Merkeziyetsiz kredi protokolü Sturdy Finance (STRYD), manipüle edilmiş bir fiyat oracle’ının neden olduğu bir saldırıda binlerce dolar kaybetti. Ekip, daha fazla potansiyel kayıp yaşanmaması için tüm piyasaların askıya alındığını açıkladı.
Saldırıda Yaklaşık 800 Bin Dolar Değerindeki 442 ETH Çalındı
Merkeziyetsiz kredi protokolü Sturdy Finance, bugün 442 ETH veya yaklaşık 800 bin dolarlık kayba neden olan bir güvenlik açığının kurbanı oldu. Kimliği bilinmeyen saldırgan, hatalı bir fiyat oracle’ının manipülasyonunu kolaylaştıran bir reentrancy güvenlik açığından yararlanarak protokoldeki fonları çaldı.
Merkeziyetsiz finans (DeFi) protokollerinde fiyat oracle’ları gerçek dünya fiyat verilerini sağladıkları için oldukça önemlilerdir ve aynı zamanda saldırganların sıklıkla hedef aldıkları yerlerdir.
Sturdy Finance’e yapılan saldırı, genellikle DeFi protokollerinden yasa dışı yollarla fon çekmek için kullanılan bir yöntem olan reentrancy saldırısı ile başlatıldı. Bu tür bir saldırı, orijinal işlev çağrısı tamamlanmadan tek bir işlem içinde bir işlevi tekrar ve tekrar çalıştırabilmeyi sağlar. Böylece saldırgan yasal olarak hakkı olandan daha fazla fonu çekebilir.
Nitekim Sturdy Finance’i hedef alan saldırgan, fonksiyon çağrılarını manipüle etme imkanı bulmasının ardından fiyat oracle’ından faydalanmaya başladı. Bu oracle, Sturdy’nin ekibi tarafından merkeziyetsiz borsa Balancer‘da yönetilen bir likidite havuzundaki varlıkların doğru piyasa değerini belirlemek ve böylece protokol üzerinde stake edilen ETH’lerin (stETH’ler) ticaretini kolaylaştırmak için tasarlanmıştı. Ancak, güvenlik şirketi BlockSec’e göre, oracle’ı hedef alan saldırgan Sturdy Finance’deki fonları boşaltmayı başardı. BlockSec, “Temel neden, tipik Balancer’ın salt okunur merkeziyetsiz sözleşmesinden kaynaklanırken, B-stETH-STABLE’ın fiyatı manipüle edildi” dedi.
Sturdy Finance Piyasaları Askıya Alındı
Sturdy Finance, daha fazla kayıp yaşanmaması için protokolün tüm piyasalarının geçici olarak askıya alarak karşı hamle yaptı ve kullanıcılarına hack saldırısının bir sonucu olarak başka hiçbir fonun tehlikede olmadığına dair güvence verdi.
Sturdy Finance ekibinden yapılan açıklamada, “Tüm piyasalar durduruldu; hiçbir ek fon risk altında değil ve şu anda herhangi bir kullanıcı eylemi gerekmiyor. Daha fazla bilgi paylaşacağız.” denildi.
Zincir üzeri veriler, saldırının ardından saldırganın gerçekleştirdiği işlemleri gizlemek için kripto mikseri olan Tornado Cash‘i kullandığını gösteriyor.
Sturdy Finance, 2022 yılında faizsiz kredi platformu oluşturmak için gerçekleştirilen birden fazla fonlama turunda 3 milyon dolar yatırım almıştı. Pantera Capital tarafından gerçekleştirilen fonlama turlarına Y Combinator, SoftBank‘ın Fırsat Fonu ve KuCoin Ventures da katılmıştı.
USDT
AAPL