DefiLlama tarafından yayınlanan verilere göre, DeFi altcoin projeleri Şubat ayı boyunca bilgisayar korsanlarına 21 milyon dolardan fazla kaybetti.
Şubat ayındaki DeFi altcoin projesi hack’keri
Yeniden giriş (reentrancy), ‘price oracle’ saldırıları ve yedi protokoldeki istismarlar, merkezi olmayan finans (DeFi) alanının Şubat ayında en az 21 milyon dolarlık kripto para kaybetmesine neden oldu. DeFi veri analizi platformu DefiLlama’ya göre, ayın en büyüklerinden biri, Platypus Finance’e yönelik ‘flash loan reentrancy’ saldırısıydı ve bu saldırı 8,5 milyon dolarlık fon kaybına yol açtı. DefiLlama, ay içinde altı kayda değer hack daha vurguladı, ilki 1 Şubat’ta BonqDAO’ya yapılan ‘price oracle’ saldırısıydı.
DeFi altcoin projelerine yönelik yedi saldırı / Kaynak: DefiLlamaBonqDAO: 1,7 milyon dolar
BonqDAO, 1 Şubat’ta takipçilerine Bonq protokolünün, saldırganın AllianceBlock (ALBT) tokeninin fiyatını manipüle etmesine izin veren bir oracle saldırısına maruz kaldığını açıkladı. Hacker, ALBT fiyatını artırdı ve büyük miktarlarda Bonq Euro (BEUR) bastı. BEUR daha sonra Uniswap’teki diğer tokenlerle değiştirildi. Ardından, fiyat neredeyse sıfıra düştü ve bu da ALBT’nin tasfiyesini tetikledi. Blockchain güvenlik firması PeckShield, kayıpların yaklaşık 120 milyon dolar olduğunu tahmin ediyor. Ancak daha sonra, bilgisayar korsanlarının BonqDAO’daki likidite eksikliği nedeniyle yalnızca yaklaşık 1 milyon dolar nakde çevirdiği bildirildi.
Orion Protocol: 3 milyon dolar
Sadece bir gün sonra, 2 Şubat’ta, merkezi olmayan borsa Orion Protocol, saldırganların tekrarlanan para çekme emirleriyle bir hedeften para çekmek için kötü niyetli bir akıllı sözleşme kullandığı bir yeniden giriş (reentrancy) saldırısı nedeniyle yaklaşık 3 milyon dolar zarar gördü.
We have been investigating this very sophisticated attack from the minutes it occurred. We will not reopen the Deposit function until we feel confident that the bug has been fixed which will only be after successfully passing new audits from leading audit firms.
— Alexey Koloskov (@alexeykoloskov) February 2, 2023
Orion Protocol CEO’su Alexey Koloskov o sırada saldırıyı doğrulayarak herkese “Tüm kullanıcıların fonlarının güvende ve emniyette olduğu’ konusunda güvence verdi. Koloskov, “Sorunun temel protokol kodumuzdaki herhangi bir eksikliğin sonucu olmadığına inanmak için nedenlerimiz var. Daha ziyade deneysel ve özel komisyoncularımız tarafından kullanılan akıllı sözleşmelerden birinde üçüncü taraf kitaplıkların karıştırılmasındaki bir güvenlik açığından kaynaklanmış olabilir,” açıklamasını yaptı.
DForce Network: 3,65 milyon dolar
DeFi altcoin projesi dForce Network, Şubat ayında yaklaşık 3,65 milyon dolar kayıpla sonuçlanan bir reentrancy saldırısının kurbanı oldu. 10 Şubat tarihli bir gönderide, dForce açıktan yararlanmayı doğruladı. Ancak, saldırgan beyaz şapkalı bir bilgisayar korsanı olarak öne çıktığında tüm paralar iade edildi.
2/5 Shortly after the incident, we entered into conversations with the exploiter, who came forward as a whitehat. We have agreed to offer a bounty and will drop all on-going investigation and law enforcement actions.
— dForce (@dForcenet) February 13, 2023
dForce, “13 Şubat 2023’te, çalınan fonlar, hem Arbitrum hem de Optimism üzerindeki cüzdanlarımıza tamamen iade edildi, bu herkes için mükemmel bir son,” dedi.
Platypus Finance: 9,1 milyon dolar
Kriptokoin.com’dan takip ettiğiniz üzere, 16 Şubat’ta DeFi protokolü Platypus Finance, protokolden 8,5 milyon doların çekilmesiyle sonuçlanan bir flash loan saldırısına maruz kaldı. Platypus denetçisi Omniscia’nın otopsi raporu, saldırının yanlış sıradaki kod nedeniyle mümkün olduğunu kaydetti. 23 Şubat’ta ekip, ana havuz fonlarının yaklaşık %78’ini donmuş stablecoin’leri yeniden basarak iade etmeye çalıştıklarını duyurdu.
