Cross chain köprüleri güvenlik olayı incelemesi: Yaklaşık 2 milyar dolar değerinde varlık etkilendi

Blockchain ekosisteminde birçok kamu zinciri bulunmaktadır, ancak çoğu zincir ana akım varlıklardan yoksundur. Bu varlıkları elde etmek için birçok proje, Ethereum gibi ana kamu zincirlerinden varlık transferi yapmak üzere cross-chain köprülerine bağımlı hale gelmiştir. Ancak, son zamanlarda DeFi alanında güvenlik kazaları artmış, cross-chain köprüleri yüksek miktarda fon akışı ve sık işlemler nedeniyle hacker saldırılarının popüler hedefi olmuştur. Bu makalede, geçmişte meydana gelen 10 önemli cross-chain köprü saldırı olayını gözden geçirerek dersler çıkarılacak ve bu sayede geliştirici ekipleri ve kullanıcıların dikkatli olmaları konusunda uyarılması hedeflenecektir.

Dikkate değer olan, güçlü bir altyapıya ve iyi bir geçmişe sahip olan cross-chain köprüleri projeleri, güvenlik kazalarıyla karşılaştıklarında genellikle varlıkları geri alma veya tazminat ödeme konusunda daha yetenekli olmaktadır. Bu nedenle, kullanıcıların cross-chain köprüleri seçerken güçlü projeleri öncelikli olarak dikkate almaları daha güvenli olabilir.

1. ChainSwap: 8 milyon dolar kayıp, token yeniden çıkarma

2021 Temmuz'unda, ChainSwap sadece 9 gün içinde iki kez siber saldırıya uğradı. İlk saldırıda yaklaşık 800.000 dolar kaybedildi, ikinci saldırıda ise kayıplar 8.000.000 dolara kadar ulaştı ve 20'den fazla projenin ChainSwap kullanarak cross-chain işlemlerini etkiledi.

Kazanın nedeni, protokolün imza geçerliliğini sıkı bir şekilde doğrulamayı başaramamasıydı; bu da saldırganın kendi ürettiği imzayı kullanarak işlemi imzalamasına olanak tanıdı. Zarar, esas olarak proje ekibinin yönetim token'larıyla ilgili olduğu için, ChainSwap dahil birçok proje, token sahiplerine ve likidite sağlayıcılarına tazminat vermek amacıyla anlık görüntü almayı ve yeni token'lar çıkarmayı tercih etti.

2. Poly Network: 6.1 milyon dolar çalındı, nihayetinde geri alındı

10 Ağustos 2021'de, cross-chain互操作协议 Poly Network bir siber saldırıya uğradı ve Ethereum, Binance Akıllı Zinciri ve Polygon ağlarında toplamda yaklaşık 610 milyon dolar değerinde varlık kaybı yaşandı.

Saldırganlar, Poly Network sözleşmesi yetki yönetimi mantığındaki açığı kullanarak, hedef zincirdeki doğrulayıcı adresini başarıyla değiştirdiler ve böylece varlık transfer operasyonlarını kontrol altına aldılar. Saldırı yöntemi ustaca olmasına rağmen, hacker sonunda tüm fonları geri iade etti. Poly Network daha sonra bunu "beyaz şapkalı" hacker olarak adlandırdı ve onu şirketin baş güvenlik danışmanı olarak işe alma teklifinde bulundu.

3. Multichain: 6 milyon dolar etkilendi, kısmen tazminat ödendi

2022 Ocak ayında, Multichain çeşitli tokenleri etkileyen önemli bir güvenlik açığı keşfetti. Açık kapatılmış olmasına rağmen, bazı kullanıcılar yetkilerini zamanında iptal etmedikleri için zarar gördü. Toplamda yaklaşık 604 milyon dolar değerinde WETH ve AVAX çalındı.

Kazanın nedeni, Multichain'in kullanıcı tarafından iletilen Token'ın geçerliliğini doğrularken bir kusur olmasıdır; çünkü tüm underlying token'ların permit fonksiyonunu uygulamadığı göz önünde bulundurulmamıştır. Ekip, çalınan fonların yaklaşık %50'sini geri aldı ve bir tazminat planı önerdi, ancak bu sadece belirlenen tarihten önce sözleşme yetkisini iptal eden kullanıcılar için geçerlidir.

