Protokol Gold baru BNB Chain diretas senilai $2 juta pada hari peluncuran

Protokol staking “DeFi 3.0” yang digerakkan oleh AI dan menyebut dirinya sendiri, The New Gold Protocol, yang dibangun “dengan keberlanjutan sebagai intinya,” diretas beberapa jam setelah peluncuran. Peretasan terjadi pada 18 September 2025. Peretas mengeksploitasi dua kelemahan dalam desain NGP. Kasus ini menunjukkan bagaimana kelalaian dalam desain protokol dapat menghancurkan sebuah proyek sejak hari pertama.

Apa itu New Gold Protocol?

The New Gold Protocol adalah protokol staking yang dibangun di atas blockchain BNB dan diluncurkan pada 18 September.

Salah satu masalah yang ingin diselesaikan oleh The New Gold Protocol adalah “kurangnya aturan harga.” Menurut whitepaper-nya, banyak protokol DeFi “tidak memiliki mekanisme standar untuk penetapan harga perilaku, yang mengakibatkan volatilitas dan kekacauan.”

“DeFi 3.0 generasi berikutnya” New Gold Protocol dimaksudkan untuk mengungguli para pesaing yang tidak memiliki pendapatan intrinsik dan model tata kelola yang tidak efisien. Tim NGP melihat cara untuk mencapai transparansi, keadilan, dan keberlanjutan melalui optimasi AI.

The New Gold Protocol berupaya menciptakan platform staking yang inklusif dengan lingkungan transparan dan otomatis yang dipertahankan melalui smart contract. Karena adanya token burn, NGP mempromosikan token aslinya sebagai deflasi. Mereka menjanjikan distribusi hasil nyata alih-alih insentif inflasi dan spekulatif. Whitepaper NGP menyarankan bahwa transparansi memastikan akuntabilitas. Namun, ternyata hal itu tidak cukup.

Bagaimana NGP diretas?

Peretasan terjadi tak lama setelah peluncuran token NGP. Jumlah token NGP yang dapat dibeli dibatasi untuk mencegah serangan inflasi harga, tetapi peretas menemukan cara untuk melewatinya.

Menurut analis dari perusahaan keamanan blockchain Hacken, enam jam sebelum serangan, peretas mengumpulkan sejumlah besar aset melalui flash loan menggunakan akun yang berbeda. Flash loan adalah fitur yang populer di platform DeFi. Mereka memungkinkan peminjaman aset kripto dengan cepat tanpa jaminan. Dana yang dipinjam dapat digunakan untuk perdagangan arbitrase, mencuri dana dari protokol, atau manipulasi harga. Seperti yang dicatat Hacken, kerusakan akibat serangan flash loan dapat mencapai jutaan dolar.

Penyerang menggunakan taktik manipulasi oracle. Protokol menentukan harga token NGP dengan memindai cadangannya di pool likuiditas DEX, yang memungkinkan penyerang memanipulasi harga. Penyerang mulai menukar BUSD ke NGP di PancakePair, yang dengan cepat menaikkan harga NGP.

The New Gold Protocol memiliki dua batasan: batas pembelian dan batas cooldown untuk pembeli. Keduanya dilewati karena penyerang menggunakan alamat “dEaD” sebagai penerima.

Langkah selanjutnya adalah menguras hampir semua token BUSD dari protokol melalui penjualan NGP. Hal ini membuat The New Gold Protocol hampir tidak memiliki dana. Penyerang kemudian memperoleh kripto senilai $1,9 juta dan segera menukar dana tersebut ke ETH berbasis BNB.

Menurut tim Hacken, tindakan selanjutnya termasuk menyetorkan dana curian ke Tornado Cash melalui Ethereum yang dijembatani dengan Across. Tindakan ini membuat harga NGP naik sementara protokol hanya tersisa sedikit dana. Tak lama kemudian, harga token NGP anjlok 88%.

Sayangnya, meskipun memiliki rencana ambisius untuk membentuk kembali sektor DeFi dan membangun produk yang berkelanjutan, The New Gold Protocol mengabaikan keamanannya sendiri dan mengalami kerusakan parah. Perusahaan tidak memberikan komentar terkait masalah ini. Tweet terbaru berbunyi “stability meets growth.” Itu dipublikasikan beberapa jam sebelum serangan dan kini tampak seperti lelucon pahit.

Serangan flash loan lainnya

Sejak flash loan diperkenalkan, serangan flash loan dengan cepat menjadi salah satu taktik yang digunakan oleh para penjahat.

Serangan terbesar terjadi pada Maret 2023. Peretas berhasil mencuri sekitar $197 juta dalam Wrapped Bitcoin, Wrapped Ethereum, dan aset lainnya dari protokol Euler Finance. Peretas menggunakan kesalahan dalam tingkat perhitungan platform. Dana tersebut dikirim ke alamat yang sebelumnya digunakan oleh peretas terkenal dari DPRK, Lazarus Group. Yang membuat kasus ini sangat menonjol adalah bahwa peretas secara sukarela mengembalikan semua dana dan meminta maaf.

Contoh penting lainnya termasuk peretasan Cream Finance ($130 juta dicuri pada 2021) dan Polter ($12 juta dicuri pada 2024). Flash loan juga menjadi bagian dari skema yang digunakan pada 2025 untuk menguras $223 juta dalam bentuk kripto dari protokol Cetus berbasis Sui.