ICON Foundation, ICON blok zinciri üzerinde çalışan bir ekosistem olarak, 27 Ağustos’ta yaşanan replay (tekrar) açığının ardından vakfa ait varlıklardan 119.866.000 ICX ve 531.600 bnUSD’nin serbest kaldığını açıkladı. Söz konusu açık, iki geçerli çekim mesajının toplamda 1.492 kez yeniden kullanılmasıyla ortaya çıktı. 30 Ağustos’ta yayımlanan olay sonrası raporunda, 1.490 çağrının başarılı olduğu, ancak hiçbir kullanıcı mevduatı, bakiyesi veya pozisyonuna erişilmediği belirtildi.
Açığa çıkan ICX miktarı, kesinleşen kayıpla aynı değil. ICON, şu ana kadar net kaybı yaklaşık 150,2 Ethereum ve 31.204 USDC olarak açıkladı. ICX’in büyük kısmı ise izlenerek donduruldu ve aktif olarak geri kazanım sürecinde. Vakıf, bnUSD ve SODA’nın tamamen geri alındığını, ancak borsalarda tutulan miktarların kesinleşmediğini bildirdi. Bu ayrım önemli çünkü ICON, borsalarda ne kadar ICX’in tutulduğu, dönüştürüldüğü veya çekildiğine dair kesin rakamları henüz almadı.
Açık, saldırganın çekim tanımlayıcısının bir bölümünü değiştirmesine olanak tanırken, imzalı yük doğrulamasında herhangi bir değişiklik yapılmadı. ICON, bu uyumsuzluğun, çekim mesajlarını 32 bayta standartlaştırmak amacıyla yapılan ve seri numarasının bir kısmını float64 aralığında işleyen bir değişiklikten kaynaklandığını belirtti.
Bu nedenle, akıllı sözleşmenin benzersizlik kontrolü, saldırganın değiştirebildiği üst bitlere bakarken, kriptografik doğrulama değişmeyen alt 256 bit üzerinde yapıldı. Her tekrar setinde imzalı yük ve imza aynı kalırken, değiştirilen imzasız bölüm çağrıların benzersiz görünmesini sağladı. İki çağrı geri çevrildi; başarılı olan her çağrı ise aynı relayer cüzdanına aktarıldı. ICON, açığın yalnızca kendi uygulamasına özgü olduğunu, çünkü desteklenen diğer zincirlerde sabit uzunlukta tamsayılar kullanıldığını ve benzer bir uyumsuzluğun oluşamayacağını vurguladı.
ICON Replay Açığının Tespit ve Müdahale Süreci
ICON’un izleme sistemi, saldırının başlamasından yedi dakika sonra, 02:08 UTC’de alarm verdi. Teknik ekip yaklaşık 03:40’ta incelemeye başladı; bu, alarmdan 92 dakika sonraydı. İlgili akıllı sözleşme ise 03:53’te duraklatıldı; alarmdan 105 dakika sonra.
ICON’a göre saldırgan, 02:44’te ICX’i borsa yatırma adreslerine bölmeye başladı ve bu dağıtım 05:20’ye kadar sürdü. Vakıf, ICON tarafında yapılan duraklatmanın, borsalara aktarılan fonların hareketini engelleyemediğini belirtti.
Ağ, 06:18:54’te durduruldu ve ertesi gün yaklaşık 07:51’de yeniden başlatıldı; bu da yaklaşık 25 saatlik bir kesintiye işaret ediyor. Bitvavo, Bitget ve KuCoin gibi borsalardan yapılan kamuya açık duyurular, olay sırasında ICX yatırma ve çekme işlemlerinin askıya alındığını doğruladı. Ancak hiçbir borsa, saldırgan fonlarını tuttuğunu veya dondurulan miktarı doğruladığını belirtmedi.
Bu içerik hazırlanırken faydalanılan kaynaklar: cryptorank.io
