CryptoSlate
Bir Aave mevduat sahibi, 10 Kasım'da Across Protocol'ün web sitesinin ele geçirilmesi sırasında yaklaşık 305 bin dolar değerinde aWETH kaybetti ve Bitquery'nin güncellenmiş soruşturması, kampanyadan kaynaklanan izlenebilir kayıpları beş blockchain'deki dokuz cüzdana yayılan 401.900 dolara yerleştiriyor. Fonlar, ele geçirilen arayüzden talep edilen imzalı bir harcama izniyle taşındı; bu onay, mevduat sahibinin ayrı borçlanma pozisyonunu da saldırganın erişim alanına soktu. Across, alan adının kayıt firmasına, Namecheap'e yönelik sosyal mühendislik yoluyla ele geçirildiğini söyledi.
Neden önemli
En büyük tekil kayıp, bir köprü kullanıcısından değil, Aave'nin mevduat tokenlerinin çalışma biçiminden kaynaklandı. Aave mevduatını temsil eden faiz getiren token aWETH devredilebilir durumda ve imzalı bir izin, başka bir hesabın onu harcamasına yetki verebiliyor. Bitquery'nin yeniden kurguladığı senaryoya göre sahte site sınırsız bir onay talep etti; ardından saldırganın cüzdanına 115,23 aWETH ve drainer'ın ücret cüzdanına 28,81 aWETH gönderildi, bu da yüzde 80/20'lik bir bölmeye denk geliyor. Sahibi, son çekişten bir dakika sonra izni iptal etti, ancak yaklaşık üç dakika içinde dört transfer çoktan tamamlanmıştı.
12 Kasım'da yayımlanan revize hesaplama, ayrıca daha önce gözden kaçan ve o an yaklaşık 54 bin dolar değerinde olan 26,38 ETH'lik bir çekimi de ekliyor ve yaygın biçimde dolaşıma giren 294 bin dolarlık rakamı düzeltiyor; Bitquery, bu rakamın saldırıdan önceye ait fonlar dahil ücret cüzdanının varlıklarıyla eşleştiğini söylüyor.
Piyasa etkisi
Across, alan adının kontrolünü 11 Kasım'da geri aldı ve etkilenen kullanıcılara zararlarının karşılanacağını ve bir olay değerlendirmesi yayımlayacağını taahhüt etti; bu da tazminat kapsamı sorusunu ön plana taşıyor: en büyük mağdurun kaybı, köprünün kendisinden değil, Aave üzerinden aktı. Bu olay, imza tabanlı onaylar konusunda yeni bir vaka çalışması niteliğinde; kullanıcının etkileşimde bulunduğunu sandığı sitenin çok ötesindeki pozisyonlara, ele geçirilmiş bir arayüzde imzalanan tek bir izinle ulaşılabiliyor.
Sıkça sorulan sorular
-
Saldırgan, Across hack'i üzerinden bir Aave pozisyonuna nasıl ulaştı?
Ele geçirilen Across sitesi, Aave'nin devredilebilir mevduat tokeni aWETH için imzalı bir izin talep etti. Bu onay, saldırganın tokenleri taşımasına izin verdi ve bu da mevduat sahibinin ayrı borçlanma pozisyonunu açığa çıkardı.
-
Across Protocol web sitesi ele geçirmesinde toplam kaç dolar kaybedildi?
Bitquery'nin 12 Kasım tahminine göre izlenebilen kayıplar, varlıkların çalındığı andaki fiyatlarla hesaplandığında beş blockchain'deki dokuz cüzdana yayılan 401.900 dolara ulaşıyor. Aave mevduat sahibi bu toplamın yaklaşık yüzde 76'sını oluşturuyor.
-
Önceki 294 bin dolarlık kayıp rakamı neden değişti?
Bitquery, bu rakamın saldırıdan önceye ait fonlar dahil drainer'ın ücret cüzdanı varlıklarıyla eşleştiğini söylüyor. Revize hesaplama, ayrıca yaklaşık 54 bin dolar değerinde olan ve daha önce gözden kaçan 26,38 ETH'lik bir çekimi de ekliyor.
-
aWETH nedir ve saldırgana karşı neden savunmasızdı?
aWETH, bir Aave mevduatını temsil eden faiz getiren bir tokendir. Devredilebilir olabilir ve imzalı bir izin, başka bir hesabın onu harcamasına yetki verebilir; saldırgan ilk sınırsız onaydan sonra tam olarak bu mekanizmayı kullandı.
-
Across Protocol ele geçirmesinin mağdurlarına tazminat ödenecek mi?
Across Protocol, alan adının kontrolünü 11 Kasım'da geri aldı ve etkilenen kullanıcılara zararlarının karşılanacağını ve bir olay değerlendirmesi yayımlayacağını taahhüt etti. Aave pozisyonu gibi kayıpların tazminat kapsamı ise hâlâ belirsizliğini koruyor.
WuBlockchain
WatcherGuru
CoinDesk
TheBlock
CoinTelegraph
Glassnode