Kötü Aktörler Hâlâ DeFi’yi Rahatsız Ediyor: Euler ve Poolz Finance Sömürmeleri En Son Örnekler

Chainalysis, 2022’de kripto işletmelerinden yaklaşık 3,8 milyar dolar çalındığını bildirdi. Bu toplam yalnızca akıllı sözleşme açıklarıyla sınırlı değildi. Bu uyarıcı istatistiği vurgulayan Chainalysis raporu, bu tutarın büyük bir kısmının merkezi olmayan finans (DeFi) alanıyla ilişkili olduğunu ve bu alanı saldırıların yoğun olduğu bir bölge olarak nitelendirdi. Başka bir blokzincir güvenlik firması olan SlowMist, kripto güvenlik olayları üzerine yıllık raporunda 2022’nin blokzincirleri etkileyen en yüksek güvenlik olayı sayısına sahip olduğunu belirtti. Toplam 303 güvenlik ihlali bildirildi; bu rakam bir önceki yıla göre %28 daha fazlaydı. Öte yandan, toplam kayıp tahmini yaklaşık 3,77 milyar dolar olarak belirlendi; bu da diğer raporlamalardan kaynaklanan makul bir fark oluşturuyor.

DeFi güvenlik açığı istismarları yavaşlamıyor

SlowMist raporu, güvenlik açığı istismarların çoğunlukla phishing ve rug pull (geliştiricilerin yatırımcı fonları veya likiditeyle ortadan kaybolması) saldırılarını içerdiğini, çapraz zincir köprülerinin ise ağır darbeler aldığını gösterdi. Ronin, Wormhole, Nomad ve Harmony köprülerindeki sömürmeler, 1,2 milyar doların üzerinde kayıplara yol açtı. Çapraz zincir sistemlerine ek olarak, saldırganlar DeFi sözleşme açıklarını da istismar etmeyi tercih etti. Endüstri, yıl sonuna doğru bu yaygın sorundan kurtulmaya çalışıyormuş gibi göründü.

Blokzincir kayıplarının karşılaştırması. Kaynak: SlowMist

CertiK ayrıca gözlemledi ki Aralık ayında 62,2 milyon dolar hırsızlık, 2022’deki en düşük aylık rakamdı; bu yıl aynı zamanda FTX Wallet ve Ronin Bridge toplam 1,09 milyar dolar kripto kaybetti. 15,5 milyon dolar, yani hırsızlıkların yaklaşık dörtte biri, çıkış dolandırıcılıklarıyla çalındı; flash loan (anlık kredi) güvenlik açığı istismarları ise 7,6 milyon dolar kayba yol açtı. Aralık ayındaki olaylar, Helio Protocol’ün Ankr Reward Bearing Staked BNB (aBNBc) fiyat manipülasyonu sonucunda 15 milyon dolar kaybıyla başladı. Akıllı sözleşme denetim firması ayrıca Defrost Finance’in V1 ve V2 ürünlerine yapılan saldırının 12,9 milyon dolar kayba yol açtığını ve bu tutarın daha sonra iade edildiğini belirtti. Bitkeep 8 milyon dolar kaybetti, içerden bir iş Ankr’ı 7 milyon dolar eksik bıraktı ve Lodestar, PlutusDAO’nun plvGLP token fiyatının sömürülmesi sonucu 6,5 milyon dolar kaybetti; bu da geçen ay görülen ilk beş hack’in bir parçası oldu.

Mart ayının ortasına gelindiğinde, bu yıl hâlihazırda geçen yılın sömürü sıklığını aşma ve hackerların çaldığı toplam fon miktarını artırma işaretleri gösterdi.

Varlıkların gözetimini üstlenmeyen kredi protokolü Euler Finance, 2023’ün o tarihe kadarki en büyük DeFi saldırısına uğradı

Bu endişe verici olayların yakın bir örneğinde, bir saldırgan(lar) 13 Mart’ta Euler Finance borç verme protokolünden neredeyse 200 milyon dolar değerinde kripto varlık çaldı; bu, bir flash loan saldırısı olarak doğrulandı. CertiK Alerts, hacklerin ve dolandırıcılıkların takibi sayfası, gelişmeleri raporlayan ilk kaynaklardan biriydi; o dönemde yaklaşık 41 milyon doların çekildiği belirtilmişti. Daha sonra sayfa, saldırganın protokolün merkezi olmayan stablecoin’lerini ve sentetik ERC‑20 token’larını, toplamda yaklaşık 198 milyon dolar değerinde, 96.800 ETH ve 43,6 milyon DAI dahil olmak üzere birden fazla işlemle boşalttığını güncelledi; bu, bu yılın en büyük DeFi güvenlik açığı istismarı oldu.

