Kripto sektörü bu hafta sonu üç ayrı protokolde art arda yaşanan güvenlik sorunlarıyla çalkalandı. Secret Network'ün Axelar köprüsü milyonlarca dolarlık sahte basım saldırısına kurban gitti, Ethereum katman 2 ağı Taiko bir açık sonrası blok üretimini tamamen durdurdu, DeFi protokolü Altura da yoğun çekim talepleri yüzünden stablecoin kasasını tasfiye etmek zorunda kaldı.
Secret Network'ün Axelar köprüsünden 4,67 milyon dolar çalındı
Secret Network'ü Axelar'a bağlayan IBC köprü kontratındaki bir açık, saldırganın karşılıksız Secret-wrapped token basmasına imkân tanıdı. Common Prefix'in incelemesine göre saldırgan bu yolla yaklaşık 4,67 milyon dolar çekti. 10 Haziran'da gerçekleşen saldırı 17 Haziran'a kadar fark edilmedi; o gün başarısız bir zincirler arası transfer emanet hesabının boşaldığını ortaya çıkardı.
IBC kanalı açmak izin gerektirmiyor, saldırgan da bunu kullandı: tek doğrulayıcılı bir Cosmos zinciri kurdu, köprü kontratına kanal açtı ve izin listesindeki token tanımlarıyla eşleşen sahte paketleri kendi aktardı. Kontrat bu paketleri gerçek Axelar kanalından gelenlerden ayırt edemediği için karşılıksız token bastı. Açığın kökeni kontratın 2023'teki ilk dağıtımına dayanıyor; 5 Mart'taki bir güncelleme de aynı eksik kontrolleri olduğu gibi taşımış.
Axelar, Secret ve Secret-SNIP bağlantılarını devre dışı bıraktı, kendi protokolünün etkilenmediğini açıkladı. Çalınan varlıkların yaklaşık 672.000 dolarlık kısmı hâlâ saldırganın cüzdanında; Secret Network bu varlıkların dondurulmasını istemiş, Axelar ise bu talebi takip etmeme kararı almış.
Taiko saldırı sonrası blok üretimini durdurdu
Ethereum tabanlı rollup Taiko, zincir durumu doğrulama mekanizmasının ele geçirildiğini doğruladı, kullanıcılarına ağdaki tüm köprülerden fonlarını çekmelerini söyledi. Tüm proposer'lar inceleme süresince yeni blok üretimini askıya aldı; ekip ayrıca borsalardan native token için para yatırmaları durdurmalarını talep etti.
Güvenlik firması Blockaid, sorunun kaynağını Taiko köprüsünün kaynak-sinyal kanıt doğrulamasındaki bir kusura bağladı: sahte mesaj kanıtları, kaynak zincirde karşılık gelen gerçek bir olay olmadan Ethereum ana zincirinde geçerli sayılmış, bu da saldırganın sahte köprü mesajları kaydedip ERC20 kasasından izinsiz varlık çekmesine yol açmış. Blockaid kaybı yaklaşık 1 milyon dolar olarak açıklarken, PeckShield rakamı 1,7 milyon dolara yakın gösterdi; saldırgan ayrıca 1,99 milyon Taiko token'ını (yaklaşık 169.702 dolar) bir borsaya taşımış.
Altura "benzeri görülmemiş" çekim talepleri sonrası kasayı tasfiye ediyor
DeFi protokolü Altura, hafta sonu yaşanan yoğun çekim taleplerinin ardından yield kasasını düzenli şekilde tasfiye etmeye başladığını duyurdu. CEO Ranveer Arora, son 24 saatte 8,5 milyon dolardan fazla anlık iadenin yapıldığını söyledi. Zirvede 39 milyon dolara ulaşan kasa, fonlama oranı arbitrajı, piyasa yapıcılığı ve gerçek dünya varlığı (RWA) pozisyonları gibi stratejilere dağıtılmış stablecoin tutuyordu.
Arora, protokolün doğrudan bir maruziyeti olmadığını ama piyasadaki asılsız söylemlerden etkilendiğini belirtti; bu da Main Street'in yield getiren msUSD stablecoin'inin yüzde 70'in üzerinde değer kaybetmesine atıfta bulunuyordu. Main Street'in token'ı, kanıt sağlayıcısı Accountable'ın hizmet sözleşmesini feshetmesi sonrası çökmüştü. Accountable, Altura'ya da benzer bir doğrulama hizmeti sunuyor, bu ortaklık iki protokol arasında doğrudan bir bağlantı olmasa da piyasada bulaşma korkusu yarattı.
