Eksploit phishing canggih telah muncul yang menargetkan pemegang World Liberty Financial (WLFI), token tata kelola yang terkait dengan ekosistem kripto Donald Trump. Perusahaan keamanan telah mengidentifikasi bahwa penyerang memanfaatkan celah yang diperkenalkan oleh pembaruan Pectra Ethereum—khususnya, mekanisme delegasi EIP-7702—untuk menanam kontrak berbahaya ke dalam dompet yang telah dikompromikan. Ketika korban mencoba menyetor token ETH atau WLFI, kontrak delegasi yang tertanam secara otomatis mengarahkan dana ke alamat yang dikendalikan penyerang, membuat pengguna tidak dapat memulihkan aset.
Vektor eksploitasi ini berputar di sekitar fitur EIP-7702, yang dirancang untuk memungkinkan transaksi batch dan operasi delegasi. Meskipun dimaksudkan untuk mempermudah interaksi multi-panggilan, kemampuan delegasi ini menjadi pedang bermata dua: penyerang secara proaktif memasukkan alamat delegasi mereka sendiri ke dalam dompet target setelah kebocoran kunci, yang sering dicapai melalui kampanye phishing. Begitu pengguna yang tidak curiga memberikan otorisasi kepada delegasi, setiap transfer berikutnya—baik ETH asli maupun token ERC-20 seperti WLFI—dialihkan ke kontrak peretas, melewati pemeriksaan persetujuan standar.
Laporan dari forum komunitas WLFI menunjukkan bahwa beberapa investor hanya berhasil menyelamatkan sebagian kecil dari kepemilikan mereka—sekitar 20% dalam beberapa kasus—sebelum menyadari adanya pengurasan yang tidak dapat dipulihkan. Perusahaan analitik Bubblemaps juga menandai “klon bundel” yang meniru kontrak resmi WLFI, yang lebih membingungkan pengguna dan mengarahkan mereka ke antarmuka penipuan. Tautan penipuan menyebar luas di Telegram dan X, memperburuk jangkauan dan dampak serangan.
Eksploitasi ini memperparah kerugian bagi pemegang WLFI yang sudah menghadapi penurunan harga tajam setelah debut perdagangan token yang profil tingginya. Pembaruan Pectra, meskipun bertujuan meningkatkan fungsi dompet, menegaskan pentingnya protokol audit yang ketat dan integrasi hati-hati fitur EVM baru. Para ahli keamanan menyarankan pencabutan semua izin delegasi melalui antarmuka dompet, memigrasikan aset yang tersisa ke alamat yang baru dibuat dengan penyimpanan kunci yang terisolasi, dan menunggu panduan dari komunitas atau protokol mengenai teknik mitigasi. Seiring insiden ini berkembang, sektor menghadapi pengawasan ulang atas keseimbangan antara inovasi dan keamanan dalam standar kontrak pintar.
Komentar (0)