Nisandaki kripto ve DeFi saldırıları: Yearn, MEV botları, Euler ve Sushi’de fon kurtarma

PeckShield, 13 Nisan Perşembe günü Yearn Finance’in eski bir sözleşmesinin kullanıldığı bir saldırı bildirdi. yUSDT sözleşmesindeki hatalı yapılandırma, saldırganın 10.000 USDT karşılığında çok büyük miktarda token üretmesine olanak tanımıştı. İşlemlerde Aave v1 kullanılmış olsa da güvenlik açığı Aave protokolünden kaynaklanmıyordu.

Yearn Finance’in eski sözleşmesi saldırıda kullanıldı

PeckShield tarafından paylaşılan ilk değerlendirme, hatalı yapılandırma sayesinde çok büyük miktarda yUSDT üretildiğini ve DAI, USDT, USDC, BUSD ile TrueUSD (TUSD) cinsinden yaklaşık 11 milyon dolar alındığını gösteriyordu. Aave entegrasyon sorumlusu Marc Zeller, işlemlerde Aralık 2022’den beri dondurulmuş olan Aave v1’in kullanıldığını; güncel Aave sürümlerinin etkilenmediğini açıkladı. Yearn da eski sözleşmeye ilişkin bir uyarı yayımladı.

«Vaults v1 ve v2’den önceki eski bir sözleşme olan iearn ile ilgili sorunu inceliyoruz. Sorun iearn ile sınırlı görünüyor; güncel Yearn sözleşmelerini veya protokollerini etkilemiyor. iearn, YFI’den önce oluşturulmuş ve değiştirilemeyen bir sözleşmedir; 2020’de kullanımdan kaldırıldı. Yükseltilebilir stratejiler içeren Vaults v1 de 2021’de kullanımdan kaldırıldı ve etkilendiğine dair bir belirti yok. Güncel Vaults v2 de etkilenmedi.»

İşlemlerin beklenmedik bir sonucu da oldu: Bir Aave kullanıcısının USDT borcu ödendi. Zincir üzerindeki kayıtlar bunu gösteriyor. OtterSec ve Aave ile bağlantılı diğer ekipler saldırıyı incelemeye yardımcı oldu. DeFi izleme platformu Nansen, yaptığı incelemede fonların üç adrese gönderildiğini gördü. Zincir verileri, izleri gizlemek amacıyla yapıldığı düşünülen 1.000 ETH’lik bir Tornado Cash yatırma işlemi gösteriyor. Başka bir cüzdan 4,7 milyonun üzerinde DAI ve 2,5 milyon USDC aldı. Olay, 2023’te merkeziyetsiz finans alanında bildirilen güvenlik ihlallerine eklendi.

İlk çeyrekte hack ve dolandırıcılık kayıpları 452 milyon dolar olarak tahmin edildi; %29’u kurtarıldı

Chainalysis’e göre DeFi protokolleri, 2022’de hack yoluyla çalınan 3,8 milyar dolarlık kripto paranın %82,1’ini oluşturuyordu. De.Fi ise 2023’ün ilk çeyreğinde hack ve dolandırıcılıktan kaynaklanan kayıpları 452 milyon dolar olarak tahmin etti. Bu, önceki yılın aynı dönemindeki yaklaşık 1,3 milyar dolardan düşüktü. Çeyreklik kayıpların neredeyse yarısı martın ilk üç haftasında gerçekleşti. En büyük olay, 13 Mart’taki yaklaşık 197 milyon dolarlık Euler Finance saldırısıydı. İlk beşte ayrıca şubattaki BonqDAO/AllianceBlock saldırısına atfedilen 120 milyon dolarlık değer, 45 milyon dolarlık CoinDeal yatırım dolandırıcılığı iddiası, 16,5 milyon dolarlık Monkey Drainer kimlik avı operasyonu ve 8,5 milyon dolarlık Platypus Finance flash loan saldırısı yer aldı.

