GMX'e 42 Milyon Dolarlık Saldırı: Çalınan Varlıklar Ethereum(ETH)’a Çevrildi

Dağıtık türev işlemleri platformu GMX’te yaşanan ve büyük yankı uyandıran siber saldırının ardından saldırganın, ele geçirdiği toplamda yaklaşık 42 milyon dolar (yaklaşık 584 milyar Kore wonu) değerindeki kripto varlıkların büyük bir bölümünü Ethereum(ETH)’a dönüştürdüğü ortaya çıktı. 9’unda yayımlanan zincir üstü verilere göre blockchain analiz platformu Lookonchain, saldırganın şu ana kadar yaklaşık 11.700 ETH (yaklaşık 491 milyar won) topladığını ve bu varlıkları dört farklı yeni cüzdana aktardığını duyurdu.

Söz konusu siber saldırı, 9 Temmuz’da GMX’in Arbitrum ağı üzerinde çalışan GMX V1 sürümündeki *GLP (GMX Liquidity Provider)* adlı ana likidite havuzunu hedef aldı. Saldırgan, GMX’in varlık fiyatlarını hesaplama sisteminde bulunan bir açıktan yararlanarak, *‘re-entrancy attack’* adı verilen yeniden girişe dayalı saldırı yöntemini kullandı. Bu yöntemle token fiyatlarını manipüle eden saldırgan, milyonlarca dolarlık varlığı platformdan çekmeyi başardı.

Elde edilen verilere göre, çalınan varlıklar arasında başlıca şu kripto paralar yer aldı: yaklaşık 10 milyon dolar (139 milyar won) değerinde *Frax USD (FRAX)*, 9,6 milyon dolar (133 milyar won) değerinde *sarılmış Bitcoin(wBTC)* ve yaklaşık 5 milyon dolar (70 milyar won) değerinde *DAI stablecoin*.

Saldırının hemen ardından GMX, Arbitrum ağı üzerindeki GMX V1 platformunun GLP token ihraç ve geri ödeme işlemlerini geçici olarak durdurdu. GMX ekibi, bu olayın yalnızca GMX V1’i etkilediğini, *GMX V2 ile platformun yerel tokeni olan GMX’in doğrudan etkilenmediğini* özellikle vurguladı. Şirket ayrıca kullanıcılarına kaldıraç işlemlerini devre dışı bırakmaları ve işlem ayarlarını gözden geçirmeleri yönünde çağrıda bulundu.

Blockchain güvenlik firması SlowMist, saldırının temel nedeninin GMX V1’in teknik altyapısında bulunduğunu açıkladı. Şirketin analizine göre, saldırgan, akıllı sözleşmenin tutulan varlıkları nasıl hesapladığını manipüle ederek tek işlemde yüksek miktarlı bir ‘short’ pozisyon açtı ve bu şekilde GLP havuzunun fiyat göstergesini bozdu. SlowMist, “Akıllıca yazılmış fonksiyon çağrıları, sözleşmenin bakiyeleri yanlış hesaplamasını sağladı” yorumunu yaptı.

GMX, saldırgana bir beyaz şapkalı hacker anlaşması önererek, çalınan varlıkların %90’ını 48 saat içinde iade etmesi durumunda herhangi bir yasal işlem başlatılmayacağını duyurdu. Anlaşma teklifi kapsamında saldırgana 4,2 milyon dolar (58 milyar won) tutarında ödül önerildi. Ancak şu ana kadar *saldırgandan herhangi bir yanıt gelmedi.*

Bu olay, *2025 yılının ikinci çeyreğinde blockchain sektörünün karşı karşıya kaldığı güvenlik açıklarının* ne denli ciddi boyutlara ulaştığını gösteren çarpıcı örneklerden biri oldu. Güvenlik şirketi CertiK’in verilerine göre, bu dönemde blockchain alanında meydana gelen 144 adet hack ve dolandırıcılık olayında toplamda yaklaşık 801 milyon dolar (1 trilyon 133 milyar won) değerinde varlık kaybı yaşandı. Bu meblağın 395 milyon doları (yaklaşık 549 milyar won) *phishing* saldırıları kaynaklıydı. Akıllı sözleşme açıklarından doğan zarar ise 235,8 milyon dolara (yaklaşık 328 milyar won) ulaştı.

Yaşanan bu büyük ölçekli siber saldırı, *merkeziyetsiz finans(DeFi)* projelerinin kod güvenliği ve platform dayanıklılığı açısından daha güçlü hale getirilmesi gerektiğini tekrar hatırlatıyor. *yorum*