4. QBridge: 80 milyon dolar kayıp, sadece %2 tazminat

2022 yılının Ocak ayı sonunda, borç verme protokolü Qubit'in cross-chain köprüleri QBridge saldırıya uğradı ve yaklaşık 80 milyon dolar kaybedildi.

Saldırganlar, QBridge'in beyaz listeye alınmış token transferlerini işlerken sıfır adresi için tekrar kontrol etmemesi açığını kullanarak BSC üzerinde büyük miktarda xETH token'ı oluşturdu ve bunu teminat olarak kullanarak Qubit'ten diğer token'ları ödünç aldı, bu da Qubit'in teminatlarının tükenmesine yol açtı.

Şu anda Qubit kullanım oranı neredeyse sıfıra yakın, resmi verilere göre çalınan fonların %98'i henüz tazmin edilmedi.

5. Meter.io: 4.4 milyon dolar kayıp, gelecekteki kazançlarla tazminat verme sözü

2022 yılının Şubat ayında, Meter Passport cross-chain köprüleri "yanlış güven varsayımı" nedeniyle hackerlar tarafından istismar edildi ve 4.4 milyon dolarlık kayba neden oldu. Saldırganlar, saldırıyı gerçekleştirmek için sahte BNB ve ETH transferleri yaptı.

Meter ekibi başlangıçta MTRG tokeni ile kullanıcı kayıplarını tazmin etmeyi planladı, ancak daha sonra tazminat için yeni PASS tokenini çıkarmaya karar verdi ve bu tokenleri geri almak için gelecekteki kazançları kullanacaklarına söz verdiler. Ancak, şu ana kadar herhangi bir geri alma işlemi gerçekleştirilmedi.

6. Ronin: 6.2 milyon dolar çalıntı, tamamı tazmin edildi

2022 yılının Mart ayında, blockchain oyunu Axie Infinity'nin arkasındaki Ronin ağı büyük bir saldırıya uğradı ve yaklaşık 620 milyon dolar kaybedildi. Bu saldırı aslında 23 Mart'ta gerçekleşti, ancak 6 gün sonra fark edildi.

Saldırganlar sosyal mühendislik yöntemleriyle, Sky Mavis çalışanlarıyla iletişime geçmek için bir işe alım şirketi gibi davrandılar ve nihayetinde Ronin ağını sızdırmayı ve birden fazla doğrulama düğümünü kontrol altına almayı başardılar. Çalınan fonlar geri alınamadı, ancak Sky Mavis, kullanıcı kayıplarını tazmin etmek için 150 milyon dolar toplamak amacıyla yeni bir finansman turu gerçekleştirdi.

7. Wormhole: 3.26 milyon dolar kayıp, tamamen tazmin edildi

2022 yılının Şubat ayının başlarında, cross-chain etkileşim protokolü Wormhole, bir siber saldırıya uğradı ve yaklaşık 120.000 ETH kaybetti, değeri 3.26 milyar dolardı.

Saldırının nedeni, Solana tarafındaki Wormhole ana sözleşmesinin imza doğrulama kodunda bulunan bir hatadır; bu hata, saldırganların whETH basmak için gözlemci mesajlarını sahte olarak oluşturmasına olanak tanımaktadır. Olayın ardından, Jump Crypto hızlı bir şekilde Wormhole'a 120.000 ETH enjekte ederek tüm kayıpları telafi etti ve Wormhole'un yeniden faaliyet göstermesini sağladı.

8. EvoDeFi: Tahmini kayıplar on milyonlarca dolar, henüz işlenmedi.

2022 Haziran ayında, Oasis ekosistemindeki DEX ValleySwap'ta USDT'de ciddi bir devalüasyon durumu meydana geldi. Kesin kayıp miktarı bilinmemekle birlikte, on milyonlarca dolar seviyesinde olduğu tahmin ediliyor.

