Voltage Finance saldırganı 100 Ethereum(ETH)’u Tornado Cash’e taşıdı

2022 yılında merkeziyetsiz finans (DeFi) kredi protokolü Voltage Finance’ten yaklaşık 4,67 milyon dolar (yaklaşık 68,2 milyar Kore wonu) değerinde kripto para çalan hacker, uzun bir sessizliğin ardından bir kısmını hareket ettirdi.

6’sında, blokzincir güvenlik şirketi CertiK, resmi X (eski adıyla Twitter) hesabı üzerinden yaptığı açıklamada, söz konusu hackerın çaldığı varlıklar arasında yer alan 100 Ethereum(ETH)’un, güncel piyasa değerine göre yaklaşık 182.700 dolar (yaklaşık 26,7 milyon Kore wonu) karşılığında anonim kripto karıştırıcı platform Tornado Cash’e aktarıldığını bildirdi. Aktarım işlemi, ilk saldırıda kullanılan adres dışında bir cüzdandan yapılmış olsa da, blokzincir analizleri bunun saldırganla bağlantılı olduğunu ortaya koydu.

Bu saldırı, 2022 yılının Mart ayında ERC677 token standardında bulunan ‘callback function’ (geri çağrı fonksiyonu) özelliğinin suiistimal edilmesiyle gerçekleştirilen bir ‘yeniden giriş saldırısı’ (reentrancy attack) yoluyla yapıldı. Bu tür saldırılar, akıllı sözleşmenin çağırdığı dış kontrattan kontrolü geri alamamasını sağlayarak fonların izinsiz şekilde çekilmesine imkân verir. CertiK, olayı klasik bir yeniden giriş saldırısı örneği olarak değerlendirdi.

Tornado Cash, kripto varlıkların izini gizlemek amacıyla kullanılan öne çıkan karıştırıcı platformlardan biri. Bu hizmet fonların kaynağını anonimleştirerek takibini zorlaştırırken, kara para aklama faaliyetlerinde sıkça kullanılması nedeniyle ABD Hazine Bakanlığı tarafından yaptırım listesine alındı. Bu platformun kullanımı, düzenleyici tedbirleri aşma girişimi olarak görülüyor.

Uzmanlar, aylarca herhangi bir hareketlilik göstermeyen hackerın yeniden varlık transferine başlamasını, ‘anonimlik sağlama’ ve ‘cezai sorumluluklardan kaçınma’ amacıyla yapılan bir hamle olarak yorumluyor. CertiK ise hackerın ilerideki olası hareketlerini daha dikkatli izlemeye devam edeceklerini vurguladı.