Zincir üzerindeki ilk analizlerde bir adreste 34.186.225 DAI ve 88.752 ETH, başka bir sözleşmede yaklaşık 8.877.507 DAI, ayrıca bir diğer adreste yaklaşık 8.080 ETH bulunduğu bildirildi; ilgili veriler o dönemdeki bakiyeleri gösteriyordu. Ethereum tabanlı protokol, olayı ele almak için TRM Labs ve Chainalysis gibi blokzincir güvenlik ekipleriyle ve kolluk kuvvetleriyle çalıştığını belirtti. Euler’i fon çıkışından haberdar eden PeckShield, nedeni tespit ettiğini açıkladı. Saldırgan, donateToReserves() işlevindeki kontrol eksikliğini kullanarak teminatını azalttı, kendi pozisyonunu tasfiye etti ve anlık krediyi geri öderken kazanç sağladı.

Euler güvenlik açığını giderirken çalınan fonları geri almak için çalışıyor

Savunmasız modülün devre dışı bırakılması ve mevduat yatırmanın durdurulması saldırının sürmesini engelledi; ancak etkileri bir düzineden fazla protokole yayıldı. Balancer, açıklamasında kendi Boosted USD (bbe-USD) havuzunun Euler’e bağlı olarak etkilendiğini ve durdurma kararı uygulanana kadar havuzun kilitli değerinin yaklaşık üçte ikisinin çekildiğini belirtti. Angle Protocol de bir güncelleme yayımlayarak çekirdek modülünün Euler, Compound ve Aave’ye fon ayırdığını ve Euler’deki fonları nedeniyle saldırıya maruz kaldığını bildirdi.

“Eğer hackten (17.614.940,03 USDC) gelen fonlar kesin olarak kaybolursa, Core modülünün TVL’si yaklaşık 18,4 milyon dolar seviyesine düşer. Bu durumda, Core modülündeki rezerv miktarı, agEUR sahiplerinin, Standart Likidite Sağlayıcılarının ve protokoldeki kalan hedge ajanlarının talep değerlerinden daha düşük olacaktır.”

Yearn Finance’in de bu saldırı nedeniyle fon kaybettiği bildirildi. Euler ile geçmişte bağlantısı olan denetim ekibi Sherlock, sömürünün nedenini doğruladı. Raporlarında, Temmuz 2022’de WatchPug adlı başka bir grup tarafından yapılan denetimin, açığı tespit edemediğini belirttiler. Kurtarma adımları için, borç verme protokolü ekibi bir teklif sundu; saldırgan(lar) yanıt vermezse bir ödül konulacağını belirtti. Söz konusu 1 milyon dolar ödül daha sonra kamuoyuna duyuruldu.

“Euler Foundation, bu ödülün Euler protokolü saldırganının tutuklanması ve saldırgan tarafından çekilen tüm fonların iadesi için ek bir teşvik sağlayacağını umarak 1 M$ ödül başlattı,” Euler Mart 2023’te paylaştı.

Blokzincir görselleştirme ve analiz platformu Meta Sleuth, bir tweetinde saldırının, saldırganın BNB Smart Chain (BSC) üzerinden çoklu zincir köprüsü kullanarak Ethereum’a fon transfer ettiği önceki bir saldırıyla ilişkili olduğunu belirtti.

“İki saldırgan 6 saldırı işlemi başlattı gibi görünüyor. Saldırgan 0x5f25 ilk saldırıyı başlatarak yaklaşık 8,8 M DAI kar elde etti. Tüm karlar exploit sözleşmesi 0xebc2’de kalıyor. İlk fonlama FixedFloat ve BSC üzerindeki deflasyon token exploitçisi 6’dan geliyor. Saldırgan 0xb269 diğer beş saldırıyı başlattı ve toplam kar yaklaşık 186 M USD. Şimdi tüm karlar iki adreste tutuluyor. 0xb269 8.080 ETH, 0xb66cd 88.752 ETH ve yaklaşık 34 M DAI tutuyor. Bu saldırganın ilk fonlaması Tornado Cash’ten geliyor,” hesap teorileştirdi.

Bu varsayım başka bir hesap olan ZachXBT tarafından da onaylandı. Sömürüyle bağlantılı cüzdan ve adresler: 0xebc291[…] cbf99 yaklaşık 8.877.507 DAI tutuyor, 0xb269[…] cedd4 anlık bakiyesi 8.080,97 ETH, ve 0xb66c[…]995db yaklaşık 88.753 ETH & 34.186.226 DAI tutuyor.

Web3 projelerine yönelik kitle fonlama platformu Poolz Finance saldırıya uğradı

Euler olayından sadece iki gün sonra, bir başka hacker Polygon ve Binance Smart Chain üzerindeki Web3 odaklı crowdfunding lansman platformu Poolz Finance’ten 390.000 $ çaldı. 15 Mart’ta PeckShield’in incelemesi, token vesting (hakediş) akıllı sözleşmesindeki şüpheli etkinliğin ‘klasik aritmetik taşma sorunu’ olduğunu belirtti. Poolz, olayla ilgili bir güncelleme paylaşarak kullanıcılara POOLZ token alım satımını durdurmalarını tavsiye etti. Şüpheli adresi işaretlemenin yanı sıra, lansman platformu ekibi Pancakeswap ve Uniswap’tan likiditeyi de çekti.

