Serangan Protokol Edel: Bagaimana Jaminan Digital Ambruk Saat Harga Saham Tetap Stabil?

Protokol pinjaman di bidang keuangan terdesentralisasi (DeFi), Edel, mengumumkan eksploitasi senilai 403.000 dolar yang terjadi pada sebuah lapisan di mana saham yang ditokenisasi digunakan sebagai jaminan. Menurut pernyataan protokol tersebut, tidak ada deposan yang akan terpengaruh oleh kerugian ini, dan tim akan mengambil alih utang buruk yang terjadi untuk memulihkan saldo yang terpengaruh satu per satu. Selain itu, dinyatakan bahwa arsitektur oracle protokol akan dibangun kembali untuk versi kedua guna mencegah celah keamanan seperti itu terulang. Manajemen Edel menjamin bahwa mereka akan memikul tanggung jawab keuangan yang diperlukan untuk memastikan kejadian tersebut tidak merugikan dana pengguna.

Mekanisme dasar serangan tersebut dilakukan dengan memanipulasi nilai tukar antara wGOOGLx, versi wrapped (terbungkus) dari saham Google yang ditokenisasi milik Edel, dan token GOOGLx yang membungkusnya. Menurut keterangan Edel, manipulasi ini menggembungkan nilai jaminan wGOOGLx hingga sekitar 78 kali nilai sebenarnya, dan hal ini mengganggu keseimbangan sistem. Pemeriksaan oleh tim SlowMist menemukan bahwa asal masalah terletak pada sumber harga Edel dan sistem tersebut mengembalikan rasio `convertToAssets()` dari vault bergaya ERC-4626 dengan menggunakan metode `latestAnswer()`. Penyerang dapat memanipulasi rasio konversi ini ketika memiliki kontrol aliran yang cukup, dan karena umpan harga Edel membaca data ini secara langsung, kelemahan keamanan pun terjadi.

Perusahaan keamanan CertiK, dengan menganalisis kejadian tersebut dari sisi pemberian pinjaman, menyatakan bahwa penyerang memanipulasi harga jaminan wGOOGLx melalui mekanisme yang mengikuti saldo GOOGLx token tersebut, dan kemudian meminjam melawan nilai yang menggelembung. Tim GoPlus mendeteksi bahwa penyerang menggunakan pinjaman kilat (flash loan) untuk melakukan operasi ini dan berulang kali menyediakan jaminan dan meminjam untuk mengacaukan rasio konversi wGOOGLx/GOOGLx. Berkat nilai jaminan yang menggelembung ini, penyerang dapat mengalokasikan aset riil dari protokol, termasuk 384.215 USDC dan posisi wrapped seperti SPYx, QQQx, MSTRx, NVDAx, dan TSLAx.

Berbagai perusahaan keamanan mengumumkan angka yang berbeda mengenai biaya kejadian tersebut; Cyvers memperkirakan kerugian sekitar 353.000 dolar, GoPlus memperkirakan kerugian 403.000 dolar dan keuntungan penyerang 305.000 dolar, sedangkan CertiK mengukur dana yang hancur sebesar 204.000 dolar. Perbedaan angka ini diduga berasal dari fakta bahwa setiap perusahaan mengukur metrik yang berbeda seperti utang buruk, kerugian kotor, dan keuntungan bersih penyerang, dan bervariasi tergantung pada bagaimana dimensi keuangan kejadian tersebut dihitung. Kegagalan kritis terletak pada nilai tukar antara token wrapped dan yang mendasarinya, dan pasar pinjaman Edel menilai hubungan ini seolah-olah itu stabil. Ditekankan bahwa perubahan harga saham Alphabet tidak memicu eksploitasi ini, dan bahwa ini sepenuhnya merupakan manipulasi teknis.

Data pasar umum, menurut data RWA.xyz, mengungkapkan bahwa nilai on-chain saham yang ditokenisasi berada di sekitar 1,7 miliar dolar dan telah meningkat 2,17% dalam 30 hari terakhir. Sementara volume transfer bulanan berada pada level 8,92 miliar dolar, jumlah total pengguna tercatat di atas 396.000, yang memperlihatkan besarnya sektor ini. Platform seperti xStocks mencantumkan lebih dari 100 saham dan ETF di lebih dari 50 platform terintegrasi, sementara protokol seperti Kamino menonjol sebagai salah satu platform pinjaman besar pertama yang menerima saham yang ditokenisasi sebagai jaminan. Dengan rencana peluncuran token saham dan ETF oleh Robinhood untuk pelanggan UE pada tahun 2025, fakta bahwa saham yang ditokenisasi bergerak dan terhubung seperti aset kripto lainnya dipresentasikan sebagai nilai jual. Namun, dengan kejadian yang dialami Edel, kenyataan bahwa aset-aset ini dapat rusak seperti kripto begitu mereka mulai bergerak seperti kripto sekali lagi mengingatkan pasar.