🚨 Updated compensation page 🚨
We have updated our compensation page today! If you have deposited or withdrawn LP tokens from our yield aggregators before the pool pause, your compensation amount will be updated accordingly.
More 👇🧵 https://t.co/GfLIn5jmtF— Platypus 🔺 (🦆+🦦+🦫) (@Platypusdefi) March 3, 2023
Ekip ayrıca, 667.000 doların daha suistimal edilmesine yol açan ve toplam kaybı yaklaşık 9.1 milyon dolara çıkaran ikinci ve üçüncü olayları da doğruladı. Fransız polisi, saldırıyla ilgili iki şüpheliyi tutukladı ve 25 Şubat’ta yaklaşık 222.000 dolar değerinde kripto varlığına el koydu.
Hope Finance: 1,86 milyon dolar
Birkaç gün sonra, 20 Şubat’ta, Arbitrum tabanlı algoritmik stablecoin projesi Hope Finance’in kullanıcıları, kullanıcılardan yaklaşık 2 milyon doların çalındığı bir akıllı sözleşme istismarının kurbanı oldu.
#CommunityAlert 🚨@hope_fin have announced the community has been scammed for ~$2m making this the largest #exitscam on Arbitrum in 2023.
$1.86m was transferred to @TornadoCash.
Hope_fin have posted steps for user's to withdraw their staked LPhttps://t.co/hJbFXiKujt
— CertiK Alert (@CertiKAlert) February 21, 2023
Web3 güvenlik şirketi CertiK, Hope Finance Twitter hesabından kullanıcılara dolandırıcılığı bildiren bir duyurunun ardından 21 Şubat’ta olayı işaretledi. CertiK ekibinin bir üyesi, dolandırıcının akıllı sözleşmenin ayrıntılarını değiştirdiğini ve bunun da Hope Finance oluşum protokolünden fonların çekilmesine yol açtığını söyledi:
Dexible: 2 milyon dolar
Multi-chain borsa toplayıcı Dexible saldırganı, uygulamanın selfSwap işlevini hedef alan bir açıktan yararlandı. DeFi altcoin projesi, 17 Şubat’taki saldırı nedeniyle 2 milyon dolar değerinde kripto para kaybetti. Borsadan 18 Şubat tarihli bir gönderiye göre, “bir bilgisayar korsanı en yeni akıllı sözleşmemizdeki bir güvenlik açığından yararlandı. Bu, bilgisayar korsanının sözleşmede harcanmamış harcama onayı olan herhangi bir cüzdandan para çalmasına izin verdi,” dedi.
Dear Dexible community, we regret to inform you that in the early hours of February 17th, a hacker exploited a vulnerability in our newest smart contract. This allowed the hacker to steal funds from any wallet that had an unspent spend approval on the contract.
1/5
— Dexible (@DexibleApp) February 17, 2023
Araştırmanın ardından Dexible ekibi, saldırganın uygulamanın selfSwap işlevini kullanarak daha önce uygulamaya tokenlerini taşıma yetkisi vermiş kullanıcılardan 2 milyon doların üzerinde kripto para taşıdığını tespit etti. Saldırgan, tokenleri kendi akıllı sözleşmesine aldıktan sonra, tokenleri Tornado Cash aracılığıyla bilinmeyen BNB cüzdanlarına çekti.
LaunchZone: 700.000 dolar
BNB Chain tabanlı DeFi altcoin projesi LaunchZone, 27 Şubat’ta 700.000 dolar değerinde fonu boşalttı. Blockchain güvenlik firması Immunefi’ye göre, bir saldırgan fonları boşaltmak için doğrulanmamış bir sözleşmeden yararlandı. Immunefi, “LaunchZone konuşlandırıcısı tarafından 473 gün önce doğrulanmamış sözleşmeye onay verildi” dedi. DefiLlama rakamlarına göre Şubat rakamları Ocak ayına göre büyük bir artışı işaret ediyor. İzleyici, iki protokolde (Midas Capital ve Roe Finance) DeFi platformlarına yönelik ayda yalnızca 740.000 dolarlık saldırıları listeliyor.
Blockchain veri şirketi Chainalysis, 2023 Kripto Suç Raporunda, bilgisayar korsanlarının 2022’de DeFi altcoin projelerinden 3,1 milyar dolar çaldığını ve bu yıl içinde çalınan toplam miktarın %82’sinden fazlasını oluşturduğunu ortaya koydu.
