Arbitrum tabanlı AFX Trade, köprü anahtarlarının güvenliği ihlal edildikten sonra 24 milyon dolar değerinde fonun boşaltılmasıyla karşı karşıya kaldı

Başka bir hafta, başka bir multi-milyon dolarlık DeFi hack'i ve yine, bu seferki bir akıllı sözleşme istismarı değil, bir off-chain ihlalidir. AFX Trade, dolar-pegged stablecoin USDC ile yapılan merkezi olmayan perpetuals borsası, Çarşamba günü yaklaşık 24,15 milyon doların boşaltılmasıyla sonuçlandı; saldırgan, Arbitrum üzerinde çalışan köprü arkasındaki doğrulayıcı imzalama anahtarlarını ele geçirdi, blok zinciri doğrulama gösteriyor. Başka bir deyişle, akıllı sözleşme olması gerektiği gibi yaptı – imzayı doğruladı ve işlemi gerçekleştirdi. Sorun, bu imzaları oluşturan özel anahtarlar ile ilgiliydi, çünkü saldırganlar özel doğrulayıcı imzalama anahtarlarını (köprü operatörleri veya doğrulayıcılar tarafından off-chain tutulan sıcak anahtarlar) ele geçirdi. Offchain Labs'ın kurucu ortaklarından Steven Goldfeder, Arbitrum yerel köprüsünün "hiçbir şekilde hacklenmediği veya istismar edilmediği"ni ve işlemin üçüncü taraf bir protokolden kaynaklandığını söyledi. Kendine ait köprünün hacklenmesi, tüm katman-2 ağında risk anlamına gelir, ancak onun üstünde çalışan kompromize olmuş bir protokol, sınırlı bir arıza anlamına gelir. Köprünün kendi kod mantığında hiçbir şey kırılmamıştı. Köprüler, çeşitli ağlar arasında token transferi yapmak için blok zinciri tabanlı araçlardır, bunlar başlangıçta desteklenmemiş olsalar bile. Güvenlik firması Blockaid, zincir üstü mantığın bypass edilmediğini söyledi. Bunun yerine, köprünün beş sıcak doğrulayıcı imzası, yani bir çekim yetkilendirmesi, saldırganın cüzdanına 24.150.000 USDC aktarmasına izin verdi ve köprünün gerektirdiği yaklaşık üçte iki oy çokluğunu onayladı. Bu olay, bu nedenle, Nisan ayında yaklaşık 285 milyon dolar kayıpla sonuçlanan Drift Protocol kaybına benzer, burada saldırganlar herhangi bir sözleşmeyi kırmak yerine, ayrıcalıklı erişim sağlamak için aylarca çalıştılar. Kayıp, kripto güvenliği için zorlayıcı bir dönemin ortasında gerçekleşti; Q2, kayıtlardaki en kötü hack çeyreği olup, bir hafta önce RWA platformu Ostium'dan 18 milyon dolar çalan oracle istismarı dahil olmak üzere, Arbitrum tabanlı protokollerin bir dizi saldırıya uğradığı bir döneme denk geldi. Bu yılki hacklerin ve istismarların çoğu, akıllı sözleşmelerdeki açıklıklardan çok, off-chain bileşenlere yönelikti. https://twitter.com/blockaid_/status/2080080240265621680 Sözleşme, çekimi geçerli olarak kabul etti ve 200 saniyelik bir anlaşmazlık süresinden sonra fonları serbest bıraktı. Köprü tam olarak tasarlandığı gibi çalıştı, ancak çekim işlemini yetkilendiren anahtarlar muhtemelen yanlış ellerdeydi. Saldırgan ardından çalınan USDC'yi Ethereum'a köprüledi ve yaklaşık 12.467 ETH ile takas etti, bu da yaklaşık 24 milyon dolar değerinde ve zincir üstü takipçiler şu anda bu paranın tek bir cüzdanda olduğunu söylüyor. AFX'nin ticari aktivitesi, saldırıya yakın dönemlerde önemli ölçüde artmıştı ve Temmuz ortasında günlük perpetuals hacmi birkaç aydaki en yüksek seviyelere ulaşmıştı, çünkü protokol kullanıcıları ve onların ödemeleri ile büyüyordu. Çalınan yaklaşık 24 milyon dolar, protokolün toplam kilitli değerin neredeyse tamamıydı, yani saldırgan, en dolu olduğu sırada kasayı boşalttı. Vargı Ekonomi Haberleri