Genesis Drop Hemi Diserang Reentrancy, 124,5 Juta Token Dicuri

ME News melaporkan, pada 9 September (UTC+8) Hemi merilis laporan analisis pascakejadian terkait eksploit kerentanan pada Genesis Drop yang terjadi pada 7 September. Dalam laporan tersebut, Hemi menyebutkan bahwa pada 7 September pukul 03:36:47 UTC, pelaku memanfaatkan celah pada smart contract MerkleBox milik Hemi saat Genesis Drop berlangsung, sehingga berhasil menguras sekitar 124,5 juta token yang belum diklaim. Kelemahan ini berasal dari serangan reentrancy: kontrak memproses pembuatan token lock lebih dulu sebelum memperbarui saldo akun. Kondisi tersebut memungkinkan pelaku melakukan penarikan dana jauh melampaui batas klaim yang ditetapkan untuk grup klaimnya. Eksploit diawali dengan flash loan sebesar 2 juta token HEMI dari pool HEMI/USDT di SushiSwap. Pelaku menyusun serangan agar dieksekusi secara atomik dan melunasi pinjaman dalam transaksi yang sama. Token hasil curian kemudian segera dilikuidasi di bursa terdesentralisasi (DEX) dalam jaringan Hemi, menghasilkan sekitar US$255.000 dalam stablecoin. Dana itu lalu dipindahkan lintas jaringan melalui LayerZero ke Ethereum, Arbitrum, dan BSC, dengan sebagian besar dikonversi menjadi ETH. Tim Hemi menerima peringatan dari Hypernative pada 05:42 UTC dan menemukan akar masalahnya kurang dari satu jam. Kontrak yang terdampak bersifat immutable dan kini bersaldo nol sehingga tidak menimbulkan risiko lanjutan. Infrastruktur Hemi lainnya dilaporkan tidak terpengaruh. Hemi menyatakan investigasi identitas pelaku serta upaya pemulihan dana masih berlangsung. (Sumber: Foresight News)