BounceBit, proyek yang didukung YZi Labs, resmi mematikan permanen blockchain Layer 1-nya setelah seorang penyerang mengeksploitasi celah otorisasi di level protokol untuk menguras sekitar 286,5 juta token BB dari sembilan akun mainnet. Menurut Wu Blockchain, penyerang memindahkan dana ini lewat 14 transaksi dalam waktu kurang dari lima jam, memanfaatkan celah yang spesifik pada chain BounceBit berbasis Evmos, bukan pada smart contract yang berjalan di atasnya.
BounceBit selama ini memposisikan diri sebagai Layer 1 restaking Bitcoin yang fokus pada tokenisasi aset dunia nyata, memberi pemegang BTC cara memperoleh yield lewat kerangka CeDeFi yang menjembatani kustodi tersentralisasi dengan restaking on-chain. Skala dan kecepatan pembobolan ini tampaknya membuat tim proyek menyimpulkan bahwa terus mengoperasikan chain yang sudah disusupi tidak lagi bisa dipertahankan, ketimbang mencoba menambal sistem yang masih berjalan.
Apa yang Salah
Berbeda dari kebanyakan eksploitasi DeFi yang menyasar satu smart contract yang rentan, serangan ini justru menghantam lapisan otorisasi chain itu sendiri — sistem perizinan yang seharusnya mengontrol akun mana saja yang boleh memindahkan dana dan bagaimana caranya. Celah di lapisan inilah yang secara efektif melumpuhkan pengaman yang biasanya membatasi dampak pembobolan hanya ke satu wallet saja, sehingga penyerang bisa menguras beberapa akun sekaligus dalam waktu singkat.
Perbedaan ini penting untuk bagaimana industri akan membaca insiden ini. Bug smart contract biasanya bisa ditambal tanpa menyentuh chain di baliknya; sementara celah pada logika otorisasi di base layer adalah kegagalan desain yang jauh lebih fundamental, dan kemungkinan besar itulah alasan BounceBit memilih menutup total jaringannya alih-alih mengejar rollback yang kontroversial atau tambalan setengah jalan.
Pola yang Bikin Gerah Chain Berbasis Evmos
BounceBit membangun chain-nya di atas framework Evmos, lingkungan berbasis Cosmos SDK yang menawarkan kompatibilitas EVM dan sudah diadopsi beberapa proyek lain tahun ini juga. Eksploitasi di base layer semacam ini relatif jarang dibanding hack DeFi di level aplikasi, tapi begitu terjadi, dampaknya cenderung jauh lebih parah, karena yang dikompromikan adalah asumsi kepercayaan inti sebuah chain, bukan cuma satu protokol yang berjalan di atasnya — perbedaan yang membuat pengguna punya jauh lebih sedikit opsi pemulihan begitu dana sudah raib.
Baca juga: MANTRA Chain Hentikan Jaringan Usai Insiden Tak Jelas, Token Anjlok
Apa yang Terjadi Selanjutnya bagi Pengguna Terdampak
BounceBit belum merinci rencana kompensasi atau jalur migrasi bagi pemegang token dan restaker yang terdampak penutupan ini, dan sembilan akun yang terkuras itu pun belum diidentifikasi ke publik. Bagi proyek yang memosisikan diri sebagai jembatan kepercayaan antara pemegang Bitcoin dan yield on-chain, episode ini kemungkinan besar akan membebani cara pasar memandang kategori restaking-dan-RWA secara lebih luas, terutama di kalangan audiens pemegang Bitcoin yang cenderung lebih menghindari risiko, yang justru jadi target utama proyek ini.