Fırsatı kaçırmaktan korkan yeni yatırımcılar hedefte

De.Fi, akıllı sözleşme açıklarından yararlanılan 17 olay ve proje sahiplerinin fonları alarak projeyi terk ettiği sekiz rug pull vakası bildirdi. Flash loan kullanılan saldırıların kayıpları yaklaşık 200 milyon dolardı. Kolayca piyasaya sürülebilen yeni tokenlar, fırsatı kaçırmaktan korkan deneyimsiz yatırımcıları çekebiliyor. Borç alma ve verme platformlarında beş olayda toplam 336 milyon dolar kayıp bildirildi. BNB Chain, 18 olayla saldırı sayısı bakımından en çok etkilenen ağdı. Kurtarılan fonlar yaklaşık 130 milyon dolar, yani kayıpların %29’uydu; 2022’nin ilk çeyreğinde yaklaşık 1,29 milyar dolarlık kaybın %40’ı kurtarılmıştı.

SafeMoon’un token yakma işlevindeki açık

28 Mart’ta SafeMoon güncellemesindeki herkese açık token yakma işlevi kötüye kullanıldı. İşlev, yeterli erişim kısıtlaması olmadan likidite havuzundaki tokenların yakılmasına olanak veriyordu. İlk haberlere göre SFM/WBNB havuzundan yaklaşık 27.000 BNB alındı. Fonları alan adres, başka bir saldırının yanlışlıkla önüne geçtiğini iddia eden şu mesajı bıraktı: «Sakin olun, size yönelik bir saldırının yanlışlıkla önüne geçtik. Fonları iade etmek istiyoruz; güvenli bir iletişim kanalı kuralım ve konuşalım.» SafeMoon geçen hafta bir tweet ile ticaretin platformunda yeniden başladığını duyurdu.

5 Nisan güncellemesi ayrıca bazı tokenomik iyileştirmeleri özetledi ve yükseltilmiş bir SWaP arayüzünün dağıtıldığını iletti.

«Likidite havuzu fonlarını kurtarmak için çalışmaya devam ediyoruz […] Büyük ilerleme kaydettik ve tüm kullanıcılarımız için işlerin normale dönmesini sağlamak üzere çalışıyoruz», diyen SafeMoon, bu haftaki son açıklamasındakurtarma çabalarını anlattı.

Nisan ayında DeFi güvenlik ihlalleri

Nisan başında çok zincirli köprü Allbridge de 2 Nisan’da bildirilen bir saldırıya uğradı. Saldırgan, Allbridge’in BNB Chain havuzlarında hem likidite sağlayıcısı hem de takas yapan kullanıcı olarak hareket ederek fiyatları manipüle etti.

Allbridge’in zincirler arası protokolüne saldırı

CertiK kaybı 549.874 dolar, PeckShield ise yaklaşık 573.000 dolar olarak tahmin etti: 282.889 dolar BUSD ve 290.868 dolar USDT. Allbridge, sorumlunun izini sürmek için ortakları ve toplulukla çalıştığını açıkladı. Fonların beyaz şapkalı bir anlaşmayla iade edilmesi karşılığında ödül teklif etti ve dava açmayacağını belirtti.

1.500 BNB iade edildi

Bir saldırgan, o tarihte yaklaşık 465.000 dolar değerindeki 1.500 BNB’yi iade etti. Fonlar etkilenen kullanıcılar için BUSD’ye dönüştürüldü; Allbridge, saldırganda kalan miktarı ödül saydı. Ekip, aynı yöntemi kullanan ikinci bir saldırganın henüz iletişime geçmediğini de bildirdi. Paylaştığı adreste kalan bakiye 0,97 BNB, yaklaşık 302,50 dolardı. Allbridge salı günü yayımladığı mesajda 9 Nisan’a kadar alınan başvurular için ilk kurtarma ödemelerini tamamladığını belirtti ve çözülmemiş talepler için başvuru sürecinin izlenmesini istedi.

SushiSwap saldırısının ardından

PeckShield, 9 Nisan Pazar günü SushiSwap’te bir açık bulunduğunu ve 0xSifu olarak bilinen kullanıcının yaklaşık 3,3 milyon dolar kaybettiğini bildirdi. Güvenlik firması ve Sushi’nin Head Chef’i Jared Grey, etkilenen kullanıcılardan ilgili tüm ağlarda token harcama izinlerini iptal etmelerini istedi. Açık, takas işlemlerinin rotasını belirleyen RouteProcessor2 sözleşmesinde ve daha önce verilen izinlerle bağlantılıydı. İlk uyarılar özellikle son günlerde etkilenen yönlendiriciyi kullananlara yönelikti.

