mengapa sekarang

AFX Trade mempublikasikan penawaran bounty 30% kepada penyerang dalam hitungan jam setelah eksploit 22 Juli – sebuah garis waktu yang menunjukkan betapa cepatnya nilai keluar dari ekosistem L2 dan betapa sedikitnya waktu yang dimiliki protokol untuk merespons. Decrypt melaporkan penawaran tersebut di hari yang sama, mencerminkan strategi yang kini sudah menjadi standar – memperlakukan penyerang sebagai mitra negosiasi, bukan penjahat.

Eksploit ini terjadi saat volume jembatan L2 berada di dekat puncak siklus. Seiring bertumbuhnya biaya sequencer dan TVL protokol di Arbitrum, jembatan kustodi mengakumulasi posisi stablecoin yang lebih besar dan menjadi target bernilai tinggi. Sebuah jembatan yang menyimpan $24 juta USDC dengan logika kustodi independen menarik lebih banyak perhatian dari penyerang canggih dibandingkan jembatan yang menyimpan $2 juta delapan belas bulan lalu.

Kondisi makro memperkuat hal ini. Dengan legislasi kripto AS yang terus berkembang dan pelemahan yen yang secara historis berkorelasi dengan masuknya modal ke aset berisiko, modal mengalir kembali ke ekosistem L2. Modal lebih banyak berarti volume jembatan lebih besar. Waktu eksploit dan kondisi pasar tidak terpisah satu sama lain.

Di mana risiko tersembunyi

12.467 ETH dana curian menyelesaikan perjalanannya dari Arbitrum ke Ethereum sebelum pembekuan apa pun dapat dilakukan. Kecepatan itulah yang mendefinisikan risiko inti dalam tumpukan L2 modular – keluar lintas rantai terjadi lebih cepat dari respons insiden.

Menurut ForkLog, AFX Trade mendeteksi insiden tersebut dan segera menangguhkan operasi jembatan, yang membatasi kerugian lebih lanjut namun tidak berbuat apa pun untuk dana yang sudah keluar. Inilah masalah strukturalnya – fraud proof rollup dan desain sequencer melindungi lapisan dasar, namun jembatan kustodi pihak ketiga beroperasi di bawah asumsi kepercayaan yang sepenuhnya berbeda.

• Risiko konsentrasi jembatan: jembatan kustodi yang menyimpan posisi stablecoin besar adalah titik risiko tertinggi di ekosistem L2 mana pun. Mereka mengakumulasi nilai tanpa keamanan penuh dari mekanisme sengketa native rollup.
• Risiko smart contract pihak ketiga: pengguna tidak dapat membedakan secara andal antara jembatan native Arbitrum dan jembatan yang dibangun oleh protokol di atasnya. Jembatan AFX membawa asosiasi merek Arbitrum tanpa jaminan keamanan Arbitrum.
• Kecepatan keluar lintas rantai: begitu dana berpindah dari L2 ke mainnet Ethereum, pemulihan memerlukan koordinasi tingkat rantai yang jarang terwujud tepat waktu. Swap ETH selesai sebelum berita ini tersebar ke publik.
• Kelelahan bounty: penawaran pengembalian 30% dari $24 juta masih menguntungkan penyerang sebesar $16,8 juta. Kalkulasi nilai ekspektasi tidak mendukung perilaku jujur ketika tingkat pemulihan dana curian tetap rendah.

Yang perlu dipantau 30 hari ke depan

Dengan $24 juta USDC dicuri dari satu jembatan dalam waktu kurang dari 24 jam, kami memperkirakan pengungkapan keamanan sukarela dari protokol berbasis Arbitrum dalam dua hingga empat minggu ke depan. Tim yang menyimpan posisi stablecoin besar dalam kontrak kustodi pihak ketiga akan menghadapi tekanan pengguna untuk mempublikasikan riwayat audit atau mengurangi batas TVL jembatan.

Di sisi legislatif, pemungutan suara komite konkret atas legislasi kripto AS akan menjadi katalis utama masuknya modal ke L2. Jika sebuah tagihan lolos komite, TVL Arbitrum dan Optimism kemungkinan mengalami apresiasi signifikan dan aktivitas jembatan akan meningkat bersamanya. Hal itu membuat keamanan jembatan semakin mendesak, bukan sebaliknya.

