Cross-chain merkezsiz finans (DeFi) protokolü, bir aydan kısa bir sürede ikinci güvenlik ihlalini yaşadı. Bu sefer saldırganlar milyonlarca dolarla kayıplara karıştı. Ancak saldırıdan kazançlı çıkanlar da var.
Yeni DeFi hack – THORChain’den milyonlar kayıp
Hackerler bu sefer DeFi alanında THORChain’e saldırdı. Benzer bir saldırı kısa süre önce de yaşanmıştı. Saldırganların 7,6 milyon dolar değerinde yaklaşık 4,000 ETH çaldıkları düşünülüyor.
Merkezsiz borsa protokolü THORChain, saldırıyı Twitter üzerinden duyurdu. Buna göre saldırgan, özel bir wrapper sözleşmesi kullanarak ETH Bitfrost’u kandırarak yüklü miktarda kripto parayla kaçmış. Proje, kayıp fonları ETH likidite sağlayıcılarına geri ödeme sözü veriyor.
THORChain geliştiricileri ilk önce saldırganların 13,000 ETH ile kaçtıklarını söylemişti. Ancak daha sonra bunu düzelterek kayıp miktarın 4,000 ETH olduğunu açıkladı. Ardından ağ araştırma için kapatıldı ve açığın da hızlıca düzeltilmesi için çalışma başlatıldı.
İlgili – ChainSwap 8 milyon dolarlık hack sonrası ne yapacağına karar verdi
THORChain (@THORChain) Twitter üzerinden şöyle diyor:
“Şu an yaklaşık 4000 ETH değerinde varlığın kayıp olduğunu (ETH/ERC20) tahmin ediyoruz. 13,000 ETH değil. Daha ayrıntılı değerlendirme ve düzeltme adımları yakında ilan edilecek.”
At this stage the estimate is around ~4000 ETH worth of assets (ETH/ERC20) was taken, not 13k ETH.
More detailed assessment and recovery steps will be announced soon.
The users who suffered (LPs) will be made whole in the coming weeks. https://t.co/LR2x8VZ2kx
— THORChain (@THORChain) July 15, 2021
İlk değerlendirmeye göre takım saldırının ETH Bitfrost üzerinden yapıldığın tespit etti. Bu uygulama kısa süre önce bir güncelleme görmüş ve sözleşmelerin “wrapped” işlemlerine izin verecek şekilde ayarlanmıştı. Geliştiriciler şöyle diyor:
“Saldırgan, daha sonra özel bir wrapper sözleşmesi kullanarak Bifrost’u kandırdı ama gerçekte sıfır ETH aktardı.”
Sonuç olarak takım bir yama çıkardı ve ağ da yeniden başlatıldı.
İlgili – Yeni DeFi hack saldırısından etkilenen token ve projeler
Kayıplar telafi edilecek
THORChain ekibi, Twitter üzerinden yaptığı açıklamada, zor günler içi ayrılan fonda yeterli para olduğunu da kayıp fonları telafi edeceklerini bildirdi. Buna rağmen saldırganlardan da fonları geri vermelerini istediler. Karşılığında ise “bug ödülü programı” çerçevesinde ödül sözü veriyorlar.
Node ve likidite sağlayıcıları kazançlı çıktı
Öyle görünüyor ki saldırı node (düğüm) ve likidite sağlayıcılarının işine yaradı. THORChain ekibi şöyle açıklıyor:
“Saldırganlar yüksek kaçış ücretleri ödedi. Node’lar 1.4 milyon dolar elde etti. ERC20 likidite sağlayıcıları (LP) ise ek 1.4 milyon dolar elde etti. Sadece ETH LP’ler etkilendi ve onlar da telafi edilecek. Bundan dolayı saldırıya rağmen düğümler, LP’ler ve Abers önemli ölçüde kazançlı çıktı.”
