Payy köprüsünden 1,92 milyon dolar çıktı: İlk analiz anahtar ihlalini reddetti

Payy'nin Ethereum(ETH) köprüsünden kullanıcı mevduatları iki işlemde yaklaşık 1,92 milyon dolar (yaklaşık 2,63 milyar won) değerinde çekildi. Payy, ilk analizinde olayın özel anahtar hırsızlığı veya sosyal mühendislik saldırısından kaynaklanmadığını açıkladı.

Söz konusu varlıklar, Payy Network ve Payy cüzdanında tutulan kullanıcıların saklama hizmeti sunulmayan USD Coin(USDC) varlıklarıydı. Payy, olayı araştırmak amacıyla mevduat, çekim, transfer ve kart ödemelerini durdurdu. Olay Unchained tarafından aktarıldı.

İlk işlem 24 Eylül saat 13.21'de gerçekleşti ve yaklaşık 1 milyon 828 bin 589 dolar değerindeki USDC aynı adrese gönderildi. Bu işlemin ardından köprüde yaklaşık 95 bin dolar kaldı.

Yaklaşık beş saat sonra, saat 18.30'da 90 bin 202 dolar değerinde ek bir çekim yapıldı. Köprünün bakiyesi yaklaşık 700 dolara geriledi.

Her iki işlemde de Payy'nin ağ faaliyetlerini Ethereum'a kaydetmek için kullandığı 'verifyRollup' işlevi kullanıldı. İşlemleri gönderen adres, Payy'nin olağan toplu kayıtlarında kullandığı adreslerden biriydi. Ağustos sonundan bu yana bu adresten gönderilen son 200 işlemin tamamında aynı işlev çağrısı yer aldı.

Çekilen varlıkları alan adres, olaydan önce de söz konusu köprüyü kullanmıştı. Adres 22 Eylül'de 5 USDC yatırıp aynı gün çekti, 23 Eylül'de ise yeniden 5 USDC yatırdı.

İlk çekimdeki varlıklar yaklaşık sekiz dakika içinde başka bir adrese taşındı. Daha sonra UniswapX üzerinden yaklaşık 683 ETH'ye dönüştürüldü. Aynı gün saat 14.39'a kadar ETH'nin büyük bölümü üç cüzdana dağıtıldı.

İkinci işlemle çekilen 90 bin 202 USDC ise 25 Eylül öğleden sonraya kadar alıcı adreste kaldı.

Payy, ilk kök neden analizinin olayın 'zarar görmüş bir anahtar, sosyal mühendislik veya zincir dışı altyapı saldırısı olmadığını' gösterdiğini açıkladı. Şirket, denetim firmasıyla birlikte analiz sonuçlarını incelemeyi sürdürüyor ve doğrulanmış raporu birkaç gün içinde yayımlayacağını belirtti.

Payy, saldırganın adresini kolluk kuvvetleri, kripto para borsaları ve blok zinciri analiz şirketleriyle paylaştığını açıkladı. Ancak kullanıcı varlıklarının telafi edilip edilmeyeceği ve ağ ile cüzdan işlevlerinin ne zaman yeniden başlatılacağı konusunda bilgi vermedi.

Blok zinciri köprüleri, varlıkların farklı blok zincirleri arasında taşınmasını sağlar. Bu olayda Payy'nin ağ faaliyetlerini Ethereum'a yansıtan rollup sözleşmesi, fonların hareket ettiği nokta oldu. Saklama hizmeti sunulmayan mevduat yapısında varlıkların kontrolü kullanıcıda kalır. Ancak köprü sözleşmesinin işleyişi veya yetki yönetiminde sorun yaşanması, çekim işlevini de etkileyebilir.

Ethereum köprüleri ve staking sözleşmelerinde art arda güvenlik sorunlarının ortaya çıktığı vakalarda da saldırıların ardından kullanıcıların çekim ve fonlarını geri alma imkânı temel tartışma konuları arasında yer aldı. Bu olayda da fonların nasıl çekildiği ve sorumluluğun kapsamı, Payy'nin yayımlayacağı doğrulanmış raporla netleşecek.

Payy, mevduat, çekim, transfer ve kart ödemelerini hâlâ durdurmuş durumda. Kullanıcıların zararlarının karşılanıp karşılanmayacağı ve hizmetlerin yeniden başlatılacağı tarih henüz açıklanmadı.

Payy, denetim firmasıyla yürütülen inceleme tamamlandıktan sonra doğrulanmış raporu yayımlamayı planlıyor.