2021–2022’den bilinen 10 DeFi ve köprü güvenlik olayı

Bu on tarihsel güvenlik olayı DeFi, blokzincir köprüleri ve kripto hizmetlerindeki farklı riskleri gösterir. DeFi, merkeziyetsiz finans anlamına gelir; alım satım, borç verme ve likidite hizmetlerini kapsar. Merkeziyetsizlik gizlilik, güvenlik veya getiri garantisi değildir. Listedeki her şirket merkeziyetsiz bir protokol değildir.

Büyümeye sözleşme, anahtar yönetimi, yönetişim ve web arayüzü açıkları eşlik etti. Bu seçki 2021–2022’nin bilinen olaylarını kapsar, günümüzün en büyük on saldırısının sıralaması değildir. Dolar tutarları tarihsel tahminlerdir; çalınan varlık, riske giren fon ve nihai zarar farklıdır.

1. Ronin Network — yaklaşık 625 milyon dolar

Ronin köprüsü 23 Mart 2022’de saldırıya uğradı; olay 29 Mart’ta duyuruldu. Tarihsel değer yaklaşık 625 milyon dolardı. Köprü Ronin’i Ethereum’a bağlıyor ve Axie Infinity oyuncularının varlıkları için de kullanılıyordu.

Axie Infinity, oyuncuların dijital yaratıkları topladığı, savaştırdığı ve ürettiği bir blokzincir oyunudur. Özellikler kıtlığı etkileyebilir, ancak ödül ve piyasa değeri garanti edilmez.

Saldırgan dokuz doğrulayıcıdan beşinin yetkisini ele geçirerek 173.600 ETH ve 25,5 milyon USDC’lik izinsiz çekimi imzaladı. Sky Mavis sonradan kullanıcı fonlarını karşıladı; bu, çalınan varlıkları geri almakla aynı değildir. Eylül 2022’de Chainalysis, çalınan varlıkların 30 milyon dolardan fazlasına el konulduğunu bildirdi. Hiçbir şeyin geri alınmadığı iddiası bu nedenle yanlıştı.

2. Poly Network — yaklaşık 610 milyon dolar

10 Ağustos 2021’de Poly Network’ten Ethereum, BNB Smart Chain ve Polygon üzerinde yaklaşık 610 milyon dolarlık varlık alındı. SlowMist’in teknik analizi, saldırganın zincirler arası sözleşme çağrılarını kötüye kullanarak güvenilen keeper’ı değiştirdiğini gösterdi. Bu, Ronin’deki gibi doğrulayıcı özel anahtarlarının çalınması değildi.

Kurtarma sırasında kalan büyük bir tutar geçici olarak proje ve saldırganın işbirliğini gerektiren çoklu imza cüzdanında tutuldu. Poly Network 500.000 dolar ödül teklif etti ve dava açmama konusunda açıklamalar yaptı, ancak devlet makamlarına karşı kovuşturmadan muafiyet sağlayamazdı. 268 milyon doların hâlâ kilitli olduğu ifadesi olayın nihai durumunu anlatmıyordu.

23 Ağustos’ta Poly Network, kalan varlıkların kontrolünün geri alındığını açıkladı. Tether da yaklaşık 33,43 milyon dondurulmuş USDT’yi 25 Ağustos’ta belirlenen kurtarma cüzdanına gönderdi. Proje 26 Ağustos’ta etkilenen tüm varlıkların kurtarıldığını bildirdi. Bu nedenle 33 milyon dolar açıklanamayan kayıp değildi. Saldırganın eğlence için yaptığı iddiası kendi açıklamasıydı.

3. Wormhole Bridge — yaklaşık 325 milyon dolar

Wormhole, blokzincirler arasında mesaj ve token aktarımı sağlar. Sarılmış token başka bir zincirdeki varlığı temsil eder; doğru doğrulamaya ve yeterli karşılığa dayanır.

