Pump hırsızlık olayıyla karşı karşıya: İç personelin yetkileri kötüye kullanması nedeniyle mali kayıplar
Son günlerde, Pump platformunu içeren bir hırsızlık olayı, kripto para topluluğunda geniş bir dikkat çekti. Bu makalede, bu olayın detaylı bir incelemesi yapılacaktır.
Saldırı Yöntemleri Analizi
Bu saldırı, yetenekli bir hacker tarafından gerçekleştirilmedi, muhtemelen Pump'ın eski çalışanları tarafından yapıldı. Saldırgan, belirli bir DEX'te token ticaret çiftleri oluşturmak için cüzdan yetkilerine sahipti. Saldırıda, bu hesaba "hacklenmiş hesap" denirken, henüz çevrimiçi olma standartlarına ulaşmamış token likidite havuzuna ise "hazırlık hesabı" deniyor.
Saldırganlar, hızlı bir şekilde, henüz çevrimiçi standartlarını karşılamayan tüm havuzları doldurmak için flaş kredisi yöntemini kullandılar. Normalde, havuz standartlara ulaştığında, hazırlık hesabındaki SOL'ler saldırıya uğrayan hesaba aktarılmalıdır. Ancak, saldırganlar bu fırsatı değerlendirerek, bu aktarılan SOL'leri çektiler ve bu nedenle çevrimiçi olması ve havuzları kilitlemesi gereken token'lar düzgün bir şekilde çalışamaz hale geldi.
Mağdur Analizi
Dikkate değer bir nokta, flash kredi sağlayıcılarının zarar görmemiş olmasıdır, çünkü krediler aynı blok içinde geri ödenmiştir. Ayrıca, ticaret platformunda zaten listelenmiş olan tokenler, likidite kilitlendiği için etkilenmemelidir.
Gerçekten kaybedenler, saldırı gerçekleşmeden önce, henüz dolmamış havuzda token satın alan kullanıcılardır. Onların SOL'u yukarıda belirtilen saldırı yöntemiyle alındı, bu da kaybın neden bu kadar büyük olduğunu açıklıyor. Son veriler, gerçek kaybın yaklaşık 2 milyon dolar olduğunu gösteriyor.
İç Yönetim Açığı
Bu olay, proje ekibinin yetki yönetiminde ciddi eksiklikler olduğunu ortaya koydu. Saldırganların, belirli projelerin erken aşamalarda piyasa canlılığını artırmak için benzer stratejiler uyguladığı gibi, token havuzunu doldurmaktan sorumlu olabileceği öne sürülüyor.
Pump, soğuk başlatma gerçekleştirmek için, saldırganların proje fonlarını kullanarak yeni basılan tokenlerin havuzunu doldurmasını sağlamış olabilir (genellikle proje tarafından çıkarılan tokenlerdir), böylece bu tokenler ticaret platformuna çıkabilir ve bir heyecan yaratabilir. Ancak, bunun nihayetinde içerden bir saldırı aracına dönüşeceğini öngöremediler.
Dersler ve Düşünceler
Taklit projeleri için, yalnızca yüzeysel işlevleri kopyalamak yeterli değildir. Ürünün kendisinin yanı sıra, kullanıcıları çekmek için başlangıçta nasıl bir ivme sağlanacağı da düşünülmelidir.
Daha da önemlisi, proje ekibi izin yönetimine ve güvenlik önlemlerine büyük önem vermelidir. Bu olay, kripto para alanındaki iç risk kontrolünün önemini bir kez daha vurgulamış ve tüm sektör için bir uyarı niteliği taşımıştır.
View Original
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
Pump, iç hırsızlık nedeniyle 2 milyon dolarlık zarara yol açan yetki kötüye kullanımı
Pump hırsızlık olayıyla karşı karşıya: İç personelin yetkileri kötüye kullanması nedeniyle mali kayıplar
Son günlerde, Pump platformunu içeren bir hırsızlık olayı, kripto para topluluğunda geniş bir dikkat çekti. Bu makalede, bu olayın detaylı bir incelemesi yapılacaktır.
Saldırı Yöntemleri Analizi
Bu saldırı, yetenekli bir hacker tarafından gerçekleştirilmedi, muhtemelen Pump'ın eski çalışanları tarafından yapıldı. Saldırgan, belirli bir DEX'te token ticaret çiftleri oluşturmak için cüzdan yetkilerine sahipti. Saldırıda, bu hesaba "hacklenmiş hesap" denirken, henüz çevrimiçi olma standartlarına ulaşmamış token likidite havuzuna ise "hazırlık hesabı" deniyor.
Saldırganlar, hızlı bir şekilde, henüz çevrimiçi standartlarını karşılamayan tüm havuzları doldurmak için flaş kredisi yöntemini kullandılar. Normalde, havuz standartlara ulaştığında, hazırlık hesabındaki SOL'ler saldırıya uğrayan hesaba aktarılmalıdır. Ancak, saldırganlar bu fırsatı değerlendirerek, bu aktarılan SOL'leri çektiler ve bu nedenle çevrimiçi olması ve havuzları kilitlemesi gereken token'lar düzgün bir şekilde çalışamaz hale geldi.
Mağdur Analizi
Dikkate değer bir nokta, flash kredi sağlayıcılarının zarar görmemiş olmasıdır, çünkü krediler aynı blok içinde geri ödenmiştir. Ayrıca, ticaret platformunda zaten listelenmiş olan tokenler, likidite kilitlendiği için etkilenmemelidir.
Gerçekten kaybedenler, saldırı gerçekleşmeden önce, henüz dolmamış havuzda token satın alan kullanıcılardır. Onların SOL'u yukarıda belirtilen saldırı yöntemiyle alındı, bu da kaybın neden bu kadar büyük olduğunu açıklıyor. Son veriler, gerçek kaybın yaklaşık 2 milyon dolar olduğunu gösteriyor.
İç Yönetim Açığı
Bu olay, proje ekibinin yetki yönetiminde ciddi eksiklikler olduğunu ortaya koydu. Saldırganların, belirli projelerin erken aşamalarda piyasa canlılığını artırmak için benzer stratejiler uyguladığı gibi, token havuzunu doldurmaktan sorumlu olabileceği öne sürülüyor.
Pump, soğuk başlatma gerçekleştirmek için, saldırganların proje fonlarını kullanarak yeni basılan tokenlerin havuzunu doldurmasını sağlamış olabilir (genellikle proje tarafından çıkarılan tokenlerdir), böylece bu tokenler ticaret platformuna çıkabilir ve bir heyecan yaratabilir. Ancak, bunun nihayetinde içerden bir saldırı aracına dönüşeceğini öngöremediler.
Dersler ve Düşünceler
Taklit projeleri için, yalnızca yüzeysel işlevleri kopyalamak yeterli değildir. Ürünün kendisinin yanı sıra, kullanıcıları çekmek için başlangıçta nasıl bir ivme sağlanacağı da düşünülmelidir.
Daha da önemlisi, proje ekibi izin yönetimine ve güvenlik önlemlerine büyük önem vermelidir. Bu olay, kripto para alanındaki iç risk kontrolünün önemini bir kez daha vurgulamış ve tüm sektör için bir uyarı niteliği taşımıştır.