Bir saldırgan, negatif çekim tutarlarını kabul eden bir swap kontratındaki açığı kullanarak XPR Network (XPR) üzerindeki likidite havuzlarından 11 dakika içinde 9 milyon dolardan fazla parayı çekti.
Öne çıkanlar:
- Saldırgan, yaklaşık 11 dakikada XPR Network likidite havuzlarından 9 milyon dolardan fazla varlık çekti.
- Açık, negatif değer kabul eden bir çekim fonksiyonundan kaynaklandı; bu sayede saldırgan önce iç bakiyeleri şişirip ardından gerçek token’ları çekebildi.
- Blok üreticileri kontratı yamalayıp yaklaşık 1,80 milyar XPR’yi dondurdu ve çalınan arzın büyük bölümünü zincirde tuttu.
XPR Network’te swap sözleşmesi istismarı
Saldırı, ağın zincir üstü swap kontratı proton.swaps’ı hedef aldı. Saldırgan, bu kontrat üzerinden yaklaşık 1,56 milyar XPR’yi – o anki fiyatla yaklaşık 4,03 milyon dolar – boşalttı. Kontratın çekim fonksiyonu negatif değer kabul ediyordu. Bu da saldırgana, dahili bakiyesini yapay şekilde şişirip ardından bu sahte bakiyeye karşılık gerçek token’ları çekme imkânı tanıdı. Aynı teknik; stablecoin, köprülenmiş varlık ve borç verme havuzlarında tekrarlanarak toplam zarar 9 milyon doları aştı.
Yaklaşık 563 milyon XPR – o anki değeriyle yaklaşık 1,46 milyon dolar – ise, saldırganın çaldığı stablecoin’lere karşı borçlanmasının ardından borç verme protokolü üzerinden hareket etti. Böylece temas eden token miktarı yaklaşık 2,12 milyar XPR’ye, yani dolaşımdaki arzın yaklaşık %6,5’ine yükseldi. Ek olarak 764 milyon XPR daha – yaklaşık 2 milyon dolar – daha sonra ikinci bir hesaba taşındı.
Ayrıca Oku: XRP ETF’lerine 9 Haftalık Seriyle 1,7 Milyar Dolarlık Rekor Girdi
XPR fiyatı desteğin altına sarktı
Likidite boşalmasının etkisi saatler içinde piyasaya yansıdı. XPR, Pazar günü gerileyerek 0,0026 dolar civarına indi; gün içindeki dip seviye olan 0,00245 doların ardından 24 saatte yaklaşık %5,6 kayıp yazdı ve daha önce destek görevi gören 0,00271 dolar seviyesinin altında kaldı. Token, aynı seansın erken saatlerinde 0,00277 dolara kadar el değiştirmişti; piyasa değeri ise yaklaşık 74 milyon dolara düştü.
RSI göstergesi 27,47’ye kadar gerileyerek aşırı satım bölgesine iyice yerleşti. Bu seviye, düzenli bir yeniden fiyatlamadan çok tek yönlü satış baskısına işaret ediyor. Günlük yaklaşık 2,9 milyon dolarlık hacim, alıcı tarafın sınırlı kaldığını gösterdi.
Tutar, bu yılki en büyük DeFi kayıplarıyla kıyaslandığında görece küçük görünebilir. Ancak asıl kritik nokta, kaybın büyüklüğünden çok saldırı vektörü oldu: Giriş değerlerinde eksik kalan tek bir kontrol, zararın tek bir swap kontratından taşıp, aynı likiditeyi paylaşan borç verme ve köprülenmiş varlık havuzlarına yayılmasına yol açtı. Saldırganın ne flash loan kullanması ne de oracle manipülasyonuna başvurması gerekti; sadece kontratın reddetmediği bir eksi işareti yeterli oldu.
Metallicus, çalınan XPR’yi dondurdu
Blok üreticileri kontrata saat 21:32 UTC’de yama geçip yaklaşık iki saat sonra 1,80 milyar XPR’ye el koyarak token’ları topluluk kontrolüne devretti. Etkilenen 2,12 milyar XPR’nin sadece 319,5 milyonu ağ dışındaki platformlara ulaşabildi.
Böylece zarar gören arzın büyük kısmı kurtarılabilir durumda kaldı. Bu sonuç, XPR Network’ün yetki devrine dayalı hisse ispatı (delegated proof-of-stake) modeliyle çalışmasından kaynaklanıyor; az sayıda seçilmiş blok üreticisi doğrudan zincirin durumuna müdahale edebiliyor. Ağ, bu “kaldıraç”ı daha önce de kullanmıştı.
XPR Network’ün çekirdek geliştiricisi Metallicus, Eylül 2024’te borç verme kontratına yönelik bir yeniden giriş (re-entrancy) saldırısını rapor etmiş, ardından yatırma, borçlanma ve tasfiyeleri durdurmuş, etkilenen fonları dondurmuş ve kredi verme işlemlerini sonraki ay kademeli olarak yeniden açmıştı.
Sıradaki Haber: Sam Altman, 2026 OpenAI Halka Arzını Reddetti: Gerekçe “Yapay Zekâ Güvenliği”