Bu olayda 2 Şubat 2022’de Solana tarafındaki doğrulama atlatıldı. Saldırgan karşılıksız 120.000 wETH oluşturdu; toplam yalnızca 93.750 değildi. Bunların 93.750’si köprü üzerinden Ethereum’da ETH’ye çevrildi. Jump Crypto açığı kapatmak için 120.000 ETH sağladı; bu, saldırganın iadesi değildi.

4. Nomad Bridge — yaklaşık 186–190 milyon dolar

Nomad, 1 Ağustos 2022’de sözleşme değişikliği sonrası kalan kimlik doğrulama hatası nedeniyle geçersiz mesajları kabul etti. Çekim için eşdeğer yatırma gerekmiyordu. Bu, saldırganların oluşturduğu yeni bir borç alma olanağı değildi.

Yöntem kolay kopyalanabiliyordu. Nomad 300’den fazla adresin katıldığını bildirdi ve soruşturma için adres ve işlem verilerini yayımladı. Adresler mutlaka farklı kişiler değildir. Ekip iade istedi, kurtarma cüzdanı ve ödül programı oluşturdu.

Nomad 17 Ağustos 2022’de 37 milyon dolardan fazlasının, yaklaşık %20’nin, geri geldiğini açıkladı. Tarihli sayı, belirsiz biçimde 30 milyondan fazlası döndü ve gerisi hâlâ kayıp demekten daha kesindir. Gönüllü iadeler devam eden soruşturmayla birlikte yürütüldü.

5. Beanstalk Farms — yaklaşık 182 milyon dolar etki, 77 milyon dolar Bean dışı varlık çalındı

Beanstalk krediye dayalı stablecoin protokolüdür. Bean’in hedef fiyatını token başına olağan bir dolar rezervi yerine borç veren teşvikleriyle desteklemeyi amaçlıyordu. Algoritmik stablecoin tasarımları farklıdır; hepsi aynı dijital rezervleri kullanmaz.

17 Nisan 2022’de saldırgan, yeterli oy gücü kazanmak ve protokol varlıklarını aktaran kötü niyetli yönetişim önerisini yürütmek için anlık kredi kullandı. Sık aktarılan yaklaşık 182 milyon dolarlık etki saldırganın net kazancı değildi. Beanstalk yaklaşık 77 milyon dolarlık Bean dışı varlığın çalındığını bildirdi.

Yaklaşık 250.000 dolarlık küçük bir aktarım Ukrayna bağış adresine gitti. Saldırganın yaklaşık 70 milyonu tutup 182 milyonun tüm kalanını mültecilere bağışladığı iddiası yanlıştı. Anlık kredi geri ödemeleri ile brüt etki ve net kazanç arasındaki fark büyük bir hayır bağışı değildi.

6. Wintermute — yaklaşık 160 milyon dolar

Wintermute bir kripto piyasa yapıcısıdır. 20 Eylül 2022’de DeFi faaliyetlerinden yaklaşık 160 milyon dolar çalındı. Olay Profanity ile oluşturulmuş tanınabilir bir adres ve zayıf anahtar üretimiyle ilişkilendirildi. Vanity wallet tüm kullanıcılar için saklama ürününün adı değildi.

Anahtarları çevrimdışı tutmak çevrimiçi saldırı riskini azaltabilir; örneğin ağdan fiziksel ayrım kullanılabilir. Ancak soğuk saklama bütün sözleşme hatalarını veya kötü niyetli token izinlerini çözmez. Güvenli anahtar üretimi, sınırlı yetki ve operasyonel cüzdan yönetimi de gereklidir.

7. Compound — hatalı COMP dağıtımı, kanıtlanmış 150 milyon dolar net zarar değil

Compound, olaydan sonra da çalışmayı sürdüren bir borç verme protokolüdür. 29 Eylül 2021’de öneri 62, COMP ödül hesaplamasına hata getirdi. Bazen sızdıran musluk olarak anlatılan hata, mevcut COMP’den gereğinden fazla dağıttı; sınırsız yeni token basmadı.

İlk belirtilen 280.000 COMP, Comptroller sözleşmesindeki kullanılabilir ödüllerdi; saldırganların oluşturduğu likidite havuzu değildi. Daha sonra Reservoir’dan ek COMP gelebiliyordu. Düzeltme, yönetişim önerileri ve bekleme süreleri gerektirdiğinden hemen uygulanamıyordu.

