Beyaz hacker, 10 yıl sonra hatalı ICO sözleşmesinden 2 milyon dolarlık Ethereum(ETH) kurtardı

‘Hatalı’ ICO akıllı sözleşmesi, 10 yıl sonra 2 milyon dolarlık Ethereum(ETH) iade etti

Kimliği bilinmeyen bir ‘beyaz hacker’, neredeyse 10 yıldır kilitli kalan yaklaşık 1.003 adet Ethereum(ETH) varlığını kurtararak başarısız bir ilk coin arzı(ICO) yatırımcılarına geri gönderdi. Akıllı sözleşmenin iade fonksiyonundaki gizli bir hatadan yararlanılarak gerçekleştirilen bu işlem, yıllardır ‘kilitli kalan fonlar’ sorununa yeniden dikkat çekiyor.

Beyaz hacker ‘0xflorent’, 3’ünde (yerel saatle) X üzerinden yaptığı açıklamada Hong Coin(HONG) ICO’suna katılan 48 yatırımcıya ait dondurulmuş yaklaşık 1.003 ETH’yi kurtardığını duyurdu. Bu tutar, güncel piyasa fiyatına göre yaklaşık 2 milyon dolar, Türk lirası karşılığıyla yaklaşık 30 milyar 316 milyon lira seviyesinde. ‘Ethereum(ETH)’ ve ‘beyaz hacker’ kavramları bu olayla birlikte yeniden kripto tartışmalarının merkezine oturdu.

Hong Coin, 2016’da tanıtılan ve topluluk üyelerinin birlikte yatırım kararları aldığı ‘dağıtık girişim sermayesi’ fikriyle öne çıkan bir projeydi. Ancak hedeflenen fon toplama miktarına ulaşılamayınca proje fiilen hayata geçemedi ve yatırımcıların yatırdıkları ETH’yi geri almaları gerekiyordu. Sorun, akıllı sözleşmedeki iade fonksiyonunda ortaya çıkan bir ‘bug’ nedeniyle bu fonların sözleşme içinde kilitli kalmasıyla başladı. ‘Akıllı sözleşme hatası’ bu olayda temel risk unsuru haline geldi.

0xflorent, Hong Coin geliştiricileriyle birlikte çalışarak bu fonları kurtarmanın yolunu bulduklarını anlattı. Sürecin merkezinde, yönetici (admin) fonksiyonları içinde gizlenmiş bir ‘integer overflow’ (tamsayı taşması) zafiyeti yer alıyordu. Belirli parametrelerle bu fonksiyon çağrıldığında, ilgili hesapların bakiyesi sıfırlanıyor ve böylece daha önce kilitli durumda olan iade koşulları devre dışı kalıyordu. Sonuç olarak, kilitli ETH’lerin yeniden hareket ettirilmesi mümkün hale geldi. ‘Zafiyet avcılığı’ ve proje ekibiyle ‘iş birliği’ bu kurtarma operasyonunun anahtarı oldu.

Etherscan verilerine göre, yatırımcılardan biri şimdiden 96 ETH’yi geri aldı; bu miktar güncel kurla yaklaşık 192.500 dolar ediyor. Bir başka yatırımcı ise 0,5 ETH iadesi aldı. Böylece yıllar önce başarısız olmuş bir ICO’nun akıllı sözleşmesinde kalan ‘artık fonlar’ peyderpey sisteme geri dönmeye başladı. Bu durum bir yandan geçmişteki bir mağduriyeti giderirken, diğer yandan erken dönem Ethereum(ETH) tabanlı akıllı sözleşmelerin ne kadar kırılgan olduğuna da işaret ediyor.

Bu örnek, zincir üzerindeki ‘Ethereum(ETH) fonları’ ilk bakışta kalıcı olarak kilitlenmiş görünse bile, kod kaynaklı bir açık ve proje ekibiyle kurulan güçlü bir koordinasyon sayesinde belirli durumlarda kurtarılabileceğini kanıtlıyor. Ancak ‘yorum’ bu tür kurtarma senaryolarının oldukça istisnai olduğu ve her projede tekrarlanamayacağı gerçeğini değiştirmiyor ‘yorum’. Pek çok eski ICO sözleşmesinde benzer hataların veya erişim sorunlarının hala çözülmemiş olması, hem geliştiriciler hem de yatırımcılar açısından devam eden ciddi bir ‘teknik risk’ oluşturuyor. Bu nedenle, özellikle eski akıllı sözleşmelerdeki ‘Ethereum(ETH)’ varlıkları için güvenlik analizlerinin ve denetimlerin öneminin arttığı belirtiliyor.