L2 Beat Menimbulkan Pertanyaan Tentang Pengelolaan Jutaan Dana Pengguna Multichain

Sebagian besar crypto yang hilang karena peretasan tahun ini dicuri dari bridge, teknologi yang memungkinkan pengguna mentransfer aset digital antar blockchain.

Alasannya jelas: Jembatan rumit, memberi penyerang lebih banyak jalan untuk dieksploitasi. 

Selain itu, mereka memberikan satu titik kegagalan: kontrak pintar yang menyimpan uang pengguna di escrow sementara token yang "ditransfer" - pada dasarnya IOU - digunakan pada rantai tujuan.

Gerakan yang tidak biasa

Jadi para peneliti di L2 Beat terkejut ketika mereka menggali Multichain, platform penghubung dengan total nilai $1 miliar terkunci, dan menemukan ancaman nyata dari dalam.

Dalam langkah yang tidak biasa, Multichain mentransfer jutaan dana pengguna dari escrow untuk menyediakan likuiditas di tempat lain di jaringannya, menurut L2 Beat, sebuah proyek penelitian yang menganalisis ruang blockchain Layer 2.

“Itu uang pengguna, jadi apakah ini disepakati dengan pengguna dalam rantai ini, atau mereka melanggar kontrak sosial dengan pengguna,” Bartek Kiepuszewski, seorang peneliti di L2 Beat, mengatakan kepada The Defiant.

Itu uang pengguna, jadi ini disepakati dengan pengguna di rantai ini, atau mereka melanggar kontrak sosial dengan pengguna.

Bartek Kiepuszewski

Sementara transfer token dari escrow dapat dilihat secara on-chain, di mana token tersebut akhirnya pergi adalah sebuah misteri, menurut Kiepuszewski. 

Multichain mengklaim token digunakan untuk menyediakan likuiditas di tempat lain di jaringannya, tetapi ukuran jaringan itu berarti bahwa mengonfirmasi klaim sangat sulit untuk tim kecil seperti L2 Beat.

Michael Lewellen, kepala solusi di perusahaan keamanan kripto Open Zeppelin, mengatakan praktik tersebut memang bermasalah.

"Jika tidak ada cara yang jelas untuk mengidentifikasi bahwa aset yang diklaim oleh jembatan itu tidak ada di suatu tempat yang dapat diverifikasi secara publik, saya pasti akan menyatakan itu sebagai perhatian khusus untuk jembatan itu," kata Lewellen kepada The Defiant. 

Tuduhan L2 mempertanyakan perilaku dan praktik keamanan di organisasi yang bertanggung jawab atas lebih dari $1 miliar dana pengguna. Multichain menjembatani ke lusinan blockchain dan mendukung ribuan token. Mengonfirmasi bahwa Multichain masih memiliki crypto itu — yang belum dicuri atau dipertaruhkan dalam protokol DeFi — akan menjadi tugas yang sangat berat.

Keraguan Segar

Lebih jauh lagi, tuduhan tersebut mungkin menyuntikkan keraguan baru dalam teknologi jembatan, yang telah mengalami kerusakan besar di tangan para peretas tahun ini.

Tiga dari lima peretasan terbesar dalam sejarah crypto terjadi tahun ini, dan masing-masing peretasan jembatan, menurut eksploitasi Rekt leaderboard. Lebih dari $600 juta diambil dari Ronin Network. Hampir $600 juta diambil dari jembatan Binance. Lebih dari $300 juta diambil dari jembatan Wormhole. 

Multichain tidak menanggapi beberapa permintaan komentar yang dikirimkan melalui alamat email kontak yang tercantum di situs webnya.

Asumsi Keamanan

Episode ini menyoroti peran yang dimainkan L2 dalam meneliti ruang penskalaan blockchain. Ketika pembuat protokol pinjaman sedang mempertimbangkan apakah akan memperluas ke blockchain Layer 2 seperti Optimism dan Arbitrum, perlu untuk lebih memahami bagaimana blockchain tersebut bekerja. 

Proyek berikutnya akhirnya dipisahkan dari Maker dan menjadi L2 Beat — sebuah situs web yang mencantumkan banyak sekali blockchain Layer 2, jumlah uang yang mereka pegang, dan asumsi keamanan yang mereka buat.

[Embedded content]

Bulan ini, proyek diperluas dengan peluncuran dasbor untuk protokol jembatan. Di samping Multichain, protokol jembatan terbesar kedua di dunia, tim L2 Beat menambahkan perisai kuning kecil yang bertuliskan tanda seru, memperingatkan pengguna tentang ketidakwajaran yang dicurigai.