Poolz Finance CEO’su Guy Oren, bir tweet ile yeni token sözleşmesinin lansmanına yönelik çalışmaların sürdüğünü ve ticaretin gün sonuna kadar aktif olacağını doğruladı. Dikkate değer bir nokta, iki olayın da Platypus adlı başka bir DeFi protokolünün geçen ay 8,5 milyon dolar değerinde sömürülmesinden sadece bir ay sonra gerçekleşmiş olmasıdır; bu, USP stablecoin’inin USD karşısında kısa bir depeg (değer kaybı) yaşamasına yol açtı. Platypus’ta aktörler, USP temerrüt kontrolündeki bir boşluktan faydalanarak protokolü boşalttı. Geçtiğimiz hafta Hedera, bir hacker’ın ana ağ akıllı sözleşme kodunu güvenlik açığı istismarı sonucu likidite havuzu token’larının çalınmasına yol açan teknik bir sorun yaşandığını açıkladı.

Hedera ve Dogecoin: Blokzincirlerdeki güvenlik açıklarının en yeni örnekleri

Hedera’nın toplam kilitli değeri (TVL), ağın teknik sorunlarla karşılaştığı ve bazı teorilere göre bir akıllı sözleşme açığı içerdiği bir haftanın sonunda keskin bir düşüş yaşadı. DeFi Llama verileri, zincirin TVL’sinin, birkaç merkezi olmayan uygulamayı etkileyen teknik düzensizlik raporlarından sonraki 24 saat içinde büyük ölçüde azaldığını gösteriyor.

Hedera TVL grafiği. Kaynak: DeFi Llama

Hedera projesini destekleyen kâr amacı gütmeyen HBAR Foundation, ağda merkezi olmayan uygulamaları etkileyen akıllı sözleşme anormalliklerinin tespit edildiğini duyurdu.

Hedera üzerindeki protokoller kullanıcıları tedbirli olmaya çağırıyor

Mart 2023’teki teknik sorunlar bazıları tarafından kurumsal kullanıma yönelik ağa düzenlenen bir saldırı olarak tanımlandı ve protokoller güvenlik önlemleri almaya yöneldi. Hedera üzerinde çalışan merkezi olmayan borsa SaucerSwap Labs, ilk uyarısında kullanıcıları likiditelerini çekmeye çağırdı. Protokol daha sonraki bir paylaşımında etkilenmediğini belirtti. Hedera’nın teknik raporu ise saldırının HTS ön derlemeli sözleşmelerine yapılan delegatecall çağrılarındaki yetkilendirme hatasından kaynaklandığını açıkladı. Bu, sözleşme bytecode’unun kaynak koda dönüştürüldüğü dekompilasyon sürecinden farklıdır.

Saldırgan, bu hata yoluyla bazı merkezi olmayan borsaların likidite havuzlarındaki token’ları çekmek için yetkisiz izin elde etti. Ayrıca Hashport geçici olarak köprü hizmetlerini durdurdu; bu adım, kullanıcı fonlarının güvenliğini sağlamak amacıyla alındı. Çok zincirli DEX Pangolin kullanıcılarını Pangolin Havuzları ve Çiftliklerindeki HTS token’larından çıkmaya çağırdı. Hedera, ekosistemdeki taraflarla birlikte anormalliğin potansiyel etkisini belirlemek için çalıştı. Kullanıcı güvenliğini daha da sağlamak amacıyla Hedera, ana ağda akıllı sözleşme anormalliklerini incelerken ağ proxy’lerini devre dışı bıraktı; sorunlar çözüldükten sonra bu işlem geri alındı ve konsensüs etkilenmedi, ana ağ çevrim içi kaldı.

Hedera hakkında daha fazla bilgi edinmek için Hedera’ya Yatırım rehberimizi inceleyin.

Raporlar DeFi sahnesindeki zayıflıkları vurguluyor

Blokzincir güvenlik firması Halborn’ın yakın tarihli bir raporu, Dogecoin dahil olmak üzere 280’den fazla zincirin kritik bir güvenlik açığı taşıdığını ortaya koydu. 13 Mart tarihli raporda firma, uyarıda 2022’de Dogecoin ağının açık kaynak kod tabanında bir zero‑day açığı tespit ettiğini belirtti. Halborn, Mart 2022’deki incelemede tespit ettiği açıklar için ilgili projelerle çalıştığını ve Mart 2023 açıklamasında Dogecoin düğümlerinin 1.14.6 sürümüne yükseltilmesini önerdiğini belirtti.

Firma, Dogecoin üzerindeki bireysel madencilere etki eden RPC (Remote Procedure Call) uzaktan kod yürütme açığını da tespit etti. Ağ geliştiricileri, kullanıcıları 1.14.6 node sürümüne güncellemeye çağırdı. Halborn, Litecoin ve Zcash’ın da yamalanmış hatanın diğer varyasyonlarından etkilenen önemli ağlar olduğunu ve dolandırıcıların bu açıkları daha ciddi tehditler yürütmek için kullanabileceğini belirtti. Bu iki proje de büyük güvenlik açıklarını gidermek için güvenlik firmasıyla birlikte çalıştı.

Daha fazla bilgi edinmek için Dogecoin’e Yatırım ve Zcash’e Yatırım rehberlerimizi ziyaret edin.