9 Kasım’da, Ankr’ın Ethereum çapraz‑zincir köprüsünde gerçekleşen bir güvenlik ihlali, Blockaid adlı blokzincir izleme firmasının verilerine göre beş yetkisiz çekimle toplamda 303.000$'ı aşan bir değer kaybına yol açtı. Saldırgan, 3 Kasım’da Optimism üzerinde yapılan küçük bir mevduatı yeniden kullanarak Ethereum ağında farklı tokenların birden fazla çekimini talep etmiş gibi görünüyor.

ETH / USD
Kaynak: CoinGecko. Fiyatlar gösterge niteliğindedir.

Saldırının nasıl gerçekleştiği

Blockaid’in analizi, saldırganın zaten Ethereum’da tahsil edilmiş 0.0044024803 ankrETH mevduatına referans verdiğini gösteriyor. Alıcı, token türü ve miktarını değiştirerek beş yeni çekim talebi gönderdi ve köprünün yetkilendirme mantığını tetikleyerek transferlerin onaylanmasını sağladı. Çekimler, Doğu Saatiyle 03:09 – 03:12 arasında gerçekleşti ve tek bir hedef cüzdana gönderildi.

Alınan varlıklar ve tahmini değer

Kayıbın en büyük kısmı, yaklaşık 82,91 ankrETH olup, değeri yaklaşık 216.370$ olarak hesaplandı. Saldırgan ayrıca 515.206 ankrPOL tokenı (56.372$) ve yaklaşık 7,98 milyon ANKR tokenı (30.857$) da çekti. İki ek varlık—5.372,25 aMATICb ve 0,8196 aETHb—transfer edildi, ancak bu varlıkların piyasa değerleri raporlama anında Etherscan’de bulunamadığından 303.000$ tahminine dahil edilmedi.

Yanıt ve daha geniş bağlam

Olay süresince Ankr’ın kamuya açık duraklatma bayrağı false (kapalı) kaldı ve şirket ihlali kamuoyuna açıklamadı ya da RPC hizmetleri ve diğer ürünlerin etkilenip etkilenmediğini doğrulamadı. Firma, daha önce Ağustos ayında ankrFLOW sözleşmesindeki bir güvenlik açığı nedeniyle yaklaşık 410.000$ kayıp yaşamıştı; bu açık, teminatsız tokenların oluşturulmasına izin veriyordu. Bu yıl içinde Cysic’in BNB Smart Chain köprüsü ve bir XRPL köprü operatörüne yönelik saldırılar da dahil olmak üzere benzer köprü saldırıları rapor edilmiştir; bu durum çapraz‑zincir işlem doğrulamasındaki süregelen zorlukları ortaya koymaktadır.

İleride neler izlenmeli

Yatırımcılar ve geliştiriciler, Ankr’ın olası resmi açıklamalarını, iyileştirme adımlarını, etkilenen kullanıcılar için tazminat olasılığını ve ek güvenlik yamalarının uygulanıp uygulanmayacağını yakından takip edecek. Düzenleyiciler ve güvenlik araştırmacıları da hatanın köprünün imzalama sürecinde, makbuz doğrulamasında ya da başka bir bileşende mi olduğunu inceleyecek; bu bulgular, gelecekteki çapraz‑zincir köprü tasarım standartlarını etkileyebilir.

Kaynaklar