Açık bulunan sözleşmeye harcama izni verilmiş tokenlar risk altında

Verilen izin sözleşmenin tokenları harcamasına olanak tanıyordu; açık, sahibinin istemediği transferlerle fon alınmasını sağladı. The Block Research analisti Brad Kay’in aktardığı incelemeye göre, beyaz şapkalı olduğu düşünülen ilk aktör «yoink» işleviyle 100 ETH alıp güvenceye aldı. Başka bir aktör ise «notyoink» işlevini kullanarak yaklaşık 1.800 ETH çaldı.

Kurtarma çabaları

Grey, 0xSifu’nun kayıp fonlarından 300 ETH’nin üzerinde bir miktarın kurtarıldığını ve 700 ETH’den fazlasını kurtarma çalışmalarının sürdüğünü bildirdi. CTO Matthew Lilley, kullanıcıları tehlikeli harcama izinlerini kontrol edip iptal etmeye çağırdı. RouteProcessor2’nin arayüzde devre dışı bırakıldığını, böylece yeni takas ve likidite işlemlerinin etkilenen yönlendiriciye maruz kalmasının önlendiğini açıkladı.

Etkilenen kullanıcılar için geri ödeme planları

Sushi lideri Discord’da yaptığı açıklamada, Merkle Distributor sözleşmesinde hak ediş süresine bağlı tokenlar için bir talep sitesi açmayı planladıklarını söyledi. Bu, saldırı geri ödemelerinden ayrı bir programdı. Son başvuru tarihi 23 Nisan’dı; talep edilmeyen SUSHI tokenları hazineye aktarılacaktı. Çarşamba günkü güncellemede SushiSwap, yayımladığı mesajla etkilenen kullanıcılara geri ödeme yapmayı planladığını belirtti.
«Fonlarınız beyaz şapkalıların sözleşmesindeyse, güvenlik uzmanları tarafından güvenceye alınmış demektir ve yakında talep edilebilecektir. Fonlarınız o sözleşmede değilse, kayıp fonlara ilişkin işlem kimliğini ve blokzincir bilgisini içeren bir e-posta göndermeli veya Discord’umuzda destek kaydı açmalısınız. Kara şapkalıların elindeki fonlara ilişkin talepler daha uzun sürecek; ekip, ödeme yapmadan önce taleplerin meşruluğunu zincir verileriyle elle doğrulayacak», diye yazdı SushiSwap.

Ethereum MEV botlarına saldırı

3 Nisan’da kötü niyetli bir doğrulayıcı, Ethereum’daki bazı MEV botlarından yaklaşık 25 milyon dolar çaldı. MEV, bir blokta işlemleri seçip sıralayarak elde edilebilen değeri ifade eder. Arbitraj botları ve sandviç saldırısı yapan botlar da bu yöntemleri kullanır.

Olanlar şöyle

CertiK’e göre Ethereum’un 16964664 numaralı bloğunda beş botun sekiz işlemi istismar edildi. Sandviç saldırısında bot, hedef işlemin öncesinde alım ve sonrasında satım yaparak fiyat hareketinden kazanç sağlar. Kötü niyetli doğrulayıcı, işlemlere ilişkin bilgileri elde edip sıralaması değiştirilmiş başka bir blok oluşturdu; böylece botların stratejilerini tamamlaması yerine onlardan fon alındı.

Toplam 25,39 milyon dolar yanlış ellere geçti; güvenlik firması tarafından yayınlanan dağılımda – 64,9 WBTC, 7.460,8 WETH, 5.297.649,9 USDC, 3.027.396 USDT ve 1.698.384 DAI yer alıyor. Yazım anına kadar fonların büyük bir kısmı üç cüzdanda tutuluyor. CertiK, bunu şimdiye kadar görülmüş en büyük MEV bot exploitlerinden biri olarak nitelendirdi; benzer büyük bir hack son olarak Eylül 2022’de gerçekleşmişti ve bir bot açığı nedeniyle 800 ETH MEV arbitraj kazancı çalınmıştı.