“Setiap jembatan bekerja kurang lebih dengan cara yang sama,” jelas Kiepuszewski. “Anda mengirim token ke alamat dan token [baru] akan dicetak oleh validator di [blockchain] tujuan. Jika Anda ingin kembali, kebalikannya terjadi, jadi Anda membakar token di tujuan dan validator harus melepaskan token dari alamat escrow yang awalnya Anda kirimi token.”

Jaringan Likuiditas

Protokol jembatan yang tidak dapat mencetak token baru pada rantai tujuan sebagai gantinya menggunakan metode “jaringan likuiditas”. Penyedia likuiditas menyimpan token di kumpulan likuiditas di rantai tujuan. Token tersebut tersedia untuk pengguna yang menjembatani ke blockchain itu, dan mereka dikembalikan ke kumpulan ketika pengguna jembatan menarik diri ke rantai asal mereka.

Multichain, yang memiliki jembatan ke lusinan blockchain, adalah hibrida, menurut L2 Beat. Dalam beberapa kasus itu mencetak token. Di tempat lain, ia menggunakan kumpulan likuiditas.

Menurut penelitian Kiepuszewski, validator Multichain menarik hampir $80 juta dalam stablecoin dan 300 Bitcoin dari kontrak escrow, meninggalkan lebih banyak crypto pada rantai tujuan daripada yang tersisa dalam kontrak.

Kiepuszewski mengatakan dia menjangkau Multichain dan perwakilan mengatakan kepadanya bahwa crypto telah digunakan untuk memasok kumpulan likuiditas di berbagai rantai.

“Mereka mengklaim bahwa ini menurut mereka tidak bermasalah, karena uang itu masih berada di ekosistem Multichain, dan pengguna, menurut pendapat mereka, harus selalu dapat menarik jumlah yang mereka butuhkan,” kata Kiepuszewski. Tetapi melakukan audit “sekarang menjadi sangat rumit, karena Anda harus menganalisis seluruh ekosistem Multichain, bukan?”

Lewellen dari Zeppelin setuju. “Bahkan untuk jaringan likuiditas,” katanya. “Setidaknya ada cara untuk melihat kumpulan [penyedia likuiditas] yang berbeda dan rantai yang berbeda dan mengidentifikasi bahwa keseluruhan aset yang dikeluarkan oleh jembatan cocok dengan beberapa kumpulan likuiditas di tempat lain.”

Lewellen dan Kiepuszewski keduanya mengatakan dasbor yang menunjukkan rute yang diambil dana mereka akan sangat membantu meredakan kekhawatiran tentang pergerakan crypto pengguna.

Kerentanan Perangkat Lunak

Ini juga menambah kerutan baru ketika menilai apakah Multichain adalah tempat yang aman untuk memarkir uang seseorang. Biasanya, audit akan mengkonfirmasi apakah ada kerentanan perangkat lunak. Sekarang, pengguna juga harus bertanya-tanya apakah Multichain sendiri dapat dipercaya dengan uang mereka, kata Kiepuszewski.

Bahkan jika dana tersebut disimpan, mengaksesnya secara tepat waktu mungkin sulit. Dan itu menghadirkan masalahnya sendiri, menurut Lewellen, yang menunjukkan fakta bahwa tampaknya ada lebih sedikit Dai di jembatan Fantom Multichain daripada token Dai yang dicetak Multichain di Fantom. 

Tidak Ada Kejelasan

Lebih dari $52M Dai dijembatani ke Fantom, blockchain Layer 1, diduga dihapus dari escrow oleh validator Multichain, menurut L2 Beat. 

Jika Dai kehilangan pasaknya terhadap Dolar AS, dan orang-orang dengan Dai di Fantom ingin menukarkan Dai itu dengan USD, mereka mungkin kehilangan sejumlah besar uang dalam waktu yang diperlukan untuk menemukan dan mentransfer Dai yang seharusnya ada di escrow, menurut Lewellen. 

“Bukannya ini akan terjadi hari ini, tetapi itu bisa terjadi jika faktor-faktor ini berbaris dengan cara yang tidak terlalu menguntungkan bagi Multichain,” katanya, “dan saya pikir pada akhirnya dari situlah kekhawatiran itu berasal. Hanya saja tidak ada kejelasan tentang bagaimana Multichain mengelola risiko ini.”