GalaChain'de 3 milyon dolarlık varlık hırsızlığı: 74 başarısız işlem imzası yeniden kullanıldı

GalaChain'de yaklaşık 3 milyon dolar (yaklaşık 4,1 milyar won) değerinde varlık çalındı. GalaChain, saldırganın özel anahtarları ele geçirdiğine dair kanıt bulunmadığını, ancak başarısız işlemlerden 55 gün öncesine kadar toplanan 74 imzayı yeniden kullanarak 9 cüzdandaki varlıkları çektiğini açıkladı.

GalaChain, 14 Eylül'de yayımladığı olay sonrası analiz raporunda yaklaşık 2 milyar GALA ve yaklaşık 37 farklı tokenın dışarı aktarıldığını bildirdi. En büyük tek işlemde 163,98 milyon GALA bir seferde çekildi.

Güvenlik açığı, başarısız işlemlerin işlenmesiyle imza doğrulama yönteminin birleşiminden kaynaklandı. İşlem başarısız olsa da imzalı işlem verileri herkese açık defterde kaldı. Ancak tekrar gönderimi önleyen benzersiz anahtar tüketilmediği için aynı imza yeniden sunulabildi.

İmza doğrulamasının kapsamı da sorunun bir parçasıydı. O dönemde kullanılan SDK, imza biçimini fiilen çağrılan işlemden çıkarmak yerine istekte yer alan biçim tanımını doğrulamada kullanıyordu. Saldırgan, bir işlem için imzalanmış verileri başka bir işlemde çalıştırarak imzada yer almayan alıcı adresi ve miktar gibi bilgileri ekleyebildi.

GalaChain, saldırganın 18 Ağustos'ta 1.066 işlem gönderdiğini ve işlemler arasındaki medyan aralığın 4,5 saniye olduğunu açıkladı. İşlemlerin yüzde 73,9'u tam olarak tek blok arayla işlendi.

İlk yetkisiz transfer 18 Ağustos saat 11.21.54'te Kore saatine göre gerçekleşti. GalaChain aynı gün saat 14.09.19'da köprüyü durdurdu ve saat 15.27'de düzeltmeleri yayımladı.

Saldırıda kullanılan işlemler geçerli imzalar içeriyordu. GalaChain, etkilenen cüzdanların özel anahtarlarının, seed ifadelerinin veya parolalarının çalındığına dair kanıt bulunmadığını açıkladı. Ancak bu değerlendirme şirket içi kayıtlara dayanan bir iddia ve ilgili belgelerin tamamı kamuoyuna açıklanmadı.

Olay, dış güvenlik incelemelerinden geçmiş kodlarda bile imza doğrulama kapsamıyla gerçek yürütme kapsamı farklı olduğunda sorun yaşanabileceğini gösterdi. GalaChain, Kasım-Aralık 2025'teki CertiK yetki incelemesi ile Ocak 2026'da Hashlock tarafından yapılan SDK incelemesinde bu sorunun tespit edilmediğini bildirdi.

Her iki güvenlik incelemesine ait denetim raporları yayımlanmadı. Bu nedenle incelemelerin kapsamı ve test düzeyi doğrulanamadı.

GalaChain daha sonra imza biçiminin doğrudan fiilen çağrılan işlemden çıkarılmasını sağladı. İmzaları işlem, kanal ve sözleşme bilgilerine bağladı, son kullanma süresi ekledi ve benzersiz anahtarın başarısız işlemlerde de korunmasını sağladı.

Benzersiz anahtar, aynı işlemin tekrar gönderilmesini önleyen bir mekanizmadır. Bu değerin başarısız işlemlerde de korunması, daha önce gönderilmiş taleplerin yeniden çalıştırılmasına dayanan saldırıları zorlaştırabilir.

GalaChain ayrıca yüksek bakiyeli hesaplarda anormal işlem takibi ve kimlik bazlı istek hızı sınırlaması başlattı. Belirli bir eşiği aşan köprü çekimlerinde manuel inceleme uygulanacak.

Bu önlemler otomatik saldırıları yavaşlatabilir. Ancak normal çekimlerin gecikmesi veya operatör değerlendirmelerine bağlı hatalı alarmlar oluşması ihtimali devam ediyor. Farklı blok zincirleri arasında varlık aktarımını sağlayan köprülerde çekim doğrulama ve işlem onay süreçleri saldırıların başlıca hedefleri arasında yer alabilir.

GalaChain, olayı FBI'ın İnternet Suçları Şikâyet Merkezi'ne bildirdi ve ilgili platformlardan varlıkların korunmasını ve dondurulmasını talep etti. Fonların izlenmesi ve soruşturma devam ederken, geri alınan miktar açıklanmadı.

Olayın temel noktası, özel anahtarların çalınıp çalınmadığından bağımsız olarak herkese açık defterde kalan başarısız işlemlerle imza doğrulamasındaki boşlukların birleşebilmiş olmasıdır. GalaChain, güncellenen SDK ve ek izleme sistemini uyguladıktan sonra fon takibini ve soruşturmayı sürdürecek.