Hacker, Kimlik Avı saldırısından $10 Milyon'u Tornado Cash'e transfer etti.

Eylül 2023'teki bir kimlik avı saldırısına bağlı bir kripto para cüzdanı, dijital varlık ekosistemindeki devam eden güvenlik zorluklarını vurgulayarak $10 milyon değerinde Ethereum'u kripto para karıştırma servisi Tornado Cash'e taşıdı.

Saldırı Detayları ve Fon Hareketi

21 Mart'ta, blockchain güvenlik firması CertiK, Eylül 2023 hack'ine karışan bir hesabın 3,700 Eter ( yaklaşık $10 milyon) Tornado Cash'e transfer ettiğini tespit etti. Bu hesap, büyük miktarda kripto para tutan bireylere atıfta bulunan "whale" terimi ile tanımlanan bir kripto para "balinası"ndan $24 milyon dijital varlık çalınmasına yol açan önemli bir güvenlik ihlali ile bağlantılıydı.

Olayın orijinali 6 Eylül 2023'te gerçekleşti; bu tarihte mağdur, Rocket Pool likidite staking hizmeti aracılığıyla stake edilmiş ETH'deki önemli varlıklarını kaybetti. Sofistike saldırı iki ayrı aşamada gerçekleştirildi:

• İlk aşama: 9,579 stETH ( stake edilmiş Ethereum) çıkarılması
• İkinci aşama: 4,851 rETH (Rocket Pool ETH) çalınması

Teknik Zayıflık Sömürüldü

Scam Sniffer projesine göre, dolandırıcılık tespitine odaklanan bir güvenlik girişimi, kurbanın istemeden bir "İzin Artırma" işlemini onayladığını belirtiyor. Bu kritik güvenlik hatası, saldırganın yetkisiz transferler için token onaylamasına olanak tanıdı.

Sömürü, üçüncü şahısların başkalarının sahip olduğu tokenleri harcamasına izin veren ERC-20 token standardının onay mekanizmasını kullanıyordu - uygun şekilde yetkilendirildiğinde meşru bir özellik, ancak kötüye kullanıldığında tehlikeli. Bu, kripto para güvenliği çevrelerinde token onay fonksiyonlarının doğasında bulunan riskler hakkında önemli bir tartışma başlattı.

Varlık Dönüşümü ve Dağıtımı

Blockchain güvenliği izleme firması PeckShield, hırsızlığın ardından saldırganın çalınan varlıkları şunlara dönüştürdüğünü belgeledi:

• 13,785 Eter
• 1.64 milyon Dai stablecoin

Hacker daha sonra bu varlıkları stratejik olarak dağıttı, bazı DAI'leri FixedFload borsasına aktarırken, kalan çalınan fonları çeşitli diğer kripto para cüzdanlarına taşıdı.

Sektör Genelinde Phishing Problemi

Bu olay izole değildir, aynı zamanda kripto para güvenliğinde endişe verici bir trendin parçasıdır. Scam Sniffer projesinden alınan verilere göre, yalnızca Şubat ayında kripto para sektöründeki oltalama ile ilgili dolandırıcılıklar nedeniyle neredeyse $47 milyon kayıp yaşandı.

Rapor, saldırı desenleri hakkında kritik bilgiler sağladı:

• Hırsızlıkların %78'i Ethereum ağında gerçekleşti
• ERC-20 tokenleri, çalınan tüm fonların %86'sını oluşturmaktadır.

İlgili Güvenlik Olayları

Token onay zayıflıkları son zamanlarda başka önemli kayıplara neden oldu. 20 Mart'ta, Dolomite borsası tarafından daha önce kullanılan eski bir sözleşme istismar edildi ve bu durum, sözleşmeye daha önce izin veren kullanıcılardan 1.8 milyon dolarlık bir çalınmaya yol açtı. Buna yanıt olarak, Dolomite geliştiricileri acilen kullanıcılara, tehlikeye atılmış sözleşme adresine verilen tüm izinleri geri almalarını tavsiye etti.

Tüm saldırılar tam kayıplarla sonuçlanmaz. 20 Mart'taki bir başka olayda, Layerswap ekibi web siteleri tehlikeye girdiğinde zararları başarıyla sınırladı; bunun nedeni alan adı sağlayıcılarının hızlı müdahalesiydi. Çabalarına rağmen, yaklaşık 100.000 $ yaklaşık 50 kullanıcıdan çalındı. Layerswap, bu kayıpları geri ödemeyi ve etkilenen kullanıcılara ek tazminat sağlamayı taahhüt etti.

Güvenlik Etkileri

Bu olaylar, kripto para ekosisteminde kimlik avı saldırılarının sürekli tehdit olduğunu vurgulamaktadır. Token onay mekanizmalarının ve akıllı sözleşme zafiyetlerinin istismar edilmesi, dijital varlık sahipleri arasında güvenlik uygulamalarının artırılması gereğini ortaya koymaktadır.

Saldırılar giderek daha karmaşık hale geldikçe, kripto para kullanıcıları artırılmış bir dikkat göstermeli, tüm işlemleri dikkatlice doğrulamalı ve düzenli olarak sözleşme onaylarını gözden geçirmelidir. Güvenlik firmaları, platform operatörleri ve daha geniş topluluğun ortak çabaları, dijital varlıkları daha iyi koruyabilecek ve kripto para işlemleri için daha güvenli bir ortam yaratabilecek daha sağlam araçlar ve prosedürler geliştirmek için hayati öneme sahiptir.