Compound 14 Ekim’de hatalı çekilen 163.000 COMP’nin iade edildiğini, 130.000’in Comptroller’da kaldığını ve hatalı dağıtılan yaklaşık 200.000’in hâlâ dışarıda olduğunu bildirdi. Öneri 64 hatayı 8 Ekim’de düzeltti; kalan muhasebe için sonraki öneri gerekiyordu. Konu ödül dağıtımıydı, kullanıcı mevduatlarından belgelenmiş 150 milyon dolar hırsızlık değildi. Sayılar sabit bir toplamın yarısından fazlasının kurtarıldığı iddiasını da kanıtlamaz.

8. Vulcan Forged — yaklaşık 140 milyon dolar

Aralık 2021’deki Vulcan Forged saldırısı oyuncu cüzdanlarını etkiledi. Platform blokzincir oyunları ve NFT pazarı sunar. Tokenları başka uygulamalarda kullanabilmek daha yüksek getiri garantisi değildir.

Venly’ye göre Vulcan Forged sunucuları ele geçirildi; PIN ve şirket giriş bilgileri kullanılarak en az 96 cüzdan dışa aktarıldı. Venly kendi sunucularının saldırıya uğramadığını açıkladı. Çalınan PYR o dönemde yaklaşık 140 milyon dolardı. Venly 13 Aralık’ta Vulcan Forged’in çoğunu kendi hazinesinden karşıladığını bildirdi; tüm zararların hemen ödendiğini değil.

9. BadgerDAO — yaklaşık 120 milyon dolar

2 Aralık 2021 saldırısında dönem tahminine göre yaklaşık 120 milyon dolar kayıp vardı. İlk liste yaklaşık 2.100 BTC ve 151 ETH belirtiyordu. Bitcoin tutarı Ethereum sözleşmesindeki yerel BTC’yi değil, temsil tokenlarını veya Bitcoin değerini anlatıyordu. BadgerDAO Bitcoin odaklı DeFi ürünleri sunuyordu; saldırı web arayüzünü hedef aldı.

Kötü niyetli arayüz kodu kullanıcılara istenmeyen token izinleri imzalattı. Teknik rapor Badger ortamındaki Cloudflare API anahtarının kötüye kullanımını anlatıyordu; tüm Cloudflare’ın ele geçirildiğini kanıtlamıyordu. Sonradan projenin sitesi mevcut kasa ürünlerinin sonlandırılmasını anlattı. Bu ayrı bir ürün değişimiydi, saldırıda bütün protokol sözleşmelerinin sona erdiğinin kanıtı değildi.

10. Horizon Bridge — yaklaşık 100 milyon dolar

Horizon Bridge saldırısı 23 Haziran 2022’de gerçekleşti ve 24 Haziran’da duyuruldu. Köprünün Ethereum tarafından yaklaşık 100 milyon dolar çalındı. Harmony işlemleri sınırladı ve güvenlik ortakları ile yetkililerle soruşturma başlattı.

Ele geçirilen özel anahtarlar izinsiz imzaları mümkün kıldı. Başlangıç eşiği dörtte iki değil, beşte iki imzaydı. Harmony sonradan bunu beşte dörde çıkardığını bildirdi. Düşük eşik hakkında endişeler saldırı öncesi açıkça dile getirilmişti. Çoklu imza güvenliği hem eşik hem bağımsız, güvenli anahtar yönetimine bağlıdır.

Olaylardan çıkarılan dersler

Yeni teknoloji dolandırıcılık ve saldırı riskini ortadan kaldırmaz. Bu vakalar borçla edinilen oy gücü, sözleşme mantığı, anahtar yönetimi ve web arayüzlerindeki farklı zayıflıkları gösterir. Soruşturma ve kurtarma yardımcı olabilir, ancak önceki saldırı başka platformlarda önlem alınmasını veya mağdurların parasının dönmesini garanti etmez.