SUI ekosistemindeki Merkezi Olmayan Finans platformu ciddi bir saldırıya uğradı, kayıplar 200 milyon doları aştı
22 May'da, SUI ekosistemindeki bir likidite sağlama platformu siber saldırıya uğradı ve büyük kayıplara neden oldu. Platformun birçok işlem çifti önemli ölçüde düştü, likidite havuzunun derinliği ciddi şekilde azaldı ve kayıp tutarının 230 milyon dolardan fazla olduğu tahmin ediliyor.
Olayın ardından, platform tarafı hızlıca bir duyuru yayımlayarak akıllı sözleşme işlemlerini durdurduğunu ve olayı araştırdığını bildirdi. Aynı zamanda, birçok güvenlik ekibi de analiz için müdahale etti; aşağıda bu saldırı yöntemine ve fon akışına dair detaylı bir analiz bulunmaktadır.
Saldırı Analizi
Bu saldırının temelinde, hackerların dikkatlice hazırlanmış parametreler kullanarak sistemdeki matematiksel hesaplama açıklarından yararlanmaları ve çok az miktarda token ile büyük miktarda likidite varlığı elde etmeleri yatıyor. Ayrıntılı adımlar şöyle:
Hacker öncelikle bir flash loan aracılığıyla büyük miktarda haSUI token'i ödünç aldı ve bu durumla ilgili işlem çiftlerinin fiyatı %99.90 oranında düştü.
Ardından çok dar bir fiyat aralığında likidite pozisyonu açın.
Saldırının ana adımı, büyük miktarda likidite ekleyeceğini beyan etmektir, ancak gerçekte yalnızca 1 token sağlar. Bu, sistemdeki get_delta_a fonksiyonunun taşma kontrolü açığını kullanır.
Sistem gerekli haSUI miktarını hesapladığında, taşma doğru bir şekilde tespit edilmediği için gerçek gerekli miktar ciddi şekilde hafife alındı.
Son olarak, hacker likiditeyi kaldırarak büyük miktarda token elde etti ve flash loan'ı geri ödeyerek saldırıyı tamamladı.
Fon Akışı Analizi
Takip edilen bilgilere göre, hackerlar yaklaşık 2.3 milyar dolar kazanç elde etti, bu kazanç SUI, vSUI, USDC gibi çeşitli varlıkları içeriyor. Saldırı tamamlandıktan sonra, hackerlar bazı varlıkları köprüler aracılığıyla Ethereum ve diğer birçok blockchain'e transfer etti.
Dikkat çekici olan, SUI Vakfı gibi kuruluşların yardımıyla, şu anda yaklaşık 162 milyon dolarlık çalınan fonun başarıyla dondurulmuş olmasıdır.
Ethereum ağı üzerinde, hacker'lar elde ettikleri USDT, USDC ve SOL gibi varlıkları merkezi olmayan borsa aracılığıyla ETH'ye dönüştürdü. Bunlardan 20.000 ETH yeni bir adrese transfer edildi ve şu anda daha fazla bir gelişme yok.
Onarım Durumu
Platform tarafı, bu saldırıya neden olan açığı gidermek için bir yamanın yayımlandığını duyurdu. Yamada, checked_shlw fonksiyonuna yönelik düzeltmeler yapıldı, taşma kontrolü için karar koşulları ve eşik değerleri ayarlandı, büyük sayılar sola kaydırıldığında taşma durumunu doğru bir şekilde tespit edebilmesi sağlandı.
Bu olay, Merkezi Olmayan Finans protokollerindeki matematiksel hesaplamaların güvenliğinin önemini bir kez daha vurguladı. Geliştiricilerin, benzer hassas matematik saldırılarını önlemek için tüm matematik fonksiyonlarının sınır koşullarını doğrulamaya özellikle dikkat etmeleri gerekmektedir.
