AFX protokolü ve Verus-Ethereum köprüsü, birkaç saat arayla toplamda yaklaşık 31,69 milyon dolarlık kayıp yaşadı. Ayrı olarak, B² Network ise bir akıllı sözleşme güncelleme yetkisine izinsiz erişim tespit edilmesinin ardından token staking işlemlerini askıya aldı.
Blok zinciri güvenlik şirketi Blockaid, AFX protokolündeki açığı 22 Temmuz saat 21:30 civarında tespit etti. Arbitrum üzerinde çalışan merkeziyetsiz bir alım-satım protokolü olan AFX’in işlemlerinde, köprüden 24,15 milyon USDC çıkışı kaydedildi.
AFX, USDC saklama köprüsünü askıya aldığını ve olayın ticaret altyapısı, mainnet veya Arbitrum ağıyla doğrudan ilişkili olmadığını açıkladı. Etkilenen bileşenin, Arbitrum’un yerel köprüsünden farklı olarak üçüncü taraf bir köprü olduğu belirtildi.
24 Temmuz’da yayımlanan ön bulgulara göre, AFX protokolü olayın koordineli sosyal mühendislik ve altyapı ihlalinden kaynaklandığını bildirdi. Yetkisiz erişimin önce geliştirme ortamında başladığı, ardından iç yapım altyapısı ve doğrulayıcı sistemlerine kadar ilerlediği ifade edildi.
AFX, bakiyeleri doğrulama, fonların geri kazanımı ve iyileştirme planları üzerinde çalıştığını açıkladı. 24 Temmuz itibarıyla, fonların tamamen iade edildiğine veya kesinleşmiş bir tazminat planına dair bir duyuru yapılmadı.
AFX olayından birkaç saat sonra, bir Ethereum işlemi Verus köprüsünden 1.137,4528 ETH ve yedi token transferinin gerçekleştiğini gösterdi. Blockaid, teminatsız yapılan bu ödemelerin toplam değerini yaklaşık 7,54 milyon dolar olarak hesapladı.
Güvenlik firması SlowMist’in analizine göre, köprü sekiz çekim işlemini, karşılığında teminat gösterilmeden onayladı. Firma, bu açığın mayıs ayında yaşanan bir başka zincirler arası doğrulama açığıyla aynı kategoriye girdiğini, ancak iki saldırının farklı tekniklerle gerçekleştirildiğini belirtti.
B² Network’teki olay ise bir köprü açığı olarak duyurulmadı. Ağ, staking sözleşmesinin güncelleme yetkisine izinsiz erişim sağlandığını açıkladı. Güvenlik incelemeleri sırasında normal staking işlemleri askıya alındı, sorunun kontrol altına alındığı ve etkilenen kullanıcılara tam tazminat sağlanacağı taahhüt edildi. 24 Temmuz itibarıyla, zararların tamamen telafi edildiğine dair bir belge yayımlanmadı.
B² ayrıca manuel çıkış imkanı sundu: Kullanıcılar, resmi Discord kanalı üzerinden sahiplik doğrulamasıyla unstake talebinde bulunabiliyor ve talepler bir iş günü içinde işleme alınıyor. Ağ, kayıp miktarını açıklamadığı için bu olay, toplam 31,69 milyon dolarlık köprü kaybı hesaplamasına dahil edilmedi. Normal staking işlemleri yeniden başlayana kadar, B² kullanıcılarının stake edilen token’larını çekmek için bu manuel inceleme yolunu kullanması gerekiyor.
Bu üç olay, temel zincir mutabakatı dışında kalan farklı kontrol noktalarında güvenlik açıklarını ortaya çıkardı. AFX’in saklama ve doğrulayıcı altyapısı, Verus’un köprü muhasebe kontrolleri ve B²’nin staking sözleşmesi güncelleme yetkisi, normal erişimin başarısız olduğu noktalar oldu.
Kullanıcılar için önümüzdeki süreçte, fonların geri kazanım planlarıyla iade edilip edilmeyeceği, zincirler arası doğrulamanın ekonomik teminatı sağlayıp sağlamadığı ve güncelleme yetkisinin, acil çıkışların manuel müdahaleye bağlı kalmadan korunup korunamayacağı test edilecek.
Bu içerik hazırlanırken faydalanılan kaynaklar: cryptorank.io
