Pada bulan Desember 2021, sebuah protokol keuangan terdesentralisasi bernama BadgerDAO mengalami eksploitasi keamanan besar-besaran senilai $120 juta.

Para peneliti keamanan segera bergegas untuk memeriksa kode smart contract, mencari kelemahan algoritmik atau pemeriksaan validasi yang tidak ada.

Mereka tidak menemukan apa pun yang salah dengan kode di blockchain. Para penyerang sama sekali tidak menyentuh smart contract. Sebagai gantinya, mereka menargetkan infrastruktur front-end situs web itu sendiri.

Dengan memperoleh kunci API untuk skrip yang disuntikkan ke antarmuka situs web, para peretas secara diam-diam mengubah interaksi pengguna. Setiap kali pengguna mencoba menyetujui transaksi token standar, front-end yang telah dimodifikasi secara rahasia meminta izin kepada alamat penyerang untuk menghabiskan token mereka.

Pengguna menandatangani transaksi dengan dompet perangkat keras mereka, dengan mempercayai apa yang mereka lihat di layar mereka.

Selama beberapa minggu, para peretas mengumpulkan persetujuan dari dompet bernilai tinggi sebelum menjalankan satu operasi pengurasan besar-besaran.

Bahkan kontrak pintar yang paling aman pun sama sekali tidak berguna jika antarmuka yang menyajikannya kepada pengguna tidak dapat dipercaya.

Apakah mengandalkan server web tradisional untuk antarmuka pengguna Web3 mengalahkan seluruh tujuan desentralisasi?

#BadgerDAO #Web3Safety #FrontEndExploit