Sorunun kaynağı, ValleySwap'ın kullandığı cross-chain köprüleri EVODeFi'nin kaynak zincirindeki likidite eksikliğidir. EVODeFi, FUD nedeniyle paniğin tetiklendiğini iddia ediyor, ancak bu açıklama ikna edici değil. Oasis yetkilileri ise ValleySwap ve EvoDeFi ile hiçbir bağlantılarının olmadığını vurgulayarak, EvoDeFi'nin yüksek riskli, denetlenmemiş ve açık kaynak olmayan bir proje olduğunu belirtiyor.

Şu ana kadar, kullanıcı kayıpları için herhangi bir çözüm bulunamadı, ilgili tarafların daha fazla iletişim kurmayı durdurmuş gibi görünüyor.

9. Horizon: Yaklaşık 100 milyon dolar kayıp, tazminat planı hâlâ hazırlanıyor

2022年6月24日，Harmony resmi cross-chain köprüleri Horizon saldırıya uğradı ve yaklaşık 100 milyon dolar kayba neden oldu.

Harmony kurucusu Stephen Tse, saldırının "özel anahtar sızıntısı" nedeniyle gerçekleşmiş olabileceğini kabul etti. Çalınan fonlar birden fazla ağ ve çeşitli kripto para birimlerini kapsıyor. Olaydan sonra, Horizon çoklu imza eşiğini artırdı, ancak bu önlem, yaşanan kayıpları telafi edemedi.

Harmony, kullanıcı kayıplarını aşamalı olarak telafi etmek için 3 yıl içinde ONE token'ların artırılması önerisini sunmuştu, ancak bu öneri topluluk tarafından oybirliğiyle kabul edilmedi. Şu anda, ekip tazminat planını yeniden hazırlıyor.

10. Nomad: 190 milyon dolar etkilendi, işlem devam ediyor

2022'nin Ağustos ayının başında, Nomad cross-chain köprüleri büyük bir güvenlik kazası yaşadı ve 190 milyon dolarlık likidite hızla kayboldu. Bu olay ayrıca başka bir Layer2 birlikte çalışabilirlik protokolü olan Connext'i dolaylı olarak etkiledi ve yaklaşık 3.34 milyon dolarlık bir yan etki meydana getirdi.

Uzmanların analizine göre, bu kazanın kaynağı Nomad'ın bir sözleşme yükseltmesinde güvenilir kökü 0x00 olarak başlatmasıdır; bu da herhangi birinin geçerli işlemleri kullanarak adresi değiştirmesine ve fonları çekmesine olanak tanımaktadır.

Saldırı, toplam miktarın %38'ini oluşturan ENS adresleri ile birlikte 1251 ETH adresini içeriyor. Şu anda, proje ekibi net bir tazminat planı sunmadı, ancak bazı beyaz şapkalı hackerlar fonları geri vermeye istekli olduklarını belirtti.

Sonuç

Cross chain köprüleri güvenlik kazalarının sıkça meydana gelmesi, sektörde yüksek bir dikkate değer olmalıdır. Hatta Multichain, Portal (Wormhole) ve Poly Network gibi likidite sıralamasında ilk üçte yer alan köprüler bile güvenlik sorunlarıyla karşılaşmıştır. Bu, cross-chain alanında hâlâ yüksek risklerin mevcut olduğunu göstermektedir; herhangi bir projede tekrar güvenlik açığı ortaya çıkma olasılığı bulunmaktadır.

Geçmiş vakalardan görüldüğü üzere, güçlü bir arka plana ve finansal güce sahip olan cross-chain köprüleri projeleri, güvenlik kazalarıyla karşılaştıklarında genellikle varlıkları daha etkili bir şekilde geri alabilir veya kullanıcılara tazminat sağlayabilir. Örneğin, Poly Network, Ronin Network ve Wormhole, büyük miktarda fonun çalınması olaylarının ardından ya fonları geri bulmuş ya da tam tazminat sağlamıştır.

Ayrıca, ekibin gerçek zamanlı izleme ve hızlı yanıt verme yeteneği de son derece önemlidir. Hop Protocol ve StarGate gibi projeler, şüpheli faaliyet raporu aldıklarında hızla harekete geçerek potansiyel saldırıları etkili bir şekilde engelleyebilmiştir.