Analisis Wormhole Hack: Kerentanan Bridge $320 Juta

Wormhole, salah satu protokol bridge cross-chain terbesar yang menghubungkan Solana dengan Ethereum dan jaringan lain, kehilangan sekitar $320 juta pada 2 Februari 2022 setelah penyerang mengeksploitasi celah verifikasi tanda tangan untuk mencetak 120.000 wrapped ETH (wETH) tanpa jaminan aset yang sah. Ini masih menjadi salah satu contoh paling sering dikutip tentang risiko teknis spesifik yang melekat pada arsitektur bridge cross-chain.

Kronologi

Wormhole bekerja dengan model “lock-and-mint”: pengguna mengunci ETH di kontrak Ethereum, lalu sekumpulan node yang disebut “guardian” memverifikasi kejadian tersebut dan menerbitkan sinyal persetujuan yang memungkinkan jumlah wETH yang setara dicetak di Solana. Proses sebaliknya (burn-and-unlock) berlaku saat wETH ditukar kembali menjadi ETH asli.

Pada 2 Februari 2022, penyerang mengirimkan transaksi ke kontrak Wormhole di Solana yang berhasil lolos verifikasi meski tidak pernah ada ETH yang benar-benar dikunci di sisi Ethereum. Transaksi ini memerintahkan pencetakan 120.000 wETH di Solana. Penyerang lalu langsung menukar sebagian besar wETH tersebut menjadi ETH asli melalui jalur burn-and-unlock yang sah, sehingga dana benar-benar keluar dari kontrak Ethereum Wormhole.

Tim Wormhole menyadari kejanggalan dalam hitungan jam dan sempat mempublikasikan bounty on-chain senilai $10 juta kepada penyerang agar mengembalikan dana — permintaan yang tidak pernah dipenuhi. Kurang dari 24 jam setelah insiden, Jump Crypto mengumumkan akan mengisi ulang 120.000 ETH yang hilang agar bridge tetap solven dan pengguna tidak kehilangan dana.

Bagaimana Exploit Terjadi

Akar masalah Wormhole hack ada pada proses verifikasi tanda tangan guardian di program Solana milik Wormhole. Secara normal, kontrak harus memverifikasi bahwa sekumpulan tanda tangan guardian yang menyertai sebuah transaksi benar-benar valid dan berasal dari akun sistem (sysvar) resmi Solana yang menyimpan hasil verifikasi signature — bukan akun sembarangan yang dibuat siapa saja.

Versi kontrak Wormhole yang aktif saat itu masih memakai fungsi verifikasi lama yang tidak sepenuhnya memastikan bahwa akun yang diklaim sebagai “hasil verifikasi guardian” tersebut memang akun sysvar resmi. Penyerang memanfaatkan celah ini dengan membuat akun palsu miliknya sendiri yang berisi data seolah-olah merupakan hasil verifikasi tanda tangan guardian yang sah, lalu menyerahkan akun palsu tersebut ke kontrak Wormhole. Kontrak menerima akun palsu itu sebagai bukti valid dan mengizinkan pencetakan 120.000 wETH tanpa pernah benar-benar memvalidasi tanda tangan guardian asli.

Menariknya, celah pada fungsi verifikasi ini sebenarnya sudah diperbaiki di versi kode yang lebih baru sebelum insiden terjadi, namun kontrak yang sudah di-deploy di mainnet Solana belum sempat diperbarui ke versi tersebut. Ini menegaskan bahwa kecepatan proses upgrade dan deployment kontrak sama pentingnya dengan kualitas kode itu sendiri — kode yang aman di repository tidak berguna kalau versi yang berjalan di jaringan masih rentan.

Dampak

Kerugian langsung mencapai sekitar $320 juta pada nilai ETH saat itu — salah satu dari sedikit bridge hack terbesar dalam sejarah DeFi. Berbeda dari banyak insiden serupa, dampak ke pengguna akhir relatif minim karena Jump Crypto bersedia menyuntikkan dana pengganti secara penuh dalam waktu kurang dari sehari, mencegah potensi bank run atau ketidakpercayaan besar terhadap ekosistem Solana secara keseluruhan.

Namun langkah ini juga menimbulkan diskusi tentang risiko sentralisasi tersembunyi: kemampuan satu entitas swasta untuk “menyelamatkan” sebuah protokol besar dalam semalam menunjukkan betapa bergantungnya beberapa bridge pada dukungan finansial pihak tertentu, bukan semata-mata pada ketahanan protokol itu sendiri. Wormhole kemudian memperbaiki celah verifikasi, menjalani audit tambahan, dan memperluas jaringan guardian-nya.

Pelajaran

Beberapa hal konkret yang bisa diterapkan investor dan pengguna DeFi saat mengevaluasi risiko bridge:

• Bridge cross-chain adalah salah satu komponen paling rentan di seluruh ekosistem crypto karena harus mengoordinasikan kepercayaan di antara dua sistem blockchain yang aturannya berbeda. Sebelum menyimpan dana besar di satu sisi bridge dalam waktu lama, pertimbangkan menyebar risiko ke beberapa jalur.
• Cek apakah protokol memiliki dana cadangan atau dukungan finansial pihak ketiga yang bisa menutupi insiden — ini bukan jaminan keamanan, tapi memengaruhi seberapa cepat dana pengguna bisa dipulihkan jika terjadi masalah.
• Kecepatan deployment patch keamanan sama pentingnya dengan audit. Wormhole sebenarnya sudah punya perbaikan sebelum hack terjadi, tapi belum di-deploy ke mainnet. Untuk pengguna, ini berarti mengikuti pengumuman keamanan resmi protokol dan menghindari interaksi saat ada peringatan upgrade tertunda.
• Pahami konsep dasar mekanisme bridge sebelum menggunakannya — istilah seperti validator, sysvar, dan lock-and-mint sering muncul dalam laporan pasca-insiden. Semakin paham cara kerja mekanismenya, semakin bisa menilai bridge mana yang lebih layak dipercaya untuk dana dalam jumlah besar.

⚠️ Disclaimer: Artikel ini bersifat edukatif dan disusun berdasarkan laporan publik serta pemberitaan yang telah terverifikasi. Bukan saran keuangan atau investasi personal. Selalu lakukan riset mandiri sebelum menggunakan protokol atau bridge apa pun.