Dalam serangan ini, peretas tidak mengeksploitasi bug pada smart contract inti. Sebaliknya, mereka memanfaatkan kunci admin yang telah dikompromikan, yang memungkinkan pencetakan token baru secara langsung.
Karena sistem mempercayai otoritas kunci admin tersebut, token eBTC yang dicetak terlihat sah bagi protokol lain di ekosistem DeFi—setidaknya sampai aktivitas mencurigakan terdeteksi.
Setelah mencetak eBTC tanpa jaminan, penyerang mencoba mengubahnya menjadi aset yang benar‑benar bernilai melalui mekanisme pinjaman DeFi:
Namun, likuiditas di pasar yang menerima eBTC cukup terbatas. Akibatnya, penyerang tidak bisa mengubah seluruh pasokan eBTC palsu menjadi aset nyata sebelum aktivitas tersebut terdeteksi.
Angka $76,7 juta yang banyak dilaporkan sebenarnya merujuk pada nilai teoritis dari 1.000 eBTC yang dicetak, bukan jumlah dana yang benar‑benar ditarik dari sistem.
Sebagian besar token palsu tersebut tetap berada di dompet penyerang. Pada awal investigasi, sekitar 955 eBTC masih tersimpan di alamat yang terkait dengan pelaku.
Setelah tim Echo Protocol kembali menguasai kunci admin, mereka membakar 955 eBTC tersebut, sehingga tidak dapat digunakan lagi sebagai jaminan atau diperdagangkan di masa depan.
Beberapa proyek dalam ekosistem Monad bertindak cepat untuk membatasi dampak serangan.
Langkah Echo Protocol
Langkah Curvance
Pihak terkait juga menegaskan bahwa blockchain Monad sendiri tidak diretas. Insiden ini terjadi di level aplikasi, yaitu pada deployment Echo Protocol di jaringan tersebut.
Analisis awal menunjukkan beberapa masalah tata kelola dan operasional yang membuka peluang eksploitasi:
Begitu kunci admin jatuh ke tangan pihak yang salah, penyerang pada dasarnya memiliki kekuasaan yang sama dengan operator protokol.
Insiden ini mencerminkan tren yang semakin terlihat di dunia DeFi pada 2026: banyak peretasan besar tidak berasal dari bug smart contract, melainkan dari kompromi kunci privat atau kelemahan tata kelola.
Dalam kasus seperti ini, kode kontrak mungkin bekerja persis seperti yang dirancang—tetapi keamanan runtuh karena pihak yang memegang akses administratif disusupi.
Eksploit Echo Protocol menunjukkan bahwa akses tingkat admin bisa lebih berbahaya daripada kerentanan kode. Meski sempat terlihat seperti serangan puluhan juta dolar, tindakan cepat dari proyek terkait membuat kerugian nyata tetap di bawah $1 juta.
Bagi pengembang DeFi, insiden ini mempertegas pentingnya mekanisme keamanan tambahan seperti multi‑signature wallet, batas pencetakan token, serta timelock untuk operasi kritis—lapisan perlindungan yang dapat mencegah satu kunci kompromi mengancam seluruh sistem.
Comments
0 comments