Sözleşme Açığından Yararlanan Hacker, 7,8 Milyon Dolar Değerinde rsETH Çaldı

Salı günü sabahın erken saatlerinde gerçekleştirilen bir siber saldırıda, Ethereum ağı üzerinde faaliyet gösteren bir Gnosis Safe cüzdanından yaklaşık 2.900 rsETH, yani yaklaşık 7,8 milyon dolar değerinde dijital varlık çalındı. Yapılan incelemelere göre saldırının kaynağı, Gnosis Safe’in temel altyapısı değil; cüzdan sahibinin otomatik işlemler için yetki verdiği bir yardımcı sözleşmedeki kodlama hatasıydı.

Saldırı Nasıl Gerçekleşti?

Saldırgan, cüzdan sahibinin güvendiği yardımcı sözleşmedeki açıktan yararlanarak varlıkları ele geçirdi. Bu sözleşmenin, işlem yapan tarafın kimliğini doğrulaması gerekiyordu; ancak güvenlik firmalarının tespitlerine göre doğrulama mekanizması, hedef olarak yardımcı sözleşmenin kendisini gösteren her türlü çağrıyı onaylıyordu. Bu kritik hata, saldırganın sistemi manipüle etmesine zemin hazırladı.

Saldırı süreci yalnızca bununla da sınırlı kalmadı. “Yoink” adıyla bilinen otomatik bir ticaret botu, işlemi halka açık işlem havuzunda fark ederek yaklaşık 47.000 dolar önceliklendirme ücreti ödedi ve tokenlara el koydu. Saldırgan ise çaldığı rsETH’leri, saldırıdan yalnızca dakikalar önce oluşturulmuş ve “Permissionless Attacker Token” adlı değersiz bir token etrafında kurulmuş bir likidite havuzuna aktardı. Bu işlemin ardından mağdur cüzdanda yalnızca değersiz bir makbuz kaldı.

Güvenlik Firmaları Açığın Kaynağını Tespit Etti

SlowMist, BlockSec ve Blockaid gibi önde gelen blockchain güvenlik şirketleri olayı ayrıntılı biçimde inceledi. Tüm firmalar, açığın Gnosis Safe’in çekirdek sözleşmelerinde değil, kullanıcının bizzat yetkilendirdiği bir yardımcı bileşende bulunduğu konusunda hemfikir oldu.

AstraSec ise konuya ilişkin yaptığı açıklamada şu ifadeyi kullandı:

• Asıl neden: Multicall sözleşmesindeki kusurlu yetkilendirme kontrol mekanizmasıydı.
• Sorun, Safe’in ana sözleşmelerinde değil, kullanıcının güvenmeyi tercih ettiği ek bir bileşende ortaya çıktı.
• Otomatik ticaret yapan kullanıcılar için bu tür yardımcı sözleşmeler yaygın bir uygulama olmakla birlikte ciddi riskler barındırabilmektedir.

Kelp DAO Şüpheli Adresi Dondurdu

Çalınan rsETH tokenlarının ihraççısı konumundaki Kelp DAO, kendi sözleşmelerinin bu saldırıdan etkilenmediğini ve rsETH’nin tam teminatlı olmayı sürdürdüğünü kamuoyuyla paylaştı. Şirket, saldırıyla bağlantılı olduğu değerlendirilen adreste şüpheli hareketlilik tespit ettiğini doğrulayarak söz konusu adresi geçici 24 saatlik bir durdurma kararıyla askıya aldı.

Kelp DAO’nun açıklamasına göre bu süre boyunca ilgili adrese rsETH giriş ve çıkışı tamamen engellendi. Öte yandan saldırıyı önceliklendiren “Yoink” botunun ele geçirdiği tokenların büyük bölümü, yaklaşık 2.882 rsETH, farklı bir adrese transfer edildi.

Bu olay, DeFi ekosisteminde yardımcı sözleşmelere verilen yetkilerin ne denli dikkatli değerlendirilmesi gerektiğini bir kez daha gözler önüne serdi. Kullanıcıların otomatik işlem araçlarını yapılandırırken sözleşme güvenlik denetimlerine önem vermesi büyük önem taşımaktadır.