Risk Labs' relayer Solana kehilangan kira-kira 4,5 juta dolar AS pada 17 Juli 2026, ketika seorang penyerang mengeksploitasi pemeriksaan delapan byte yang hilang dalam kode parsing event offchain untuk memalsukan 1.627 event deposit yang tidak pernah terjadi di-chain. Kerentanan ini memungkinkan permintaan penarikan yang bersifat fraud senilai kira-kira 41,7 juta dolar AS dalam nilai nominal, di mana 581 di antaranya dipenuhi sebelum tim menonaktifkan routing Solana dan menerapkan perbaikan dalam waktu lima jam setelah deteksi. Tidak ada dana pengguna yang hilang atau berisiko, karena Across beroperasi sebagai protokol intents di mana relayer mengedepankan modalnya sendiri, bukan menarik dari escrow pengguna bersama, sehingga seluruh dampak finansial tertahan dalam cadangan operasional Risk Labs.
Missing Discriminator Check Enabled Forged Deposit Events
Kerentanan ini terdapat pada komponen SvmCpiEventsClient di relayer Risk Labs, yang menerima setiap instruksi internal yang dialamatkan ke kontrak SpokePool melalui PDA event_authority-nya sebagai event yang valid tanpa memverifikasi discriminator event Anchor sepanjang delapan byte. Penyerang menerapkan program pembungkus yang memanggil fungsi helper SpokePool yang hanya-baca—get_unsafe_deposit_id—dan menambahkan muatan FundsDeposited yang dipalsukan ke dalamnya. Dari perspektif relayer, ini tampak sebagai event deposit yang sah, meski tidak ada dana yang bergerak di-chain, tidak ada saldo yang berubah, dan tidak ada kontrak yang tersentuh. Risk Labs menjelaskan bahwa get_unsafe_deposit_id bukanlah kerentanan itu sendiri, melainkan hanya “wadah” yang digunakan penyerang; akar masalahnya adalah hilangnya pemeriksaan discriminator di basis kode relayer.
Attacker Submitted 1,627 Forged Deposits Across 18 Chains
Antara 05:07 dan 06:14 UTC pada 17 Juli, penyerang mengirimkan 1.627 deposit palsu dari 1.627 dompet sekali pakai, menyebarkannya ke 18 chain tujuan dengan nilai nominal kira-kira 41,7 juta dolar AS yang dikonsolidasikan ke satu alamat penerima EVM. Relayer Risk Labs memproses 581 dari permintaan fraud tersebut, membayarkan kira-kira 4,5 juta dolar AS dari modalnya sendiri sebelum tim menonaktifkan Solana sebagai chain asal. Deposit palsu sisanya senilai kira-kira 37 juta dolar AS menjadi tidak bernilai setelah relayer berhenti memenuhinya. Tidak ada smart contract yang dikompromikan; program Solana dan semua kontrak EVM berperilaku persis seperti yang dirancang selama insiden.
Intents Protocol Design Prevented User Fund Loss
Tidak ada dana pengguna yang hilang kapan pun selama insiden. Across beroperasi sebagai protokol intents, di mana pengguna menyetor aset ke kontrak escrow di chain asal dan relayer independen mengedepankan modalnya sendiri untuk memenuhi transfer di chain tujuan. Protokol hanya mengganti biaya relayer setelah proses settlement terpisah memverifikasi setiap deposit yang mereka penuhi, sehingga deposit palsu tidak pernah menyentuh escrow pengguna. Setiap setoran pengguna yang nyata selesai atau sepenuhnya dikembalikan pada hari yang sama, 17 Juli 2026. Risk Labs menanggung pembayaran kotor kira-kira 4,5 juta dolar AS secara langsung; dengan kira-kira 500.000 dolar AS dana penyerang yang terjebak di dalam protokol, kerugian bersih berada di bawah 4 juta dolar AS dan terus menyusut seiring upaya pemulihan berjalan.
Risk Labs Deployed Fix Within Five Hours of Detection
Deposit palsu pertama dikirim pada 05:07 UTC pada 17 Juli; aliran deposit palsu berakhir pada 06:14 UTC, dengan alamat-alamat penyerang pertama kali diblacklist pada 06:16 UTC. Solana dinonaktifkan sebagai chain asal dan chain tujuan di API pada 08:23 UTC, Solana SpokePool dijeda di-chain pada 08:35 UTC, dan pernyataan publik pertama diterbitkan pada 08:36 UTC. Perbaikan berbasis akar masalah digabung pada 09:37 UTC dan dideploy ke seluruh infrastruktur Risk Labs pada 10:26 UTC—kira-kira lima jam setelah deteksi. Deposit Solana diaktifkan kembali melalui routing CCTP pada 17:05 UTC, memulihkan layanan Solana penuh dalam sekitar 12 jam. Semua operasi protokol lainnya tetap tidak terpengaruh sepanjang insiden.
Solana Event Parsing Logic Undergoing Re-Audit
Alur order Solana kini dirutekan secara eksklusif melalui fallback routing CCTP, yang menurut Risk Labs mencakup semua chain utama. Routing intents ke dan dari Solana tetap dinonaktifkan sementara tim melakukan re-audit terhadap logika parsing event Solana offchain untuk memastikan kelas kerentanan ini benar-benar tertutup dan model keamanan seputar penanganan event distandardisasi di seluruh stack. Risk Labs bekerja sama dengan SEAL 911, yang memberikan dukungan hampir instan setelah insiden dilaporkan, serta dengan penegak hukum AS; alamat-alamat penyerang telah diberi tanda di seluruh bursa dan off-ramp. Proses buyout token ACX tetap sepenuhnya tidak terpengaruh dan terus berjalan sesuai rencana.
FAQ
Apakah ada dana pengguna yang hilang dalam serangan relayer Solana Across?
Tidak ada dana pengguna yang hilang atau berisiko kapan pun. Semua transfer yang sah selesai atau sepenuhnya dikembalikan pada 17 Juli 2026.
Apa penyebab teknis kerentanan keamanan pada relayer Risk Labs?
Kerentanan ini disebabkan oleh hilangnya verifikasi discriminator event Anchor sepanjang delapan byte dalam kode relayer offchain. Hal ini memungkinkan penyerang memalsukan event deposit yang diperlakukan relayer sebagai nyata, meski tidak ada dana yang bergerak di-chain.
Bagaimana Risk Labs merespons serangan pemalsuan pada relayer Solananya?
Risk Labs menonaktifkan Solana sebagai chain asal, menjeda Solana SpokePool di-chain, menerapkan perbaikan berbasis akar masalah dalam waktu sekitar lima jam setelah deteksi, dan memulihkan sepenuhnya layanan Solana dalam sekitar 12 jam menggunakan fallback routing CCTP.
