Resupply saldırısı: DeFi protokolü 9,5 milyon dolar kaybetti

Merkeziyetsiz stabilcoin protokolü Resupply, yaşadığı bir saldırı sonucunda yaklaşık 9,5 milyon dolar (yaklaşık 132 milyar Kore wonu) zarara uğradı. Convex Finance ve Yearn Finance gibi önemli DeFi projeleriyle bağlantılı olan protokolün bu durumu, daha geniş çaplı etkilere yol açabilir.

Saldırı, düşük likiditeye sahip bir piyasada kur hesaplama mekanizmasındaki bir açığın hedef alınmasıyla gerçekleşti. 24’ünde (yerel saatle), güvenlik şirketleri BlockSec'in Phalcon ekibi ve CertiK tarafından yapılan açıklamaya göre, saldırganlar cvcrvUSD adlı token’ın piyasa fiyatını yapay biçimde şişirip, akıllı sözleşmedeki ‘kesirli bölme’ (floor division) hatasından faydalanarak neredeyse sıfır fiyatla büyük miktarda stabilcoin borç aldı.

Saldırganların, Morpho platformu üzerinden 4.000 USDC (yaklaşık 5.500 dolar) *flash loan* ile işlemi başlattığı tespit edildi. Manipüle edilen döviz kuru değerine dayanarak, herhangi bir teminat göstermeden yaklaşık 10 milyon dolar (139 milyar won) değerinde reUSD token borçlandılar. Daha sonra bu tokenları Curve ve Uniswap üzerinde USDC ve Ethereum(ETH) tabanlı WETH ile değiştirerek toplamda yaklaşık 9,5 milyon dolarlık net kâr sağladılar.

PeckShield’in aktardığına göre saldırganlar, kimliklerini gizlemek amacıyla CowSwap üzerinden 2 Ethereum(ETH) gönderip bunları gizlilik odaklı Tornado Cash’e yönlendirdi. Ardından saldırı sözleşmesine sermaye aktarımı yaparak sistemdeki güvenlik açığını kullanıp 1.581 ETH çaldılar.

CertiK’in verilerine göre, saldırgan zarar tutarından 5,56 milyon doları bir adrese, 4 milyon doları ise başka bir adrese aktararak fonları dağıttı. Resupply, olay sonrası X (eski Twitter) üzerinden saldırıyı doğrulayarak ilgili piyasayı geçici olarak durdurduğunu ve birkaç gün içinde iç soruşturmanın sonuçlarını açıklayacağını bildirdi.

Bu saldırı, İran merkezli borsa Nobitex’teki yaklaşık 49 milyon dolarlık olay ve Sui ağı üzerindeki DeFi protokolü Cetus’un uğradığı 223 milyon dolarlık kaybın ardından gelerek, benzer saldırıların sürdüğüne işaret ediyor. Cetus, saldırının hemen ardından bazı fonları dondurmayı başarsa da saldırgan yaklaşık 60 milyon dolarlık kripto varlığı Ethereum ağına taşıyarak borsa güvenliğini aşmayı başardı.

Diğer yandan, kripto alanındaki saldırılar artık yalnızca borsalarla sınırlı kalmıyor. Eski Binance CEO’su Zhao Changpeng, güncel bir açıklamasında, önde gelen kripto veri sitelerinin kimlik avı (phishing) saldırılarında kullanıldığını belirtmişti. CoinMarketCap ve Cointelegraph gibi platformlarda izinsiz açılan cüzdan talebi pencerelerinin kullanıcıların varlıklarını tehdit ettiğini vurguladı.

Yorum: Resupply’a yapılan bu saldırı, yalnızca teknik bir hata olmaktan öte, DeFi sistemlerindeki düşük likidite ve akıllı sözleşme tasarımlarındaki zayıflıkların ortak etkisinin bir sonucu. Bu olay, stabilcoin protokollerinde akıllı sözleşme güvenliğinin yeniden masaya yatırılması gerektiğini net biçimde gösteriyor.