Hacker NFT Cuan Rp 11,5 M Akibat Bug di OpenSea: Beli Diskon Pakai Harga Lama

Cara Membuat NFT di OpenSea Foto: OpenSea

Bug di marketplace OpenSea memungkinkan seorang hacker mencuri NFT dan mendapat profit hingga 801 ribu dolar AS (sekitar Rp 11,5 miliar), menurut laporan terbaru dari perusahaan analitik blockchain Elliptic.

Dalam laporan yang diunggah pada Senin (24/1), Elliptic melaporkan bahwa setidaknya sudah ada tiga hacker yang memanfaatkan bug di OpenSea, di mana mereka dapat membeli NFT di bawah harga pasar dan menjualnya berkali-kali lipat. Secara total, ketiga hacker tersebut mendapat profit hingga 1 juta dolar AS dari aksi tersebut.

Salah satu hacker, yang memakai nama samaran "jpegdegenlove", dilaporkan membeli 7 NFT dengan harga 133 ribu dolar AS (Rp 1,9 miliar) dengan uang kripto Ether. Hacker tersebut langsung menjual NFT-NFT yang ia curi seharga 934 ribu dolar AS (Rp 13,4 miliar), membuatnya untung 801 ribu dolar AS.

Upaya untuk melacak aliran dana jpegdegenlove tidak dimungkinkan karena dia menggunakan Tornado Cash — layanan untuk memblokir pelacakan blockchain terhadap suatu aliran dana.

Hacker yang lain memanfaatkan bug OpenSea untuk mencuri sebuah Bored Ape Yacht Club — salah satu koleksi NFT populer bergambar kera — dengan harga 0,77 Ether (Rp 27,1 juta). Sekitar 20 menit kemudian, hacker yang tidak disebutkan identitasnya itu menjual NFT yang ia curi dengan harga 84,2 Ether (Rp 3 miliar).

Adapun hacker ketiga memanfaatkan bug di OpenSea untuk membeli satu NFT gambar Mutan Ape Yacht Club seharga 10.600 dolar AS (Rp 152 juta). Ia menjual NFT tersebut lima jam kemudian seharga 34.800 dolar AS (Rp 500 juta).

Sebagai informasi, harga NFT di OpenSea biasanya ditentukan oleh penjual dalam daftar harga yang tertera di halaman web. Ketika pembeli sepakat dengan harga yang dicantumkan, NFT itu otomatis akan ditransfer ke pembeli.

Para penjual sendiri dapat mengubah daftar harga tersebut, tetapi mereka harus membayar biaya gas (gas fee). Ketika daftar harga diubah, daftar harga sebelumnya tak lagi dapat dilihat di halaman web NFT terkait.

Masalahnya, ternyata daftar harga tersebut tidak benar-benar dihapus oleh OpenSea. Dalam hal ini, meski tak lagi dapat dilihat lewat tampilan web biasa, daftar harga yang lama masih tersimpan di blockchain dan dapat diakses oleh hacker lewat API OpenSea.

"Eksploitasi tampaknya berasal dari kemampuan untuk mendaftarkan ulang NFT dengan harga baru, tanpa membatalkan daftar (harga) sebelumnya. Daftar sebelumnya tersebut sekarang digunakan untuk membeli NFT dengan harga yang ditentukan di beberapa titik di masa lalu — yang seringkali jauh di bawah harga pasar saat ini," jelas Elliptic dalam laporannya.

Elliptic mengatakan bahwa bug ini sebenarnya telah dilaporkan beberapa minggu yang lalu. Namun, tampaknya hacker baru memanfaatkan bug tersebut secara signifikan pada Senin (24/1).

OpenSea masih belum menanggapi laporan bug ini.