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
SUI ekosistem platformu hacker saldırısına uğradı, 2 milyar dolardan fazla kayıp yaşandı, 162 milyon dolar donduruldu.
SUI ekosistemindeki Merkezi Olmayan Finans platformu ciddi bir saldırıya uğradı, kayıplar 200 milyon doları aştı
22 May'da, SUI ekosistemindeki bir likidite sağlama platformu siber saldırıya uğradı ve büyük kayıplara neden oldu. Platformun birçok işlem çifti önemli ölçüde düştü, likidite havuzunun derinliği ciddi şekilde azaldı ve kayıp tutarının 230 milyon dolardan fazla olduğu tahmin ediliyor.
Olayın ardından, platform tarafı hızlıca bir duyuru yayımlayarak akıllı sözleşme işlemlerini durdurduğunu ve olayı araştırdığını bildirdi. Aynı zamanda, birçok güvenlik ekibi de analiz için müdahale etti; aşağıda bu saldırı yöntemine ve fon akışına dair detaylı bir analiz bulunmaktadır.
Saldırı Analizi
Bu saldırının temelinde, hackerların dikkatlice hazırlanmış parametreler kullanarak sistemdeki matematiksel hesaplama açıklarından yararlanmaları ve çok az miktarda token ile büyük miktarda likidite varlığı elde etmeleri yatıyor. Ayrıntılı adımlar şöyle:
Hacker öncelikle bir flash loan aracılığıyla büyük miktarda haSUI token'i ödünç aldı ve bu durumla ilgili işlem çiftlerinin fiyatı %99.90 oranında düştü.
Ardından çok dar bir fiyat aralığında likidite pozisyonu açın.
Saldırının ana adımı, büyük miktarda likidite ekleyeceğini beyan etmektir, ancak gerçekte yalnızca 1 token sağlar. Bu, sistemdeki get_delta_a fonksiyonunun taşma kontrolü açığını kullanır.
Sistem gerekli haSUI miktarını hesapladığında, taşma doğru bir şekilde tespit edilmediği için gerçek gerekli miktar ciddi şekilde hafife alındı.
Son olarak, hacker likiditeyi kaldırarak büyük miktarda token elde etti ve flash loan'ı geri ödeyerek saldırıyı tamamladı.
Fon Akışı Analizi
Takip edilen bilgilere göre, hackerlar yaklaşık 2.3 milyar dolar kazanç elde etti, bu kazanç SUI, vSUI, USDC gibi çeşitli varlıkları içeriyor. Saldırı tamamlandıktan sonra, hackerlar bazı varlıkları köprüler aracılığıyla Ethereum ve diğer birçok blockchain'e transfer etti.
Dikkat çekici olan, SUI Vakfı gibi kuruluşların yardımıyla, şu anda yaklaşık 162 milyon dolarlık çalınan fonun başarıyla dondurulmuş olmasıdır.
Ethereum ağı üzerinde, hacker'lar elde ettikleri USDT, USDC ve SOL gibi varlıkları merkezi olmayan borsa aracılığıyla ETH'ye dönüştürdü. Bunlardan 20.000 ETH yeni bir adrese transfer edildi ve şu anda daha fazla bir gelişme yok.
Onarım Durumu
Platform tarafı, bu saldırıya neden olan açığı gidermek için bir yamanın yayımlandığını duyurdu. Yamada, checked_shlw fonksiyonuna yönelik düzeltmeler yapıldı, taşma kontrolü için karar koşulları ve eşik değerleri ayarlandı, büyük sayılar sola kaydırıldığında taşma durumunu doğru bir şekilde tespit edebilmesi sağlandı.
Bu olay, Merkezi Olmayan Finans protokollerindeki matematiksel hesaplamaların güvenliğinin önemini bir kez daha vurguladı. Geliştiricilerin, benzer hassas matematik saldırılarını önlemek için tüm matematik fonksiyonlarının sınır koşullarını doğrulamaya özellikle dikkat etmeleri gerekmektedir.