Kokomo, Swerve ve diğer DeFi güvenlik olayları: Mart 2023 değerlendirmesi

Merkeziyetsiz finans, yani DeFi, yaklaşık 2017’den itibaren hızla büyüdü. Makalede kullanılan DeFiLlama verilerine göre toplam kilitli değer Aralık 2021’de yaklaşık 180,38 milyar dolardı. Kripto varlıklara talep ve katılım teşvikleri bu büyümeye katkı sağladı. Bu yazı güvenlik olaylarını Mart 2023 sonundaki durum üzerinden ele alıyor.

DeFi büyüme grafiği. Kaynak: DeFi Llama

Öte yandan, bu hızlandırılmış büyüme ve beraberindeki likidite, alandaki mevcut güvenlik açıklarından faydalanmak isteyen etik dışı aktörleri de beraberinde getirmiştir.

Kripto ve DeFi saldırılarının türleri

Mart 2023’ten önceki yıllarda çeşitli büyük kripto hırsızlıkları yaşandı. Yöntemler arasında dolandırıcılık, rug pull, akıllı sözleşme açıklarının istismarı ve flaş kredilerle finanse edilen saldırılar vardı.

DeFi hack geçmişi. Kaynak: DeFi Llama

Rug pull olayında proje yöneticileri likiditeyi veya kullanıcı varlıklarını çekip projeyi terk edebilir. Flaş kredi kendi başına meşru bir araçtır: önceden teminat gerektirmez, ancak aynı işlem içinde masraflarıyla birlikte geri ödenmelidir. Saldırganlar bu sermayeyi güvensiz fiyat oracle’ları veya eksik kontroller gibi açıkları kullanmak için değerlendirebilir. Borsada fiyat manipülasyonu olası yöntemlerden biridir; tüm flaş kredi saldırılarının tanımı değildir.

DeFi tarihindeki hack türlerinin pasta grafiği temsili

Diğer DeFi ile ilgili sömürüler arasında akıllı sözleşme hataları, oracle saldırıları ve yönetişim saldırıları bulunur. Yönetişim saldırılarında, hackerlar kendi çıkarlarına hizmet edecek önerileri yürütmek için yeterli oy hakkı kontrol etmeye çalışırlar.

Geçmişteki Kripto ve DeFi Güvenlik İhlalleri

Crystal’ın Şubat 2023 raporu, 2011’den itibaren 231 DeFi saldırısında yaklaşık 4,81 milyar dolar çalındığını kaydetti. Diğer güvenlik ihlalleri ve dolandırıcılıklarla toplam yaklaşık 16,7 milyar dolardı. Yaklaşık 4,18 milyar dolar, 2011’den beri biriken DeFi kaybını değil, 2022’de kaydedilen tüm olayları ifade ediyordu. Mart 2022 Ronin saldırısı en büyüklerden biriydi: 173.600 ETH ve 25,5 milyon USDC çalınmıştı; değerleme anına göre toplam 600 milyon doların üzerindeydi.

Kripto hırsızlığı, Haziran 2011 Mt. Gox saldırısı gibi olaylardan beri yinelenen bir sorun. Yıllık kayıplar yine de her yıl kesintisiz artmıyor. Makalede kullanılan hesaba göre 2022’nin en büyük on DeFi saldırısı 2,6 milyar doların üzerindeydi; DeFiLlama yılın tamamı için 3 milyar doların üzerinde kayıp kaydetti. Kaynakların olay kapsamı, değerleme yöntemi ve geri alınan varlıkları hesaplama biçimi farklı olabilir.

Orijinal makale Mart 2023 sonunda 19 kripto ve DeFi olayında 372 milyon doların üzerinde varlık çalındığını belirten geçici bir sayım aktarıyordu. Rekt Database’in ilgili verileri Ocak için yaklaşık 14,6 milyon, Şubat için 142,4 milyon dolardı. Bunlar kaynağın o tarihteki verileridir.

Geçtiğimiz yılda kaybedilen ve geri kazanılan fonlar. Kaynak: Rekt Database

Mart ayında başka büyük olaylar da yaşandı. Makale, henüz tamamlanmamış 2023 ilk çeyreğini 2022 ilk çeyreğindeki yaklaşık 1,2 milyar dolarlık kayıpla karşılaştırıyordu. Ara dönem sayımı, kesin çeyrek sonucu değildir.

Önemli saldırılar ve sonuçları

Örnekler arasında 1 Şubat 2023 BonqDAO ve 16 Şubat Platypus Finance olayları vardı. BonqDAO’da yaklaşık 100 milyon BEUR yetkisiz biçimde üretildi. Sıkça anılan 120 milyon dolarlık zarar nominal bir değerlemeydi; saldırganın tamamını nakde çevirebildiği kazanç değildi. Protokol, 98 milyonun üzerinde BEUR için satış likiditesi olmadığını bildirdi. Platypus’un ilk kaybı yaklaşık 8,5 milyon dolardı ve kısa süre sonra yaklaşık 2,4 milyon USDC geri alındı.

