610 milyon dolarlık Poly Network hackinde tüm fonlar 16 günde geri alındı

Poly Network, 2021'de çapraz zincir köprüsüne yönelik saldırıda kaybettiği 610 milyon doların üzerindeki kripto varlığı yaklaşık 16 günde eksiksiz geri kazandı. Saldırgan, fonları hareket ettirmeye başladıktan sonraki 24 saat içinde iade sürecini başlattı; Tether(USDT)'ın dondurduğu USDT tutarı da kurtarma sürecinde belirleyici oldu.

Olay, 10 Ağustos 2021'de Ethereum(ETH), BNB Smart Chain (eski adıyla Binance Smart Chain) ve Polygon ağlarında eş zamanlı yaşandı. Poly Network zararı '610 milyon doların üzerinde' diye açıklarken, blok zinciri analiz şirketi Chainalysis tutarı 612 milyon dolar olarak hesapladı. Bazı haberlerde ise rakam 611 milyon ile 613 milyon dolar arasında değişen şekilde aktarıldı.

Saldırganın, çapraz zincir akıllı sözleşmelerindeki yetki doğrulama sürecindeki açığı kullandığı belirlendi. 'executeCrossChainTx' işlem akışı üzerinden varlık yönetim sözleşmesinin 'keeper' yetkisini değiştirdiği, ardından fonları başka adreslere aktardığı tespit edildi.

Saldırıya konu olan varlıklar arasında Ethereum(ETH), Wrapped Bitcoin(WBTC), USD Coin(USDC) ve Tether(USDT) yer aldı. Farklı blok zincirleri arasındaki işlemleri birbirine bağlayan köprü sözleşmesinin aynı anda birden fazla varlığı ve yetkiyi yönetmesi, kaybın büyüklüğünü artıran etken olarak değerlendirildi.

Olay, alışılmış fon hırsızlığı vakalarından farklı olarak saldırgan ile proje ekibi arasında açık bir diyaloğa dönüştü. Saldırgan zincir üzerinde mesaj bırakarak fonları iade etme niyetini açıkladı; Poly Network de varlıkların gönderileceği adresleri ve çoklu imza (multisig) cüzdan üzerinden yürütülecek kurtarma sürecini paylaştı.

Blok zinciri analiz şirketi Elliptic'e göre saldırgan, iade niyetini açıkladıktan sonra Ethereum dahil üç ayrı blok zincirinde belirlenen adreslere varlık göndermeye başladı. Şirket, zincir üzerindeki işlem kayıtlarının ve topluluğun anlık takibinin fon hareketini sınırlamada etkili olduğunu belirtti.

İlk iadelerin başlamasının ardından da varlıkların tamamı kullanıcılara hemen dönmedi. 12 Ağustos 2021 itibarıyla yaklaşık 342 milyon dolar geri kazanılırken, 268 milyon dolar tutarındaki kısım henüz iade edilmemişti.

Varlıkların bir bölümü, saldırgan ile Poly Network'ün birlikte yönettiği çoklu imza cüzdanda kilitli kaldı. Çoklu imza cüzdanlarda fon hareketi için birden fazla anahtar sahibinin onayı gerektiğinden, tek bir tarafın varlıkları anında elden çıkarması mümkün olmuyor.

Poly Network, 23 Ağustos'ta saldırganın elinde kalan 28.953 ETH ve 1.032 WBTC'yi geri almak için gereken anahtarları paylaştığını duyurdu. Şirket bu adımla saldırı sırasında kullanıcılardan çıkan tüm varlıkların geri kazanıldığını açıkladı.

Tether, 25 Ağustos'ta dondurduğu 33.431.200 USDT'yi Poly Network'ün belirlediği çoklu imza cüzdana gönderdi. Poly Network ertesi gün varlık kurtarma sürecinin tamamlandığını duyurdu.

Vaka, çapraz zincir köprülerinin yalnızca varlık transfer kanalı olmadığını, aynı zamanda zincirler arası mesaj doğrulama ve yetki devrini birlikte işlediğini bir kez daha gösterdi. Bu da güvenlik kapsamının yalnızca sözleşme koduyla sınırlı kalmayıp anahtar yönetimi, çoklu imza operasyonları ve acil müdahale süreçlerini de içermesi gerektiği anlamına geliyor.

Tether'ın attığı adım, stablecoin ihraççılarının elindeki merkezi kontrol yetkisinin varlık kurtarma sürecinde belirleyici bir değişken olabileceğini gösterdi. Zincir üzerindeki işlemler herkese açık olsa da, dondurulan USDT, Tether tarafından belirlenen cüzdana aktarılana kadar saldırgan tarafından doğrudan kullanılamadı.

Saldırganın kimliği ve iade motivasyonu sonuçta netleşmedi. Bazı takip sonuçları Monero(XMR) ve belirli bir borsayla bağlantı ihtimalini gündeme getirse de, hesap kaydı ve fon akışına ilişkin karşı görüşler de dile getirildi.

Poly Network, olayın ardından güvenlik denetimi, ana ağ yükseltmesi ve hata ödül (bug bounty) programı başlattı. Toplam 500 bin dolarlık ödül programının yanı sıra saldırgana 160 ETH ve baş güvenlik danışmanlığı teklifi de gündeme geldi.

Sonraki dönemde de çapraz zincir köprülerindeki güvenlik açıkları tekrar tekrar gündeme gelmeye devam etti.