.jpeg)
0x tarafından geliştirilen bir ticaret platformu olan Matcha Meta, entegre edilmiş toplayıcısı SwapNet'teki bir güvenlik açığına ilişkin kritik bir güvenlik uyarısı yayınladı. İstismar, öncelikle Matcha'nın Tek Seferlik Onay özelliğini devre dışı bırakmış ve bireysel toplayıcı sözleşmelerine doğrudan token onayları vermiş kullanıcıları etkileyerek 16,8 milyon doların üzerinde kripto para biriminin boşaltılmasına yol açtı.
Anahtar Çıkarımlar
-
SwapNet hatası nedeniyle 16,8 milyon doların üzerinde kripto para boşaltıldı.
-
Güvenlik açığı, SwapNet sözleşmesindeki rastgele bir çağrıdan kaynaklandı ve Tek Seferlik Onayları devre dışı bırakan kullanıcıları etkiledi.
-
Matcha ve SwapNet etkilenen sözleşmeleri devre dışı bıraktı ve kullanıcılar derhal manuel token onaylarını geri çekmeye çağrılıyor.
SwapNet İstismar Detayları
Güvenlik olayı, platformun Tek Seferlik Onay sisteminden çıkmayı tercih eden kullanıcılar için potansiyel riskler fark eden Matcha Meta tarafından ortaya çıkarıldı. Bu daha güvenli yöntemi kullanmak yerine, bu kullanıcılar SwapNet dahil olmak üzere belirli toplayıcı sözleşmelerine doğrudan onaylar vermişti.
Bu doğrudan onay mekanizması, bir saldırganın SwapNet sözleşmesi içindeki "rastgele çağrı" güvenlik açığından yararlanmasına olanak tanıdı. Bu istismar, saldırganın kullanıcıların zaten onayladığı fonları başka bir yetkilendirme gerektirmeden aktarmasına olanak tanıdı. Zincir üstü veriler, Base ağında yaklaşık 10,5 milyon dolar değerinde USDC'nin 3.655 ETH için takas edilmesi ve saldırganın daha sonra bu fonları Ethereum'a köprülemesi dahil olmak üzere önemli bir aktiviteyi gösteriyor.
Güvenlik Firması Onayları ve Daha Geniş Etki
PeckShield ve BlockSec gibi blok zinciri güvenlik firmaları fonların boşaltıldığını doğruladı. PeckShield, yaklaşık 16,8 milyon doların boşaltıldığını ve Base ağı aktivitesine odaklanıldığını bildirdi. BlockSec'in Phalcon platformu, Ethereum, Arbitrum, Base ve BNB Chain'deki birden fazla kurban sözleşmesinin hedef alındığını ve toplam kayıpların potansiyel olarak 17 milyon doları aştığını belirledi. Etkilenen sözleşmelerin açık kaynaklı olmadığını ve "rastgele çağrı" işlevi açığa çıkardığını, bunun da transferFrom çağrıları aracılığıyla varlıkların boşaltılmasını kolaylaştırdığını kaydettiler.
Etkilenen iki büyük dağıtıcı belirlendi: yaklaşık 3,67 milyon dolar kaybeden 0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112 ve yaklaşık 13,41 milyon dolar kaybeden 0x9cb8d9BaE84830b7f5F11ee5048c04a80b8514BA.
Matcha'nın Yanıtı ve Kullanıcı Rehberliği
Olayın ardından Matcha Meta, SwapNet ekibiyle işbirliği yaparak SwapNet'in sözleşmelerinin geçici olarak devre dışı bırakılmasına yol açtı. Matcha ayrıca, AllowanceHolder ve Settler sözleşmeleri dahil olmak üzere çekirdek 0x protokol altyapısının etkilenmediğini de açıkladı. Matcha'nın Tek Seferlik Onay sistemini sürekli kullanan kullanıcılar güvende kaldı.
Daha fazla riski azaltmak için Matcha Meta, kullanıcıların toplayıcı sözleşmelerine doğrudan izinler ayarlama seçeneğini kaldırdı ve gelecekte benzer istismarları önledi. Platform, tüm kullanıcılara aşağıdaki eylemleri gerçekleştirmelerini şiddetle tavsiye eder:
-
SwapNet ve diğer üçüncü taraf toplayıcılarla bağlantılı tüm onayları derhal geri çekin.
-
Gelecekteki işlemler için Matcha'nın Tek Seferlik Onay sistemini kullanmaya öncelik verin.
-
Devam eden soruşturmalar ve güncellemeler hakkında bilgi sahibi olun.
Olay, özellikle üçüncü taraf hizmetleriyle etkileşimde bulunurken, DeFi alanında token onaylarını dikkatli bir şekilde yönetmenin önemini vurgulamaktadır.
Kaynaklar
-
Matcha Meta Flags SwapNet Bug as Over $16.8M is Drained, The Crypto Times.
Bu makale, yapay zeka destekli teknolojinin yardımıyla oluşturulmuş ve birçok güvenilir kaynaktan yararlanılarak hazırlanmıştır. Nihai içerik, doğruluk, açıklık ve tutarlılığı sağlamak amacıyla BlockzHub editör ekibi tarafından titizlikle gözden geçirilmiş ve düzenlenmiştir. Orijinal haber kaynakları, uygun ve gerekli görüldüğünde belirtilmiştir. Bu makalede ifade edilen görüşler, BlockzHub'ın resmi görüş veya pozisyonlarını mutlaka yansıtmaz. Makale yalnızca bilgilendirme amaçlıdır ve finansal veya profesyonel bir tavsiye olarak değerlendirilmemelidir. Yatırım yapmak risk içerir; herhangi bir yatırım kararı vermeden önce nitelikli bir finansal danışmana danışmanız önerilir.