CertiK, Kokomo Finance’ta şüpheli çıkış dolandırıcılığı bildirdi

CertiK, 26 Mart 2023’te Optimism üzerindeki Kokomo Finance kredi protokolünde şüpheli çıkış dolandırıcılığı uyarısı yaptı. KOKO fiyatında sert düşüşün yanı sıra internet sitesi ve sosyal medya hesaplarının kaybolduğunu gözlemledi.

CertiK’e göre KOKO’yu kullanıma alan 0x41BE… adresi cBTC saldırı sözleşmesini oluşturdu. Ödül parametreleri değiştirildi, kredi işlemleri durduruldu ve sözleşme uygulaması kötü amaçlı bir sürümle değiştirildi. 0x5a2d… adresi, Sonne Finance’ın 7.010 soWBTC makbuz tokenının harcanmasına izin vermişti. Bunlar 7.010 normal WBTC değildi. CertiK sonraki bir paylaşımında işlemleri açıkladı. Saldırgan, soWBTC’yi 0x5C8d… adresine aktarmak için 0x804edaad yöntemini çağırdı. Sonunda 7.010 soWBTC, o dönemde yaklaşık 4 milyon dolar değerindeki 141 WBTC ile değiştirildi. CertiK daha sonraki analizinde toplam kullanıcı kaybını yaklaşık 4,5 milyon dolar olarak tahmin etti.

İlk habere göre Kokomo Finance, 25 Mart 2023’te faaliyete başlayan yeni bir projeydi.

Kokomo Finance zincir üzeri değerlendirme raporu

0xGuard’ın Mart tarihli güvenlik değerlendirmesi, etkisiz kod ve yazım hataları gibi notlar dışında kontrol noktalarının çoğuna geçer sonucu vermişti. Bu, yönetici yetkilerinin kötüye kullanılmasını dışlamıyordu. Olaydan sonra KOKO fiyatı sert biçimde düştü.

Etkin olmayan Swerve Finance’a yönelik yönetişim saldırısı girişimi

Mart 2023’te kullanıcılar, Ethereum’daki büyük ölçüde terk edilmiş Curve çatallaması Swerve Finance’ta şüpheli yönetişim faaliyeti bildirdi. Aktör gerekli oy eşiğine ulaşmaya çalışıyordu. Projenin etkin olmaması, iflas kararı verildiği anlamına gelmez.

Öneri, DAI-USDC-USDT havuzundan yaklaşık 1,3 milyon dolarlık sabit değerli token bulunan sözleşmeyi hedefliyordu. Wintermute araştırmacısı Igor Igamberdiev, zincir işlemlerini “silvavault” arkasındaki kişiye bağlayan bir analiz yayımladı. Bu, araştırmacının yaptığı atıftı; mahkemece kesinleştirilmiş bir tespit değildi.

Igamberdiev, Tornado Cash üzerinden geçen işlemlere de işaret etti. Adını verdiği joaorcsilva hesabı iddialara yanıt vererek kötü niyeti olmadığını savundu. Tartışmalı açıklama, yönetişim sürecindeki teknik riskleri ortadan kaldırmıyordu.

Euler Finance saldırganı varlıkların önemli bölümünü geri verdi

13 Mart 2023’te Euler Finance’tan yaklaşık 197 milyon dolarlık varlık alındı. Ekip açığı sınırlandırdı, ancak varlıkları hemen geri alamadı. İlk iletişim girişimleri sonuç vermeyince yakalama ve varlıkların iadesini sağlayacak bilgiler için 1 milyon dolar ödül duyuruldu.

Euler Finance hack işlemleri. Kaynak: Twitter/BlockSec

Saldırgan, 18 Mart’ta üç işlemle toplam 3.000 ETH iade etti. O sırada önemli miktarda varlık hâlâ geri dönmemişti.

25 Mart’ta yaklaşık 51.000 ETH kullanıma alma adresine gönderildi; aynı gün 7.737 ETH’lik ikinci aktarım geldi. Bunlar önemli iadelerdi. İlk piyasa güncellemesi EUL tokenının 2,50 doların biraz üzerinden 4,30 dolara çıktığını, ardından yaklaşık 3,80 dolara gerilediğini bildiriyordu. Fiyatlar ETH’ye değil EUL’ye aitti. Euler Foundation daha sonra 4 Nisan’da geri alınabilir tüm varlıkların iade edildiğini bildirdi ve ödül kampanyasını kapattı.

EUL’nin tarihsel fiyatı. Kaynak: TradingView

Euler saldırısının bazı varlıkları Tornado Cash’e gönderildi. Ronin saldırısında da karıştırıcının kullanımı saptandı.

