Sömürücü 115 duovigintilyon USDC mevduat makbuzu bastı ancak daha sonra sadece 2,4 milyon dolar değerindeki kısmını geri alabildi.
Bir bilgisayar korsanı, keyfi sayıda mevduat makbuzu token’ı basarak merkezi olmayan finans (DeFi) protokolü Delta Prime’dan 6 milyon dolardan fazla para çekmeyi başardı.
Blok gezgini Arbiscan’ın verilerine göre saldırgan ilk saldırıda 115 düovigintilyondan fazla Delta Prime USD (DPUSDC) token’ı bastı ; bu da bilimsel gösterimde 1,1*10^69’dan daha fazla.
DPUSDC, USDC için bir mevduat makbuzudur.Delta Prime’da tutulan stablecoin. USDC için 1:1 oranında geri alınabilmesi amaçlanıyor.
Bu kadar çok USDC yatırma makbuzu basmasına rağmen saldırgan yalnızca 2,4 milyonunu yaktı ve karşılığında 2,4 milyon dolar değerinde USDC stablecoin aldı.Saldırgan daha sonra bu adımları diğer para yatırma makbuzu tokenleri için tekrarladı ve 1 duovgintilyon Delta Prime Wrapped Bitcoin (DPBTCb), 115 oktodesilyon Delta Prime Wrapped Ether (DPWETH), 115 oktodesilyon Delta Prime Arbitrum (DPARB) ve diğer birçok para yatırma makbuzu tokeni bastı ve sonunda basılan miktarın çok küçük bir kısmını kullanarak 1 milyon doların üzerinde Bitcoin aldı.
Blockchain güvenlik uzmanı Chaofan Shou’ya göre saldırgan şu ana kadar yaklaşık 6 milyon dolarlık fon çaldı.
Saldırgan, bu mevduat makbuzu token’larını, büyük ihtimalle geliştiricinin özel anahtarını çalarak başardıkları b1afb ile biten bir yönetici hesabının kontrolünü ele geçirerek basabildi. Bu hesabı kullanarak, protokolün her bir likidite havuzu sözleşmesinde bir “yükseltme” işlevi çağırdılar .
Bu işlevler yazılım yükseltmeleri için kullanılmak üzere tasarlanmıştır. Geliştiricinin, proxy’sinin farklı bir uygulama adresine işaret etmesiyle bir sözleşmedeki kodu değiştirmesine olanak tanır.
Ancak saldırgan bu işlevleri kullanarak her proxy’yi saldırganın oluşturduğu kötü amaçlı bir sözleşmeye yönlendirdi. Her kötü amaçlı sözleşme, saldırganın keyfi olarak büyük miktarda para yatırma makbuzu basmasına izin verdi ve bu da etkili bir şekilde her fon havuzunu boşaltmalarına olanak sağladı.
Delta Prime, X gönderisinde saldırıyı kabul ederek , “Saat 06:14’te DeltaPrime Blue (Arbitrum) saldırıya uğradı ve 5,98 milyon dolar boşaltıldı.” dedi.
Avalanche versiyonu DeltaPrime Blue’nun saldırıya karşı savunmasız olmadığını iddia etti. Ayrıca protokolün sigortasının “mümkün/gerekli olduğu yerde olası kayıpları karşılayacağını” belirtti.
Delta Prime saldırısı, yükseltilebilir sözleşmeler kullanan DeFi protokollerinin riskini ortaya koyuyor.
Web3 ekosistemi, özel anahtar saldırılarının tüm protokolleri istismar etmesini önlemek için tasarlanmıştır.
Teorik olarak, bir saldırganın tüm protokolü boşaltmak için her kullanıcının özel anahtarlarını çalması gerekir. Ancak, sözleşmeler yükseltilebilir olduğunda, tüm kullanıcı tabanının fonlarını kaybetmesine yol açabilecek bir merkezileşme riski unsuru ortaya çıkar.
Yine de bazı protokoller, yükseltme yeteneğinden vazgeçmenin alternatifinden daha kötü olabileceğine inanıyor, çünkü bu, bir geliştiricinin dağıtımdan sonra bulunan hataları düzeltmesini engelleyebilir. Web3 geliştiricileri, protokollerin ne zaman yükseltmelere izin vermesi ve ne zaman izin vermemesi gerektiği konusunda tartışmaya devam ediyor.
Akıllı sözleşme istismarları Web3 kullanıcıları için risk oluşturmaya devam ediyor. 11 Eylül’de bir saldırgan, ayrı bir sözleşmedeki doğrulanmamış bir işlevi işaret eden belirsiz bir kod satırı kullanarak bir CUT token likidite havuzundan 1,4 milyon dolardan fazla para çekti .
3 Eylül’de saldırganın kendi kötü amaçlı sözleşmesini token piyasası olarak kaydetmesinin ardından Penpie protokolünden 27 milyon dolardan fazla para çekildi
Bizi sosyal medyamızdan takip etmeyi unutmayın.
Bir sonraki habere buradan ulaşabilirsiniz.