OtterSec, aktörün fonları haftalar öncesinden hazırlamasına dayanarak saldırının planlı olduğunu belirtti. CertiK’e göre doğrulayıcı 15 Mart’ta oluşturulmuştu. Teknik açık, ağın imzalı bloğu kabul edeceği doğrulanmadan blok içeriğini açıklayan relay katmanındaydı.

Flashbots relay katmanını düzeltti

Flashbots, saldırının tekrarlanmaması için MEV-Boost relay katmanını değiştirdi. Yeni işleyişte relay, blok önericisinin imzaladığı bloğu önce ağa yayıyor ve ancak bu işlem başarılı olursa tam içeriği önericiye açıklıyor. Amaç, önericinin ayrıntıları elde ettikten sonra işlem sırası değiştirilmiş alternatif bir blok yayımlamasını önlemek. CertiK ayrıca bir röportajında, MEV arayıcılarının hedef alınan sandviç işlemleri gibi atomik olmayan stratejilere daha temkinli yaklaşabileceğini belirtti.

MEV saldırısıyla bağlantılı adresteki USDT donduruldu

10 Nisan’da, kara listeye alınan USDT adreslerini izleyen bir hizmet, paylaşımındaMEV saldırısıyla bağlantılı «Sandwich the Ripper» adlı adresin dondurulduğunu bildirdi. Adresteki yaklaşık üç milyon USDT artık aktarılamıyordu. Dönemin haberlerine göre saldırganın adreslerinde 14,3 milyon dolar değerinde WETH ve diğer varlıklarda 3,6 milyon doların üzerinde fon da bulunuyordu. Karar, kripto sektörü için kötü bir emsal oluşturduğuna inanan kişilerce eleştirildi. Eleştirmenler Tether’in transferleri engelleme yetkisini merkezi bir güç olarak değerlendirerek olası yetki kötüye kullanımına ve bunun DeFi üzerindeki etkilerine ilişkin endişelerini dile getirdi.

Euler, iade edilen fonlar için talep sürecini açtı

Euler Foundation, 4 Nisan’da yaptığı açıklamada, 13 Mart saldırısından kurtarılabilecek son fonların 3 Nisan’da iade edildiğini doğruladı. Saldırının ilk tahmini değeri yaklaşık 197 milyon dolardı. Vakıf, saldırgan hakkında bilgi için sunduğu bir milyon dolarlık ödül programını sonlandırdı. Arkham Intelligence’ın önceki takibine göre son transferler arasında yaklaşık 19 milyon dolar değerinde 10.580 ETH ve üç işlemde gönderilen 12 milyon DAI vardı.

13 Mart saldırısından sonra Euler, fonların %90’ının iadesi karşılığında saldırganın %10’u, yaklaşık 19,7 milyon doları tutmasına izin vermeyi teklif etmişti. İade gerçekleşmezse saldırganın belirlenmesine yardımcı olacak bilgi için bir milyon dolarlık ödül de sunmuştu. İadeler 18 Mart’ta, o tarihte yaklaşık 5,4 milyon dolar değerindeki 3.000 ETH ile başladı. Sonraki büyük iadeler arasında 25 Mart’ta yapılan transferlerde bildirilen 58.737 ETH, yaklaşık 102 milyon dolar, yer aldı. Aktör, zincir üzerindeki mesajlarda özür dileyip kalan fonları iade edeceğini belirtti.

Euler’in 12 Nisan tarihli nihai planına göre hazineye 95.556,36 ETH ve 43.063.729,35 DAI iade edilmişti. Tornado Cash’e gönderilen 1.100 ETH ve Ronin saldırganıyla bağlantılı bir adrese aktarılan 100 ETH geri alınan miktarın dışındaydı.

Protokol, etkilenen kullanıcıların iade edilen fonları talep etmesini sağlayan süreci açtı. Nexus Mutual, sigortalılarına yaklaşık 2,4 milyon dolar tazminat ödemişti. Talep koşulları gereği, ödeme alan sigortalıların Euler’den aldıkları karşılık gelen geri ödemeyi mutual yapıya iade etmesi gerekiyordu.

