402bridge protokolü, 17.000'den fazla USDC kaybına yol açan önemli bir güvenlik olayının kurbanı oldu. 27 Ekim'de meydana gelen ihlal, özel anahtar sızıntısı nedeniyle ekibin bir düzineden fazla cüzdanını tehlikeye attı. Bu olay, zincirler arası köprü ekosistemindeki devam eden güvenlik zorluklarını vurgulamaktadır.
Ana Çıkarımlar
-
Kayıp Miktarı: 17.693 USDC'den fazla çalındı.
-
Neden: Özel anahtar sızıntısı, birden fazla cüzdanın ve bir akıllı sözleşmenin tehlikeye atılmasına yol açtı.
-
Saldırı Vektörü: Bir saldırgan, akıllı sözleşme sahibini değiştiren ve kullanıcı fonlarını aktaran "aşırı yetkilendirme" açığından yararlandı.
-
Saldırganın Eylemleri: Çalınan USDC, 4.2 ETH'ye dönüştürüldü ve Arbitrum ağına taşındı.
-
Öneriler: Kullanıcılara, tehlikeye atılan akıllı sözleşme için yetkilendirmeyi iptal etmeleri tavsiye edilir.
-
Soruşturma: Kolluk kuvvetlerine haber verildi ve iç soruşturma devam ediyor.
Olayın Gelişimi
27 Ekim'de kimliği belirsiz bir hacker, 402bridge zincirler arası protokolünü hedef alarak yaklaşık 17.693 USDC çaldı. İhlalin, daha sonra ekibin bir düzineden fazla test ve ana cüzdanını tehlikeye atan bir özel anahtar sızıntısına bağlandığı belirtildi. GoPlus'tan güvenlik uzmanları, kök nedeni madeni para ihracından önceki "aşırı yetkilendirme" olarak belirledi. Saldırgan, tehlikeye atılan akıllı sözleşmenin sahibini değiştirmeyi başardı ve 200'den fazla kullanıcının cüzdanına fazla USDC dağıtmak için transferUserToken yöntemini kullandı. Bunun ardından saldırgan, stabilcoinleri zimmetine geçirdi, 4.2 ETH'ye dönüştürdü ve fonları Arbitrum ağına aktardı.
Zafiyetin Anlaşılması
402bridge protokolünün mekanizması, kullanıcıların bir web arayüzü aracılığıyla işlemleri imzalamasını veya onaylamasını gerektirir, bu işlemler daha sonra bir dahili sunucuya gönderilir. Bu sunucu fonları çeker ve madeni paraları basar. 402bridge ekibi, bu süreci kolaylaştırmak için özel anahtarın sunucuda saklanması gerektiğini, bu da onu çevrimiçi olarak erişilebilir hale getirdiğini açıkladı. Bu anahtarın sızdırılması, bir saldırganın yönetici ayrıcalıkları elde etmesine, kullanıcı fonlarını yönlendirmesine ve bu tür bir saldırıyı gerçekleştirmesine olanak tanıyabilir.
Daha Geniş Etkiler ve Sektör Tartışması
Bu olay, stabilcoin işlemleri için tasarlanmış ve yapay zeka ajanları için otonom anlaşmalar sağlayan çevrimiçi bir ödeme aracı olan x402 protokolüyle ilişkili ilk kamuya açık fon hırsını işaret ediyor. Saldırı, aynı zamanda Katman 2 (L2) ölçeklendirme çözümlerinin güvenliği hakkındaki daha geniş bir tartışmanın ortasında geldi. 402bridge olayından kısa bir süre önce, kripto araştırmacısı Gabriel Shapiro ile Solana kurucu ortağı Anatoly Yakovenko arasında L2 güvenliği konusunda bir anlaşmazlık çıktı. Yakovenko, mevcut L2'lerin, köprü sözleşmelerini kullanıcı bildiriminde bulunmadan değiştirebilen izinli çoklu imza nedeniyle savunmasız olduğunu, bunu Solana'nın doğrulayıcılarıyla karşılaştırdığını savundu. Shapiro, ZKsync gibi L2'lerin yasal ve yönetişim güvencelerine sahip olduğunu belirterek karşı çıktı, ancak Yakovenko yasal yapıların teknik riskleri ortadan kaldırmadığı konusunda ısrar etti. Global Ledger'daki uzmanlar daha önce zincirler arası köprüleri, bilgisayar korsanlarının çalınan fonları aklamak için kullandığı birincil araç olarak tanımlamış ve hack sonrası fon çekme hızının önemli bir sektör sorunu olduğunu vurgulamışlardı.
Kaynaklar
-
402bridge protokolü 17.000'den fazla USDC kaybetti, ForkLog.
-
402bridge İhlali, 200'den fazla kullanıcının USDC kaybına uğramasına neden oldu, Blockchain News
-
x402 Trendi Sırasında 402Bridge'in İstismarıyla Özel Anahtar Sızıntısı 17.000 Dolar Kaybetti, Intellectia
-
x402 Trendi Sırasında 402Bridge'in İstismarıyla Özel Anahtar Sızıntısı 17.000 Dolar Kaybetti, The Crypto Times
Bu makale, yapay zeka destekli teknolojinin yardımıyla oluşturulmuş ve birçok güvenilir kaynaktan yararlanılarak hazırlanmıştır. Nihai içerik, doğruluk, açıklık ve tutarlılığı sağlamak amacıyla BlockzHub editör ekibi tarafından titizlikle gözden geçirilmiş ve düzenlenmiştir. Orijinal haber kaynakları, uygun ve gerekli görüldüğünde belirtilmiştir. Bu makalede ifade edilen görüşler, BlockzHub'ın resmi görüş veya pozisyonlarını mutlaka yansıtmaz. Makale yalnızca bilgilendirme amaçlıdır ve finansal veya profesyonel bir tavsiye olarak değerlendirilmemelidir. Yatırım yapmak risk içerir; herhangi bir yatırım kararı vermeden önce nitelikli bir finansal danışmana danışmanız önerilir.