Celah Keamanan EOA Shibaswap

Decentralized Exchange (DEX) ShibaSwap baru saja rilis kemarin, dan ternyata masih terdapat celah keamanan di platform tersebut terutama di bagian staking atau dalam istilah Shibaswap disebut Bury. Pada saat Bury token milik kita disimpan ke akun wallet berbeda dan saat ini dikendalikan oleh satu EOA (Externally Owned Account). Nah, di Bury inilah celah keamanan tersebut muncul. Celah keamanan pada Bury Shibaswap tersebut diungkap oleh pakar blockchain Valentin Mihov melalui Twitter. Valentin Mihov mengatakan ada “celah keamanan” di smart contract di ShibaSwap besutan Shiba Inu (SHIB), di fitur staking. Meski demikian, Mihov memastikan masih ada perbaikan yang sedang berlangsung terhadap smart contract itu, tetapi belum benar 100 persen.

Celah keamanan Shibaswap. (Twitter Valentin Mihov)

"…Saya menyarankan Anda untuk berhati-hati. Staking contract memungkinkan dana [token] dipindahkan ke akun wallet berbeda dan saat ini dikendalikan oleh satu EOA. Dana yang di-stake bisa kapan saja ditarik oleh developer," kata Mihov, Selasa (6/7/2021).

You think about aping into #ShibaSwap for 5000% APR? I will advice you to be cautious. The staking contract allows to migrate the deposited funds and it's currently owned by an EOA. TLDR: All the staked funds can be rugged by the devs at any moment #WarOnRugs 🚨 pic.twitter.com/1cBcJWaylV
— Valentin Mihov (@valentinmihov) July 6, 2021

Melalui Twitter Valentin Mihov menunjukkan ada celah keamanan yang ditemukan di smart contract ShibaSwap, khususnya di bagian Staking. ShibaSwap menyebut fitur itu sebagai “Bury”. Di fitur Bury tersebut, pengguna bisa mendapatkan token tambahan (dalam persen) atas token SHIB, BONE, dan LEASH yang ditempatkan di satu pool. Umumnya fitur staking di ranah DeFi seperti ini, pengguna pada prinsipnya mendapatkan pendapatan pasif, selayaknya “deposito” di bank. Hanya saja, ini punya aspek jaminan alias collateral, yakni ketiga token tersebut dan pengguna bisa mendapatkan tambahan jumlah token dalam periode waktu tertentu.

Apa itu EOA (Externally Owned Account)?

Apa itu EOA (Externally Owned Account)? Berdasarkan dokumen yang diterbitkan oleh Ethereum, EOA (Externally Owned Account) adalah salah satu jenis akun wallet di blockchain Ethereum, selain Contracts Accounts (CA). Pada prinsipnya EOA bisa memuat saldo ETH atau token lain dibawah Ethereum.

EOA juga dapat memuat transaksi, baik transfer terhadap dana di wallet tersebut ataupun untuk memicu transaksi tertentu di smart contract. Dan EOA ini dikendalikan penuh dengan private key. Meski EOA dikendalikan dengan privat key namun EOA tidak memiliki kode khusus yang tertaut dengan dirinya sendiri. Nah, disinilah celah tersebut yang menurut Mihove dana bisa dicuri dan teralihkan ke satu address tunggal.

Shiba Inu Perbaiki Shibaswap

Mengetahui adanya celah keamanan pada Shibaswap, developers Shiba Inu pun segera memperbaiki. Perbaikan Shibaswap di ungkapkan oleh Banteg melalui Twitter. Banteg memastikan, pihak developer ShibaSwap telah menghubunginya, bahwa kode di smart contract itu sedang diperbaiki dengan menambahkan kode khusus untuk fungsi “multisig 6/9” dan “timelock“.

Perbaikan multisig 6/9 dan timelock Shibaswap (Twitter Banteg)

Fungsi “multisig 6/9” adalah multisignature atau pengesahan ganda untuk semua transaksi, minimal 6 dari 9 pengesahan.

Sedangkan “timelock” adalah kendali transaksi berdasarkan periode waktu yang sudah ditentukan sebelumnya di dalam kode. Ini biasanya bermanfaat untuk menekan risiko penyerangan, karena setiap transaksi punya batas waktu khusus.

Minimum Viable ShibaSwap Rug

All liquidity can be easily stolen by a single address. Why did people put over $120 million in it again? pic.twitter.com/ONOKyYbjts
— banteg (@bantg) July 6, 2021