Mart 2023’te ChipMixer’a karşı uluslararası operasyon

Europol, 15 Mart 2023’te Alman ve ABD makamlarının uluslararası destekle ChipMixer’a operasyon düzenlediğini açıkladı. Makamlara göre hizmet 2017’den itibaren yaklaşık 152.000 BTC işlemişti; ABD Adalet Bakanlığı 3 milyar doların üzerinde aklama işleminden söz etti. Almanya arka uç sunucuları ve yaklaşık 1.909,4 BTC dâhil 46 milyon doların üzerinde kripto varlığı ele geçirdi. ABD ise alan adlarını ve bir GitHub hesabını ele geçirdi.

Tornado Cash yaptırımları 2023 başında Adalet Bakanlığınca değil, 8 Ağustos 2022’de ABD Hazine Bakanlığına bağlı OFAC tarafından uygulanmıştı. Karıştırıcılar paranın kaynağını gizleyebilir, fakat izlemeyi her zaman imkânsız kılmaz. Yaptırımlar yazının dönemindeki durumu yansıtıyordu; Hazine Bakanlığı Tornado Cash’i Mart 2025’te yaptırım listesinden çıkardı.

FBI, 100 milyon dolarlık Harmony Horizon hırsızlığını Lazarus’a bağladı

24 Haziran 2022’de bildirilen Harmony Horizon köprüsü saldırısında yaklaşık 100 milyon dolarlık çeşitli kripto varlıklar çalındı. Harmony, nedeni araştırmak ve varlıkları geri almak için makamlarla çalıştığını açıkladı. FBI Ocak 2023’te saldırıyı Kuzey Koreli Lazarus grubuna bağladı; açıklamada grup APT38 adıyla da anılıyordu. Zincir analistleri de aynı aktörlere işaret etmişti.

Lazarus, 2022 Ronin saldırısıyla da ilişkilendirildi. FBI, Kuzey Koreli aktörlerin 13 Ocak 2023’te RAILGUN kullanarak 60 milyon doların üzerinde çalıntı ETH’nin kaynağını gizlediğini bildirdi. Bir bölümü kripto borsalarına gönderilip bitcoin’e çevrildi. İzleme sayesinde hizmet sağlayıcılar varlıkların bir kısmını belirledi, dondurdu ve geri aldı. FBI, kalan varlıklarla ilişkili on bir Ethereum adresi de yayımladı.

Wormhole saldırısının sonraki gelişmeleri

Wormhole bağlantılı varlıklarla borçlanarak pozisyon büyütüldü

Ocak 2023’te Şubat 2022 Wormhole saldırısıyla ilişkilendirilen bir adres yeniden hareketlendi. Saldırıda karşılığı bulunmayan 120.000 wETH üretilmişti; o dönemde değer yaklaşık 320 milyon dolardı. Araştırmacılar yaklaşık 95.630 ETH’nin, o sırada 155 milyon dolar değerinde, taşındığını gözlemledi. Burada uzun pozisyon, ETH fiyatının yükselmesine yönelik pozisyonu ifade eder; zorunlu olarak uzun vadeli yatırım değildir.

Adres, OpenOcean üzerinden yaklaşık 95.630 ETH’yi Lido’nun 96.677 stETH tokenıyla değiştirdi.

Ardından yaklaşık 86.473 stETH, wstETH olarak paketlendi. Bunların 25.000 wstETH’si 13 milyon DAI borcu için teminat gösterildi. Borç alınan fonlarla Kyber üzerinden yaklaşık 8.000 stETH alındı; 1inch gibi protokollerde başka işlemler yapıldı. Yaklaşık 1,5 milyon DAI daha 923 stETH ile değiştirildi. Böylece ETH pozisyonu borç kullanılarak büyütüldü.

Yaklaşık 61 milyon dolarlık varlıklarla ek işlemler

PeckShield, Şubat 2023’te Wormhole bağlantılı cüzdanda yaklaşık 46 milyon dolarlık varlıklar dâhil ek hareketler gözlemledi. OpenOcean üzerinden geçen yaklaşık 95.630 ETH ve 155 milyon dolar, yukarıda anlatılan Ocak hareketiydi; 12 Şubat’ta gerçekleştiği ayrıca kanıtlanmış ikinci bir aktarım değildi.

Aktarılan analize göre varlıklar yaklaşık 16,6 milyon DAI’ye çevrildi ve yaklaşık 8.800 wstETH, o sırada 15 milyon dolar değerinde, MakerDAO’ya yatırıldı. Araştırmacılar bunu getiri veya arbitraj arayışı olarak yorumladı. Wormhole’un varlıkların iadesi için sunduğu ilk 10 milyon dolarlık ödül o sırada yanıtsızdı. Oasis daha sonra, 21 Şubat 2023’te İngiltere ve Galler Yüksek Mahkemesinin emriyle Wormhole bağlantılı belirli varlıkları geri aldığını ve mahkemenin yetkilendirdiği üçüncü tarafa aktardığını bildirdi.