Yen di level terendah 40 tahun adalah sinyal makro yang layak dipantau secara independen. Intervensi Bank of Japan untuk memperkuat yen secara historis memicu penurunan tajam aset berisiko. Kami melihat pola ini pada unwind carry trade Agustus 2024. Jika BoJ bertindak, token L2 dan TVL menghadapi pembalikan cepat terlepas dari kemajuan fundamental. Pantau pertemuan kebijakan BoJ yang dijadwalkan akhir Juli dan akhir Agustus.

Tata kelola Arbitrum memiliki beberapa proposal sequencer dan treasury yang sedang berjalan di DAO. Pemungutan suara deployment treasury ARB yang besar di bulan Agustus dapat menggerakkan token secara independen dari pasar yang lebih luas. Pantau forum Arbitrum untuk proposal aktif menjelang jendela pemungutan suara.

Pandangan kami

Offchain Labs mengonfirmasi jembatan native Arbitrum selamat dari insiden ini tanpa kerusakan. Fakta tunggal itu mengubah kalkulasi kami – eksposur melalui jembatan dan infrastruktur rollup Arbitrum sendiri membawa profil risiko yang sama seperti sebelum 22 Juli. Eksposur melalui jembatan pihak ketiga di L2 mana pun kini secara eksplisit ditandai.

Jika Anda memegang ARB atau memiliki modal yang diterapkan dalam protokol native Arbitrum, insiden AFX tidak mengubah apa pun secara fundamental tentang posisi Anda. Jika Anda memegang posisi dalam protokol dengan jembatan kustodi terpisah yang menyimpan $10 juta atau lebih dalam stablecoin, tinjau riwayat audit dan periksa apakah batas TVL jembatan memiliki batasan. Jembatan pihak ketiga yang menyimpan $24 juta dalam satu kontrak bukan posisi yang ingin kami pertahankan di puncak siklus.

Soal ukuran posisi – kami tidak akan menambah eksposur token L2 pada level saat ini hanya berdasarkan narasi optimisme legislatif. Kasus makronya nyata, namun pelemahan yen dan rotasi saham AI bersifat sentiment-driven, bukan fundamental. Kami menunggu ARB menembus di atas kisaran terbarunya dengan volume sebelum menambah. Tembusan bersih dengan volume di atas rata-rata dan katalis tata kelola Arbitrum yang terkonfirmasi adalah sinyal masuk yang kami inginkan.

Di mana kami melihat peluang yang lebih bersih – protokol yang menghasilkan pendapatan biaya sequencer nyata dari aktivitas perp DEX dan DeFi organik, tanpa mengandalkan kepercayaan kustodi jembatan. Imbal hasil biaya sequencer meningkat seiring adopsi. Imbal hasil jembatan meningkat seiring jumlah titik kegagalan tunggal yang Anda masukkan ke dalam tumpukan. Eksploit minggu ini menunjukkan mana yang berkembang lebih baik di bawah tekanan.

FAQ

Apakah jaringan Arbitrum sendiri diretas dalam eksploit AFX?

Tidak. Offchain Labs mengonfirmasi bahwa infrastruktur jembatan native Arbitrum tidak terpengaruh. Eksploit $24 juta menghantam jembatan kustodi USDC yang dioperasikan secara independen oleh AFX Trade – sebuah perp DEX yang dibangun di Arbitrum – bukan infrastruktur rollup Arbitrum sendiri.

Apa yang terjadi pada $24 juta yang dicuri dari AFX Trade?

PeckShield melacak penyerang yang menjembatani USDC curian dari Arbitrum ke Ethereum dan menukarnya dengan 12.467 ETH. AFX Trade kemudian menawarkan peretas 30% dari jumlah yang dicuri sebagai bounty untuk mengembalikan sisa dana.

Bagaimana eksploit AFX memengaruhi pengguna yang memegang ARB atau menggunakan DeFi Arbitrum?

Pengguna dalam protokol yang mengandalkan jembatan native Arbitrum tidak terpengaruh oleh insiden ini. Risiko secara spesifik berada pada protokol pihak ketiga dengan jembatan kustodi terpisah, yang beroperasi di bawah asumsi keamanan berbeda dari rollup dan mekanisme sengketa Arbitrum sendiri.