Editör: Enver Adıgüzel
Bitcoin stake platformu b14g, 31 Ekim’de yaklaşık 97 milyon CORE token kaybettiği bir saldırıya uğradı. Blockchain analiz şirketi Bitquery, zararı 1,47 milyon dolar olarak hesapladı.
Saldırgan, CORE için sıfır tutarlı para çekme talepleri göndererek tek bir işlemde 91 stake pozisyonunu boşalttı.
Ayrıca Okuyun
b14g, yetkisiz para çekme işlemlerini doğruladı. Platform, etkilenen akıllı sözleşmeleri durdurduğunu ve fonların geri alınması için Core ekibiyle, güvenlik ortaklarıyla ve borsalarla koordinasyon içinde olduğunu açıkladı.
Şirket, ihlalin yalnızca CORE yatırımlarıyla sınırlı kaldığını vurguladı. Protokol üzerinden stake edilen bitcoin, BTC blok zincirinde zaman kilitli halde kaldığı için saldırıdan etkilenmedi.
Para çekme mekanizması nasıl istismar edildi
Bitquery’nin incelemesi, saldırganın b14g’nin para çekme mekanizması ile Core’un stake etme sözleşmeleri arasındaki bir zayıflığı kullandığını ortaya koydu. Normal koşullarda b14g, bitcoin sahiplerinin BTC’lerini CORE yatırımlarıyla eşleştirerek daha yüksek stake etme getirisi elde etmesine imkân tanıyor; protokol bu düzenlemeleri, CORE’u elinde tutup validatörlere devreden stake pozisyonları üzerinden yönetiyor.
Ancak Core’un stake etme sözleşmesinde, sıfır token için yapılan bir para çekme talebini tüm stake bakiyesinin çekilmesi talimatı olarak yorumlayan sıra dışı bir hüküm bulunuyor. Saldırgan, kendisinin fonlamadığı stake pozisyonlarına karşı 99 adet sıfır değerli para çekme talebi göndererek bu zayıflığı kullandı.
b14g’nin sözleşmesi bu yetkisiz talepleri reddetmek yerine kabul etti ve talimatları Core’un stake etme sistemine iletti; sistem de yaklaşık 97 milyon token serbest bıraktı. Bitquery, saldırının saat 09.29 UTC’de gerçekleştiğini ve çalınan tokenların saldırganın kontrolündeki bir cüzdana aktarıldığını belirtti.
Fonların izi ve bekleyen sorular
İnceleme, saldırganın ele geçirilmiş bir yönetici anahtarına ya da yeni dağıtılmış kötü niyetli bir sözleşmeye ihtiyaç duyduğuna dair bir kanıt bulamadı. Bitquery, bunun yerine söz konusu sözleşme mantığının yaklaşık 17 aydır mevcut olduğunu, ancak b14g’nin kaynak kodunu incelemediği için yetkisiz para çekmeye yol açan kesin programlama hatasını tespit edemediğini vurguladı.
Blockchain kayıtları, b14g’nin etkilenen sözleşmeleri saat 10.35 UTC’ye kadar, yani ilk saldırıdan yaklaşık 66 dakika sonrasına kadar durdurmadığını gösterdi. Bu süre içinde saldırgan, orijinal cüzdandan yeni oluşturulmuş birkaç adres üzerinden 23 milyon CORE transfer etti.
b14g, ihlali tespit eder etmez sözleşmeleri durdurduğunu söyledi. İzleme çalışmaları, çalınan fonların bir kısmının Bybit, Gate.io ve MEXC ile bağlantılı borsa altyapısına ait ara adresler üzerinden hareket ettiğini ortaya koydu.
Bitquery ayrıca, saldırganın ilk işlem ücretlerini sağlayan ve çalınan fonlardan yaklaşık 11 milyon CORE alarak bunu bir MEXC yatırma adresine ileten bir servis tespit etti. Ancak şirket, bazı ara cüzdanların başka müşterilerin varlıklarını da işlediğini, bu nedenle sonraki her transferi doğrudan saldırgana bağlamanın zor olduğunu belirtti.
Core DAO ağın sağlam kaldığını söyledi
31 Ekim akşamı itibarıyla, çalınan tokenların yüzde 70’ine denk gelen yaklaşık 68 milyon CORE üç cüzdanda hareketsiz kaldı. b14g ayrı olarak, saldırganla bağlantılı yaklaşık 9 milyon CORE’un borsa ortakları tarafından dondurulduğunu bildirdi.
Core DAO, olaya verdiği yanıtta altyapının ele geçirilmediğini savundu. Kurum, konsensüs mekanizmasının, validatörlerin ve stake etme sözleşmelerinin olay boyunca normal şekilde çalışmaya devam ettiğini vurguladı; validatörlerle doğrudan ya da başka protokoller üzerinden stake edilen CORE’un etkilenmediğini de ekledi.
b14g, istismarın teknik nedenini, kullanıcı kayıplarının boyutunu ve etkilenen yatırımcılar için sonraki adımları açıklayan ayrıntılı bir rapor yayımlayacağını taahhüt etti. Platform henüz bir tazminat planı açıklamadı.
İlgili: Bitcoin Core üç güvenlik açığını yamaladı, bazı sistemler riskte
Kaynak: b14g
