Orbit Chain 80 milyon dolarlık bir saldırıya uğradı: 2024'ün ilk büyük ölçekli Blok Zinciri güvenlik olayı

2024 yılının 1 Ocak'ında, güvenlik risk izleme platformu, belirli bir çapraz zincir köprü projesinin saldırıya uğradığını tespit etti ve kayıp miktarı yaklaşık 80 milyon dolara kadar ulaştı. Analizler, saldırganların bir gün önce küçük ölçekli bir test yapmaya başladığını ve ilk aşamada çalınan ETH'leri sonraki büyük ölçekli saldırının işlem ücreti kaynağı olarak kullandığını gösteriyor.

Bu çapraz zincir köprü projesi, kullanıcıların farklı blok zincirlerinde çeşitli kripto varlıklar kullanmasına olanak tanır. Şu anda, proje ekibi ilgili sözleşmelerin çalışmasını durdurdu ve saldırganlarla iletişim kurmaya çalışıyor.

Olay Analizi

Bu saldırı esas olarak köprü sözleşmesinin withdraw fonksiyonunu doğrudan çağırarak varlıkları transfer etmek için gerçekleştirildi. Bu fonksiyon, işlem geçerliliğini sağlamak için imza doğrulama mekanizması kullanır.

Daha ileri analizler, withdraw fonksiyonunun owner imzasının sayısını döndüreceğini ve bunu önceden belirlenmiş eşik değeri ile karşılaştıracağını ortaya koydu. Eğer koşullar sağlanıyorsa, varlıkların çekilmesine izin verilir.

Zincir üzerindeki verilere göre, bu sözleşme 10 adres tarafından ortaklaşa yönetilmektedir, varlıkların çekilmesi için en az %70 (yani 7) yöneticinin imza yetkisi gerekmektedir.

Özetle, bu olayın muhtemelen depolama yöneticisinin özel anahtarını barındıran sunucunun bir aldatmaca saldırısına uğramasından kaynaklandığı düşünülmektedir.

Saldırı Süreci

Zincir üzerindeki verilere göre, saldırgan 30 Aralık 2023 15:39 (UTC) itibarıyla projeye küçük ölçekli bir saldırı başlatmış ve ilk çalınan ETH'yi diğer saldırı adreslerine işlem ücreti olarak dağıtmıştır.

Sonrasında, birden fazla saldırı adresi 31 Aralık 2023 saat 21:00 (UTC) civarında projenin DAI, WBTC, ETH, USDC ve USDT gibi varlıklarına büyük ölçekli saldırılar başlattı.

Fon Akışı

Yazının yayımlandığı ana kadar, çalınan fonlar beş farklı adrese aktarılmıştır. Saldırganlar, beş bağımsız işlemle sırasıyla şunları aktarmıştır:

• 50 milyon dolar stabilcoin (30 milyon USDT, 10 milyon DAI ve 10 milyon USDC)
• 231 adet wBTC (yaklaşık 10 milyon dolar)
• 9500 adet ETH (yaklaşık 2150 milyon ABD doları)

Güvenlik İpuçları

Bu olay, Blok Zinciri sisteminin güvenliğinin önemini bir kez daha vurguladı:

1. Kod güvenliği: Sözleşme kodu, blok zinciri sisteminin temelidir, yazılırken ve gözden geçirilirken güvenlik en iyi uygulamalarına sıkı bir şekilde uyulmalıdır, yaygın güvenlik açıklarından kaçınılmalıdır.

2. Yetki Yönetimi: Kimlik doğrulama mekanizmalarını güçlendirmek, çoklu imza uygulamak ve sıkı yetki kontrolleri yapmak, yetkisiz erişimi ve varlık kaybını etkili bir şekilde önleyebilir.

3. Sürekli İzleme: Potansiyel tehditleri zamanında tespit etmek ve yanıt vermek için kapsamlı bir güvenlik izleme sistemi kurun.

4. Acil Durum Planı: Güvenlik olayları meydana geldiğinde hızlı bir şekilde harekete geçmek ve kayıpları en aza indirmek için ayrıntılı bir acil müdahale planı oluşturun.

5. Güvenlik Denetimi: Üçüncü taraf güvenlik denetimleri düzenli olarak yapılmalı, potansiyel riskler zamanında tespit edilmeli ve düzeltilmelidir.

Bu önlemleri bir araya getirerek, Blok Zinciri projelerinin güvenliğini önemli ölçüde artırabilir ve saldırıya uğrama riskini azaltabilirsiniz.