Verus Ethereum Bridge, 23 Temmuz’da yaklaşık 7,54 milyon dolar değerinde kripto varlığın çalındığı yeni bir güvenlik ihlali yaşadı. Bu olay, protokolün iki aydan biraz uzun sürede karşı karşıya kaldığı ikinci büyük saldırı oldu. Saldırı, merkeziyetsiz finans ekosisteminde zincirler arası köprülerin taşıdığı güvenlik risklerini yeniden gündeme getirdi.
Köprüde aynı zafiyet yeniden kullanıldı
Blockchain güvenlik şirketi Blockaid, saldırganın köprünün submitImports işlevini kötüye kullandığını açıkladı. Buna göre saldırgan, Verus blokzincirinde karşılık gelen varlıklar kilitlenmeden Ethereum tarafında ödeme tetikledi ve böylece köprünün rezervlerinden fon çekebildi. Verus, farklı blokzincirler arasında varlık transferini hedefleyen bir ağ ve bu köprü de bu geçişi sağlayan temel yapılardan biri olarak öne çıkıyor.
Blockaid, saldırganın köprünün içe aktarma yolunu kullanarak dayanağı olmayan Ethereum ödemeleri oluşturduğunu ve rezervlerden ETH, tBTC, USDC, USDT, EURC, MKR ile scrvUSD çektiğini bildirdi.
Bağımsız güvenlik araştırmacısı exvulsec de açığın tespit edilmesinden kısa süre sonra saldırıyı doğruladı. Güvenlik uzmanları, bu zafiyetin Ethereum tarafında ödeme yapılmasına izin verirken diğer zincirde gerekli kilitlemenin doğrulanmadığını düşünüyor.
Mini sözlük: Zincirler arası köprü, bir blokzincirdeki varlığın başka bir blokzincirde temsil edilmesini sağlayan altyapıdır. Bu yapılarda mesaj doğrulama veya varlık kilitleme mantığındaki hatalar, rezervlerin yetkisiz biçimde boşaltılmasına yol açabilir.
Rezervlerden 1.137 ETH ve altı farklı varlık çekildi
Zincir üstü verilere göre saldırı yaklaşık 03.45 UTC’de gerçekleşti. Köprünün Ethereum rezervlerinden 1.137 ETH ile birlikte tBTC, USDC, USDT, EURC, MKR ve scrvUSD çekildi. Çalınan varlıkların toplam değeri saldırı anında yaklaşık 7,54 milyon dolar olarak hesaplandı.
İncelemeyi yürüten uzmanlar, saldırganın ele geçirdiği tokenleri merkeziyetsiz borsalarda hızla takas ettiğini, ardından bunları yaklaşık 3.916 ETH’de birleştirdiğini aktardı. Fonların bir bölümünün Tornado Cash üzerinden yönlendirilmesi, varlıkların izini sürmeyi ve geri kazanım ihtimalini daha da zorlaştırdı.
| Başlık | Detay |
|---|---|
| Saldırı tarihi | 23 Temmuz |
| Saldırı saati | 03.45 UTC |
| Toplam kayıp | 7,54 milyon dolar |
| Çekilen ETH | 1.137 ETH |
| Birleştirilen tutar | Yaklaşık 3.916 ETH |
Mayıstaki saldırıyla benzerlik dikkat çekti
Blockaid, son saldırının mayıstaki olayda kullanılan köprü sözleşmesini, aynı giriş noktasını ve aynı tür zafiyeti hedef aldığını, ancak bu kez farklı bir saldırgan cüzdanının devrede olduğunu belirtti. Bu benzerlik, mayısta yaşanan 11,58 milyon dolarlık saldırının ardından açığın tamamen kapatılıp kapatılmadığı sorusunu yeniden öne çıkardı.
Uzmanlar, güvenlik açığının köprü yeniden devreye alınmadan önce tamamen giderilip giderilmediğine ilişkin ciddi soru işaretleri bulunduğunu vurguluyor.
Mayıstaki olayda aynı saldırganın, Verus ile varılan anlaşmanın ardından çalınan fonların yaklaşık %75’ine karşılık gelen 4.052 ETH’yi geri aldığı kaydedildi. Son saldırı ise sorunun tek seferlik olmadığını gösterdi.
Geliştiricilerden tazminat planı gelmedi
Lookonchain verilerine göre Verus saldırısı, aynı dönemde AFX Trade ve B² Network’ü hedef alan diğer olaylarla birlikte toplam yaklaşık 35,55 milyon dolarlık kayıp zincirinin parçası oldu. Güvenlik araştırmacıları, saldırganların özellikle zincirler arası mesajlaşmadaki mantık hatalarını hedef aldığını söylüyor.
Verus ekibi soruşturma sürerken tüm köprüleri durdurdu. Buna karşın geliştiriciler henüz ayrıntılı teknik açıklama ya da resmi bir tazminat planı paylaşmadı. Gözler şimdi köprü doğrulama süreçlerinin nasıl güçlendirileceğine ve kayıp fonların izinin nasıl sürüleceğine çevrildi.
