Flash Loan: senjata diam-diam yang mencuri jutaan dari DeFi

Pada 5 Februari 2020, protokol DeFi berguncang. Dalam beberapa detik saja, seorang penyerang yang menggunakan pinjaman kilat menyedot jutaan dolar dari protokol bZx. Itu hanyalah awal dari serangkaian peretasan yang mengungkapkan kerentanan sistemik di sektor ini.

Bagaimana penyerang memanfaatkan pinjaman kilat untuk mengosongkan protokol

Pinjaman kilat adalah mekanisme unik di DeFi: meminjam sejumlah besar — terkadang puluhan juta dolar — tanpa jaminan apa pun. Satu-satunya syarat: melunasi pinjaman dalam satu transaksi yang sama. Jika syarat ini tidak dipenuhi, transaksi akan dibatalkan secara otomatis, seolah-olah tidak pernah terjadi.

Arsitektur ini menciptakan paradoks yang menarik. Di satu sisi, pinjaman kilat memungkinkan operasi yang sah: arbitrase antar platform, refinancing instan, atau likuidasi kompleks. Di sisi lain, mereka memberi penyerang alat yang sempurna untuk memanipulasi pasar tanpa risiko yang tampak.

Mekanisme serangan ini cukup sederhana. Penyerang meminjam pinjaman kilat besar — misalnya 10 juta USDC. Ia menggunakan volume besar ini untuk memanipulasi harga token dalam pool likuiditas (DEX). Di platform pihak ketiga, data harga mencerminkan manipulasi ini. Penyerang memanfaatkannya untuk menarik aset yang overvalued. Akhirnya, ia melunasi pinjaman kilat tersebut. Hasilnya: ia melarikan diri dengan keuntungan, semua dalam satu transaksi.

Tiga peretasan terbesar dengan pinjaman kilat yang mengejutkan ekosistem

Serangan bZx (Februari 2020) meninggalkan kesan mendalam. Sekitar 350.000 dolar diselewengkan melalui manipulasi harga yang sangat cerdik. Penyerang menjebak sistem likuidasi protokol dengan memalsukan data harga, menunjukkan untuk pertama kalinya kerentanan mekanisme ini.

Harvest Finance mengalami kerugian yang jauh lebih besar pada Oktober 2020, dengan 34 juta dolar diselewengkan secara curang. Penyerang memanipulasi harga token USDT dan aset lain dalam pool likuiditas, memungkinkan pencuri menarik dana yang tidak proporsional. Insiden ini menyadarkan investor DeFi bahwa bahkan protokol yang tampaknya terpercaya pun bisa menjadi sasaran.

PancakeBunny pada Mei 2021 mengalami kerugian sebesar 45 juta dolar. Manipulasi harga token BUNNY melalui pinjaman kilat menyebabkan rangkaian kegagalan. Tidak hanya dana pengguna hilang, tetapi token pun anjlok, menjadikan serangan ini bencana sistemik.

Kerentanan keamanan yang membuat pinjaman kilat sangat berbahaya

Ketiga insiden ini bukanlah keberuntungan semata. Mereka mengungkap masalah struktural yang mendalam.

Oracle harga yang kurang terlindungi adalah kerentanan utama. Banyak protokol bergantung pada harga instan dari DEX sebagai sumber data. Padahal, volume besar dapat memanipulasi harga ini dalam hitungan detik. Protokol tidak memeriksa apakah pergerakan harga ini normal atau tidak.

Kesalahan logika dalam kontrak pintar memperburuk masalah. Beberapa protokol tidak melakukan verifikasi silang. Mereka menerima data input tanpa mempertanyakan konsistensinya. Misalnya, kontrak bisa mempercayai harga dari oracle tanpa memeriksa apakah harga tersebut sesuai dengan kondisi pasar nyata.

Tidak adanya mekanisme penundaan memperparah situasi. Penyerang dapat bertindak secepat blockchain — dalam beberapa milidetik. Tanpa penundaan keamanan, sulit mendeteksi dan menghentikan serangan yang sedang berlangsung.

Solusi untuk memperkuat protokol terhadap pinjaman kilat

Respons industri bersifat progresif namun efektif.

Adopsi oracle yang terpercaya seperti Chainlink telah mengubah lanskap. Oracle ini tidak menggunakan harga instan dari DEX, melainkan data teragregasi dari berbagai sumber, sehingga manipulasi menjadi jauh lebih sulit.

Implementasi TWAP (Time-Weighted Average Price — harga rata-rata tertimbang waktu) memberikan perlindungan tambahan. Alih-alih harga instan, mekanisme ini menggunakan rata-rata selama interval waktu tertentu, menetralkan lonjakan harga palsu.

Verifikasi data input secara ketat dan penggunaan multisignature untuk operasi penting memperkuat tata kelola. Protokol modern mengharuskan beberapa entitas menyetujui perubahan kritis, memperlambat langkah penyerang.

Audit kontrak pintar secara rutin oleh pihak ketiga yang ahli menjadi keharusan. Mereka membantu mengidentifikasi kerentanan sebelum dieksploitasi.

Cara melindungi dana dari protokol yang rentan

Bagi pengguna biasa, kehati-hatian adalah prioritas.

Fokuskan dana pada protokol yang sudah teruji dan diaudit daripada proyek yang baru muncul. Nama besar seperti Aave atau Lido telah berinvestasi besar-besaran dalam keamanan setelah insiden ini.

Tetap waspada terhadap serangan baru. Ikuti akun-akun yang khusus membahas keamanan DeFi dan komunitas pengembang. Segera setelah ditemukan kerentanan, tinggalkan protokol yang terdampak.

Diversifikasi investasi dan jangan pernah mengunci seluruh portofolio dalam satu protokol. Risiko sistemik di DeFi memang nyata.

Kesimpulan: keseimbangan antara inovasi dan keamanan

Pinjaman kilat tetap menjadi inovasi luar biasa, menawarkan kemungkinan yang bahkan tidak bisa dibayangkan oleh keuangan tradisional. Namun, seperti alat yang kuat, mereka membutuhkan kewaspadaan.

Ekosistem telah belajar. Protokol telah memperkuat diri. Pengguna menjadi lebih sadar. Tapi perburuan terus berlangsung: begitu satu pertahanan muncul, penyerang mencari celah baru. Keamanan di DeFi bukanlah tujuan akhir, melainkan proses berkelanjutan untuk perbaikan dan kehati-hatian.