26 Mayıs’ta 6,91 milyon dolar değerindeki 1.807 likit stake edilmiş Ethereum’u kaybeden talihsiz mağdur, çalınan fonların büyük bir kısmını dolandırıcılardan geri almış gibi görünüyor. Blockchain analiz firması SlowMist’in kurucu ortağı Yu Xian, eski kimlik avı grubu Inferno Drainer’ın izin çevrimdışı yetkilendirme imzasını kullanarak bir kullanıcıdan yaklaşık 7 milyon ABD doları değerinde Ethereum’u ele geçirmek için kullandığını açıkladı.
Hack Saldırısı Dikkat Çekti
Geçtiğimiz gün Scam Sniffer, dolandırıcıların %20’lik bir ödülü elinde tuttuğu iddiasının ardından mağdurun 1.445 Ethereum’u veya çalınan fonların %80’ini geri aldığını X’te yayınladı. Analistler, ihlale karışan cüzdan adresinin kötü niyetli bir aktörün, belirlenen alıcının, kendisine ait olmayan bir cüzdandan ERC-20 token’larını aktarması için gerçek bir zincir dışı yetkilendirme imzası oluşturduğu izin kimlik avı saldırısına maruz kaldığını iddia etti.
SlowMist‘e göre saldırı, EIP-2612 aracılığıyla tanıtılan Ethereum izinlerinde gözden kaçan bir özellik nedeniyle yürütülebilir. EIP, kullanıcıların bir yetkilendirme imzası ekleyerek önceden yetkilendirme gerektirmeden akıllı sözleşmelerle etkileşime girmesine olanak tanır. Ancak izin işlevi, mülkiyete bakılmaksızın herhangi bir hesap tarafından yürütülebilir.
Hack Saldırıları İçin Öneriler Gecikmedi
Bu süreçte kullanıcılar daha önce kimlik avı web sitelerinde cüzdan imzalarını tehlikeye atmışsa herhangi bir işlemi onaylamamış olsalar bile dolandırıcılar yine de cüzdanlarından token almak için izin saldırısını kullanabilirler. Bu tür saldırılara karşı korunmak için SlowMist şunları önerdi:
“Anormal yetkilendirmeleri tespit etmek için RevokeCash gibi yetkilendirme araçlarının periyodik olarak kullanılması tavsiye edilir. Uniswap Permit2 için yetkilendirme yönetimi aracı da kullanılabilir. Doğrulamada herhangi bir usulsüz yetkilendirme tespit edilirse, bunların derhal iptal edilmesi çok önemlidir.”
Ancak bu olayda herkes mağdura hak vermedi. Tanınmış DeFi dedektifi ZachXBT, konuya yönelik şu ifadeleri paylaştı:
“Geçen yıl 638.000 dolara ve bu yıl 6,9 milyon dolara nasıl kimlik avı saldırısına uğruyorsunuz? Bazı insanlar varlıkları konusunda dikkatsiz.”
Mart ayında gündeme gelen habere göre kripto para birimiyle ilgili dolandırıcılıkların geçtiğimiz yıl içinde %53 arttı. FBI’a göre kripto para birimiyle ilgili yatırım dolandırıcılığı 2023 yılında Amerika Birleşik Devletleri’ndeki tüm yatırım kayıplarının %86’sını oluşturuyordu.
