Thetanuts brankas yang ditinggalkan diserang, senilai 2,1 juta dolar AS; hacker topi putih berhasil memulihkan 2 juta

Perjanjian opsi DeFi Thetanuts Finance pada 16 Juni mengonfirmasi bahwa brankas lama bergaya lama yang sudah ditinggalkan sejak bertahun-tahun lalu diserang, dengan kerugian senilai 2,1 juta dolar AS. Perusahaan keamanan blockchain PeckShieldAlert lebih dulu mengeluarkan peringatan sebelum konfirmasi dari Thetanuts, dan melaporkan bahwa berkat upaya white hat hacker, telah berhasil ditarik kembali sekitar 2 juta dolar AS dalam bentuk token opsi.

Rincian Serangan: Data On-chain dari PeckShieldAlert

(Sumber: PeckShieldAlert)

Berdasarkan analisis on-chain dari PeckShieldAlert dan konfirmasi dari Blockaid:

Dana yang berhasil ditarik kembali: sekitar 2 juta dolar AS token opsi (melalui upaya white hat hacker)

Penukaran pelaku: sekitar 105 ribu dolar AS USDC ditukar menjadi sekitar 60 ETH

Aset pelaku yang dimiliki: sekitar 34 ribu dolar AS token opsi senilai USDC

Deteksi independen: sistem deteksi celah Blockaid secara independen mengonfirmasi serangan, menerbitkan peringatan komunitas, dan mempublikasikan alamat pelaku serta alamat kontrak yang dieksploitasi

Akar Serangan dari Peneliti Keamanan

Laporan analisis celah yang dipublikasikan oleh peneliti keamanan ExVul di X mengonfirmasi bahwa akar serangan berasal dari cacat pada logika penebusan (redemption) di brankas. Thetanuts Finance menyatakan, dalam beberapa jam setelah serangan: “Hasil penyelidikan awal kami menunjukkan bahwa ini adalah brankas yang sudah tidak kami gunakan lagi sejak bertahun-tahun lalu… ini tidak ada kaitannya dengan kontrak atau produk kami saat ini.” Perusahaan berjanji akan merilis laporan analisis pascakejadian yang lengkap setelah mengumpulkan rincian lebih lanjut.

Konfirmasi Kasus Serangan pada Protokol yang Ditelantarkan: Aztec Connect dan Akumulasi Kerugian Bulan Juni

Sebelum insiden Thetanuts terjadi, Aztec Connect (proyek jembatan privasi yang berhenti pemeliharaan sejak 2023) juga mengalami kerugian senilai 2,1 juta dolar AS akibat celah verifikasi dalam smart contract yang tidak dapat diubah; karena tim telah menyerahkan semua kunci admin, tidak ada yang bisa memperbaiki atau menghentikan kode.

Hingga saat laporan pada 16 Juni, total kerugian akibat serangan celah DeFi pada bulan Juni 2026 telah melampaui 46 juta dolar AS, sementara bulan ini baru saja lewat setengahnya.

Pertanyaan yang Sering Diajukan

Apakah produk dan kontrak yang ada dari Thetanuts terpengaruh oleh serangan ini?

Berdasarkan pernyataan resmi Thetanuts, yang diserang adalah brankas lama yang sudah ditinggalkan sejak bertahun-tahun lalu, “ini tidak ada kaitannya dengan kontrak atau produk kami saat ini.” Perusahaan juga mengonfirmasi bahwa produk yang ada dan smart contract tidak terpengaruh oleh celah ini.

Berapa total dana pada akhirnya yang tidak dapat ditarik kembali dari serangan ini?

Berdasarkan analisis on-chain dari PeckShieldAlert, sekitar 2 juta dolar AS telah berhasil ditarik kembali berkat upaya white hat hacker; pelaku menukarkan sekitar 105 ribu dolar AS USDC menjadi 60 ETH, dan memiliki token opsi senilai USDC sekitar 34 ribu dolar AS, sehingga perkiraan dana yang kemungkinan besar tidak dapat ditarik kembali sekitar 140 ribu dolar AS.

Mengapa kontrak DeFi yang ditinggalkan masih berisiko keamanan?

Berdasarkan penjelasan kasus Aztec Connect, jika desain kontrak tidak dapat diubah, dan tim pengembang telah melepaskan kunci administrator, siapa pun tidak dapat memperbaiki atau menghentikan kode setelah serangan terjadi. Protokol yang ditinggalkan biasanya tidak lagi menerima pembaruan audit keamanan; jika kode masih bisa dipanggil dan masih ada dana yang tersimpan, maka tetap berisiko diserang.