DeFi köprülerine aynı gün 3 saldırı: AFX, BSquared ve VerusCoin’den toplam 3,56 milyon dolar buhar oldu

Kripto varlık köprülerine yönelik 3 farklı platformda aynı gün içinde peş peşe saldırı düzenlendi ve toplamda 3,560 milyon dolar, yani yaklaşık 525 milyar won tutarında zarar oluştu. ‘AFX Trade’, ‘BSquared’ ve ‘VerusCoin’ köprülerinin art arda hedef alınması, ‘DeFi’ ekosistemindeki ‘köprü güvenliği’ tartışmalarını yeniden alevlendirdi.

Blockchain güvenlik şirketi ‘Blockaid’e göre en büyük kayıp, Arbitrum(ARB) üzerinde çalışan ‘AFX’ köprüsünde yaşandı. Saldırgan, köprüden 2,415 milyon USDC çekerek yaklaşık 2,420 milyon dolar zarara yol açtı. Bu köprü, 7 doğrulayıcıdan 5’inin imzasıyla para çekimine onay veren bir yapıya sahipti. Güvenlik uzmanları, saldırının ‘doğrulayıcı anahtarlarının’ ya da köprünün ‘arka uç(back-end) sistemlerinin’ ele geçirilmesiyle gerçekleşmiş olabileceği görüşünde. Saldırgan, çaldığı USDC’leri kısa süre içinde Arbitrum’dan Ethereum(ETH) ağına taşıdı. AFX ekibi, Arbitrum geliştiricileri ve güvenlik firmalarıyla birlikte olayın nedenlerini araştırdığını ve ‘çalınan fonların izini sürdüklerini’ açıkladı.

İkinci saldırı ise ‘BSquared’ ağını hedef aldı. Saldırgan, 8,59 milyon adet B2 token’ı ele geçirerek piyasa fiyatına göre yaklaşık 3,86 milyon dolar zarar oluşturdu. Çalınan B2 token’ları hızla 5.409 BNB’ye dönüştürüldü ve saldırgan yaklaşık 3,01 milyon dolar değerinde BNB elde etti. Ardından bu varlıklar Ethereum(ETH) ve USDT’ye çevrildi; sonrasında NEAR Protocol(NEAR) tabanlı bir ‘intent’ altyapısı ve HOT protokolü üzerinden farklı adreslere dağıtıldı. Bu karmaşık ‘para aklama’ süreci, fonların izlenmesini daha da zorlaştırdı. Güvenlik ekipleri, bağlantılı cüzdanları hâlâ yakından takip ettiklerini bildiriyor.

Üçüncü olay ise VerusCoin Ethereum köprüsünde meydana geldi. Bu saldırıda Ethereum(ETH), tokenleştirilmiş Bitcoin(tBTC), USDC, USDT, DAI gibi çeşitli dijital varlıklar hedef alınarak toplam 7,54 milyon dolar tutarında fon sistem dışına çıkarıldı. Güvenlik şirketi ‘SlowMist’, bu saldırıda kullanılan yöntemin, bu yıl 1 Mayıs’ta gerçekleşen ve 11,5 milyon dolar kayba yol açan önceki VerusCoin saldırısıyla aynı ‘import path’ sözleşme açığından yararlandığını belirtti. Köprünün, ‘gerçek teminatı doğrulamadan varlık çıkışına’ izin veren kusurlu yapısı ‘teminatsız ödeme’ şeklinde istismar edilince kayıplar büyüdü. Saldırgan, ele geçirdiği varlıkları 3.916 ETH’ye dönüştürdü ve daha sonra bu coin’leri ‘Tornado Cash’ üzerinden parçalara ayırarak gönderdi. Bu adım, fonların geri alınma olasılığını önemli ölçüde düşürdü.

Bu zincirleme vakalar, ‘köprü güvenliği’nin DeFi dünyasının en zayıf halkası olmaya devam ettiğini ortaya koyuyor. Aynı gün içinde, farklı mimarilere sahip üç köprüye yönelik saldırı yaşanması, sorunun basit bir ‘akıllı sözleşme hatası’nı aştığını; ‘doğrulama süreçleri’, ‘anahtar yönetimi’ ve ‘işletim güvenliği’ dahil tüm yapının yeniden gözden geçirilmesi gerektiğini gösteriyor. Özellikle çalınan varlıkların zincirler arası çok hızlı hareket ettirilmesi ve ‘mixing’ servislerine yönlendirilmesiyle, ‘iz sürme’ süreçleri giderek zorlaşıyor. DeFi ekosistemi büyüdükçe, ‘köprü güvenliğini güçlendirmek’ artık bir tercih değil, tüm sektör için zorunlu bir gündem maddesi haline geliyor.