20 dakikada 100 kat: Tectonic'te 75 milyon dolarlık kredi istismarı

Kripto para dünyasında fiyat manipülasyonuyla yapılan saldırılar bu yıl rekor seviyeye ulaştı. Saldırganlar, işlem hacmi düşük tokenların fiyatını kısa sürede yapay olarak yükseltip bunu teminat göstererek borç para çekiyor.

TRM Labs, 31'inde yayımladığı raporda, Cronos(CRO) tabanlı borç verme protokolü Tectonic'te 30'unda (yerel saatle) yaklaşık 75 milyon dolarlık bir istismar yaşandığını açıkladı. Rapora göre saldırgan, Tectonic'in düşük likiditeye sahip yönetişim tokeni TONIC(TONIC)'in fiyatını yaklaşık 20 dakika içinde 100 kat artırdı ve şişirilmiş teminat değerini kullanarak protokolden borç aldı.

Saldırı, akıllı sözleşme kodunu doğrudan hedef almadı; bunun yerine fiyatlandırma mekanizmasındaki zayıflığı kullandı. Borç verme protokolleri, teminat olarak gösterilen varlığın piyasa fiyatına göre ne kadar borç verilebileceğini hesaplıyor. İşlem hacmi düşük bir tokenın fiyatı kısa sürede büyük ölçüde değiştiğinde, teminat değeri gerçek likiditenin çok üzerinde görünebiliyor.

TRM Labs, saldırıdan önceki bir haftalık TONIC işlem hacminin yaklaşık 305 bin dolar olduğunu belirtti. Saldırganın bu tokeni teminat göstererek çektiği borç miktarı ise 75 milyon dolara ulaştı; bu da haftalık işlem hacminin 245 katına denk geliyor.

Cronos doğrulayıcıları, saldırının hemen ardından blok üretimini durdurdu. TRM Labs, Cronos ağındaki son bloğun 90907150 numaralı blok olduğunu ve bu bloğun Kore saatiyle 30 Ağustos günü 23.32.47'de üretildiğini doğruladı.

Doğrulayıcılar daha sonra zinciri saldırı öncesi duruma geri sardı ve Cronos üzerinde kalan yaklaşık 68,7 milyon doları geri kazandırdı. Ancak yaklaşık 6 milyon dolar, USD Coin(USDC) üzerinden Ethereum(ETH) ağına aktarılmış olduğundan geri sarma işleminin kapsamı dışında kaldı.

Zincir geri sarma, blok zinciri kayıtlarının belirli bir zaman öncesine döndürülmesi anlamına geliyor. Merkeziyetsizliği ve işlem kesinliğini önceleyen blok zincirlerinde istisnai bir müdahale olarak görülse de, büyük çaplı zararlarda doğrulayıcı konsensüsüyle zaman zaman başvurulan bir yöntem.

Fiyat manipülasyonuna dayalı istismarlar, teminat gösterilen tokenın piyasa fiyatı ile gerçekte satılabilir likiditesi arasındaki farktan besleniyor. Borç verme protokolleri genellikle oracle veya borsa fiyatlarını referans alarak teminat değerini hesapladığından, likiditesi ince olan varlıklarda bu değer kısa sürede olduğundan yüksek görünebiliyor.

Bu olay, Cronos ağının Tectonic saldırısının ardından geçici olarak durdurulmasına neden olan gelişmenin devamı niteliğinde. O sırada zarar tutarı yaklaşık 75 milyon dolar olarak tahmin edilmiş, saldırganın TONIC fiyatını yaklaşık 20 dakikada 100 kat yükselttiğine dair bulgular paylaşılmıştı.

TRM Labs'in yeni raporu, zincir geri sarma sürecini ve Ethereum'a aktarılan miktarı somutlaştırdı. Saldırıyı gerçekleştiren kişi ya da grup henüz belirlenmedi; TRM Labs, mevcut kanıtların belirli bir yapıya isim vermeye yetecek düzeyde olmadığını belirtti.

TRM Labs, bu yıl içinde 32 fiyat manipülasyonu tabanlı istismar kaydettiğini açıkladı. Bu sayı, söz konusu saldırı türü için şimdiye kadarki en yüksek seviye. Rapora göre tüm kripto para hack olaylarının yüzde 12,5'ini fiyat manipülasyonu tipi saldırılar oluşturuyor.

TRM Labs Politika Direktörü Ari Redbord(Ari Redbord), "Bu tür olaylar 2022'de sadece 1 kez yaşanmıştı, bu yıl ise şimdiden 32'ye ulaştı" dedi ve "tüm kripto hack olaylarının yüzde 12,5'i piyasa manipülasyonu kaynaklı güvenlik açıklarından kaynaklanıyor" diye ekledi. Bu açıklama, güvenlik denetimlerinin artık yalnızca kod açıklarıyla sınırlı kalmadığını, teminat varlıklarının likiditesinin ve fiyatlandırma yönteminin de denetim kapsamına girdiğini gösteriyor.

TRM Labs verilerine göre bu yılın ilk yarısında kripto para hack olaylarının 207 vakayla rekor seviyeye çıktığı bir dönemde, saldırı biçimleri de kod açıklarından ve altyapı saldırılarından piyasa yapısını hedef alan yöntemlere doğru genişliyor. Borç verme protokolleri açısından teminat kabul kriterleri, oracle fiyatlarının nasıl yansıtıldığı ve acil durdurma prosedürleri, zarar büyüklüğünü belirleyen temel unsurlar haline geldi.

Likiditesi düşük tokenları teminat olarak kullanan DeFi hizmetlerindeki bu tür yapısal riskler yatırımcılar için de doğrudan önem taşıyor. Bir tokenın fiyatı ekranda hızla yükselse bile, gerçek işlem hacmi yeterli değilse teminat değeri ile gerçekte geri alınabilecek tutar arasında büyük fark oluşabiliyor.