Diğer bildirilen güvenlik ihlali olayları

Metaverse projesi MetaPoint, bir saldırıda 2.515 BNB alındığını bildirdi. PeckShield’e göre fonlar Tornado Cash’e gönderildi. Proje, Telegram’da olayı doğrulayıp tüm faaliyetlerini durdurduğunu açıkladı.

10 Nisan’da, lansmanından yaklaşık iki hafta sonra Terraport Finance’in likidite cüzdanında bir güvenlik ihlali bildirildi. İlk kayıp tahmini yaklaşık iki milyon dolardı. Terraport, paylaşılan güncellemede olaydan haberdar olduğunu ve platformu korumak için önlemler aldıktan sonra sorunu araştırdığını belirtti.

DeFi dışındaki Güney Kore kripto borsası GDAC, yaptığı açıklamada yaklaşık 14 milyon dolarlık bir saldırı bildirdi. İnceleme ve düzeltmeler sırasında yatırma ve çekme işlemlerini durdurdu. CEO Han Seunghwan, kaybın müşteriler adına saklanan varlıkların %20’sinden biraz fazla olduğunu açıkladı. Bazı sıcak cüzdanların 9 Nisan’da Kore saatiyle ele geçirilmesinin ardından fonlar saldırganın adreslerine aktarıldı. Bildirilen kayıplar yaklaşık 61 BTC, 350,5 ETH, 220.000 USDT ve 10 milyon WEMIX’ti.

Haberin yayımlandığı sırada çekme hizmetleri hâlâ kapalıydı. Seunghwan, borsanın incelemeye odaklandığını ve hizmetlerin yeniden başlaması için henüz tarih belirlemediğini söyledi. Bu olay, 2023’te bildirilen büyük merkezi borsa saldırılarından biriydi. Ocak 2022’deki Crypto.com saldırısının üzerinden bir yılı aşkın süre geçmişti; o olayın ilk bildirilen kaybı 15 milyon doların üzerindeydi.

Huobi ve Gala Games: pGALA için 50 milyon dolara kadar tazminat planı

Gala Games ve HTX adıyla da bilinen Huobi, 3 Nisan’da, Kasım 2022’deki pGALA olayından etkilenen Huobi kullanıcılarına tahmini değeri 50 milyon dolara kadar ulaşan kripto para ve yazılım lisansları dağıtma planını duyurdu. Duyuru, borsanın Web3 ekosistemini geliştirmeye yönelik iş birliklerini izliyordu.

Huobi, 15 milyon USDT ve 10 milyon dolar eşdeğerinde ek kullanıcı faydalarından oluşan toplam 25 milyon dolarlık katkı sağlayacaktı. Gala Games ise 25 milyon dolar değerinde düğüm lisansı verecekti. Programın duyurunun yapıldığı hafta başlaması planlanıyordu.

3 Kasım 2022 olayı, pNetwork’ün BNB Chain üzerinde çıkardığı GALA sürümü pGALA ile ilgiliydi. pNetwork, olası bir hırsızlığı önlemek amacıyla beyaz şapkalı operasyon olarak nitelediği işlemde çok büyük miktarda token ürettiğini ve PancakeSwap likiditesini çektiğini kabul etti. Kendi raporuna göre havuzdan 12.977 BNB, o tarihte yaklaşık 4,6 milyon dolar, elde edilmişti. Gala ve Huobi olayın yönetimine itiraz etti.

Gala, pNetwork’e dava açtı

Gala, 20 Mart’ta pNetwork’e ihmal ve beklenen ticari ilişkilere müdahale gerekçeleriyle dava açtığını duyurdu. Gala’ya göre hatalı yapılandırma düzeltilmemiş ve bir milyar dolarlık hack görüntüsü oluşarak GALA piyasasına zarar verilmişti. Davaya ilişkin haberlerde 25 milyon dolarlık zarar iddiası ile masrafları, ek tazminatları ve cezai tazminatları içeren 27,7 milyon dolarlık talep yer aldı. Gala, diğer etkilenen tarafları hukuk ekibiyle iletişime geçmeye çağırdı; Huobi girişimi desteklediğini belirtti. Plana göre hükmedilebilecek tazminat, hukuk masrafları düşüldükten sonra GALA’ya dönüştürülecek ve tokenlar yakılacaktı.