24 Eylül’de üç kripto projesine yönelik saldırılar, toplamda 11 milyon doları aşan zarara yol açtı. Payy Network, Duelbits ve Meter Network farklı yöntemlerle hedef alınırken, olaylar kripto altyapısındaki çok katmanlı zafiyetlere dikkat çekti.
Öne çıkanlar:
- Payy Network’ün Ethereum köprüsü boşaltıldı, yaklaşık 1,8 milyon dolar kayıp yaşandı; Duelbits tarafında zarar yaklaşık 7 milyon dolara ulaştı.
- Meter saldırganları, teminatı olmayan yaklaşık 2,3 milyon dolar tutarında varlık bastı ve bunların bir bölümünü PancakeSwap üzerinden elden çıkardı.
- Olaylar, köprüler, sıcak cüzdanlar ve token doğrulama sistemleri genelinde riskleri görünür kıldı.
Payy ve Duelbits’te ardışık saldırılar
Zincir üstü bordro ve hazine yönetimi platformu Payy Network, Ethereum (ETH) köprüsüne yönelik saldırının ardından ağı durdurdu. On-chain araştırmacı Specter, köprüden gelen şüpheli transferleri takip ederek saldırganın önce Railgun üzerinden fonlandığını, ardından yaklaşık 1,8 milyon dolar değerindeki USD Coin (USDC)’i Ethereum’a çevirdiğini tespit etti. Payy, çekilen varlıkların saklama hizmetinde tutulmayan, Payy Network ve Payy Wallet kullanıcılarına ait mevduatlar olduğunu açıkladı.
Kısa süre sonra bu kez Duelbits hedef alındı. Blok zinciri güvenlik firması PeckShield, ilk aşamada zararı 4,3 milyon dolar civarında tahmin etti; ancak Specter, Bitcoin (BTC) ve Solana (SOL) ağlarındaki ek adresleri de tespit ederek kaybın daha yüksek olabileceğini ortaya koydu. Duelbits’in kurucu ortaklarından biri, toplam zararın 7 milyon dolara yaklaştığını belirterek “Kullanıcı fonları güvende” ifadesini kullandı.
Meter’de yetkisiz basım şoku
Meter tarafında ise bambaşka bir saldırı vektörü devreye girdi. Güvenlik firması Blockaid, saldırganın Meter Passport’u istismar ederek yaklaşık 2,3 milyon dolar tutarında, hiçbir teminatla desteklenmeyen varlık bastığını, ardından bunların bir kısmını PancakeSwap üzerinden sattığını bildirdi. Olay sonrası MTR (MTR) fiyatı yaklaşık yüzde 80, MTRG (MTRG) ise yaklaşık yüzde 75 değer kaybetti.
Ayrıca Bkz.: Ethereum Yükselişi 200 Günlük Ortalamanın Geri Alınmasının Ardından 2.800 Dolara Bağlı
Blockaid’den güvenlik çerçevesi: Ortak açık yok, farklı kırılma noktaları var
Güvenlik araştırmacılarına göre üç olayda da tek bir “ortak açık” yok; her projede farklı kırılma noktaları öne çıkıyor. Payy, ilk kök neden analizinin ardından ihlalin “ele geçirilmiş anahtar, sosyal mühendislik ya da zincir dışı altyapımıza yönelik bir açık” kaynaklı olmadığını vurguladı. Duelbits cephesindeki raporlar ise büyük olasılıkla bir özel anahtar sızıntısına işaret ediyor. Blockaid’in Meter bulguları ise köprü üzerinden yetkisiz token basımı etrafında şekilleniyor.
Bu saldırı dalgası, sektördeki daha geniş ölçekli güvenlik baskısının da ortasına denk geldi. Kripto borsası Bitget, yaklaşık 351,6 milyon dolar tutarında olduğu tahmin edilen yetkisiz varlık transferlerini araştırırken, güvenlik kontrolleri için çekimleri geçici olarak askıya aldı. İşlem ve yatırma işlemleri sürerken, borsa kullanıcı bakiyelerinin arayüzde doğru göründüğünü belirtti. Öte yandan KelpDAO, 292 milyon dolarlık bir saldırı nedeniyle, açıklanmayan riskler ve teknoloji eksikliklerinin kaybı tetiklediği iddiasıyla LayerZero ve kurucu ortak Brian Pellegrino’ya dava açtı.
24 Eylül’deki olaylar, iki projeye ilişkin eski güvenlik endişelerini de yeniden gündeme taşıdı. Duelbits, 2024’te CertiK’in olası bir özel anahtar sızıntısıyla ilişkilendirdiği bir saldırıda yaklaşık 4,6 milyon dolar kaybetmişti. Meter ise 2022’de köprüsündeki bir açık nedeniyle yaklaşık 4,4 milyon dolarlık istismara maruz kalmıştı.
Sıradaki Haber: Michael Saylor Bankaların Bitcoini Günlük Teminat Aracına Dönüştürmesini İstiyor
