Ethereum Marj Trade projesi 300.000 dolarlık Hacker saldırısına uğradı

30 Mart 2025'te, Ethereum üzerinde çalışan bir marj ticareti projesi hacker saldırısının hedefi oldu ve 300.000 dolardan fazla varlık kaybına neden oldu. Güvenlik ekibi, bu olay üzerinde derinlemesine bir analiz gerçekleştirdi ve saldırının detaylarını ve nedenlerini açıkladı.

Olay Arka Planı

Saldırganlar, Solidity 0.8.24 sürümünde tanıtılan geçici depolama özelliğindeki bir açığı kullandı. Geçici depolama, düşük maliyetli, işlem süresince geçerli olan geçici bir depolama yöntemi sunmak için tasarlanmış yeni bir veri depolama konumudur. Ancak, bu özelliğin projedeki uygulanışında bir eksiklik bulunmakta ve bu durum hacker saldırısının bir kırılma noktası haline gelmiştir.

Saldırı Prensibi

Saldırının temelinde, geçici depolamadaki verilerin tüm işlem süresi boyunca geçerli kalması ve her fonksiyon çağrısı sona erdikten sonra silinmemesi yatıyor. Saldırgan, bu özelliği ustaca kullanarak, dikkatlice tasarlanmış işlem dizileri ile sözleşmedeki yetki kontrol mekanizmalarını aşmayı başardı.

Saldırı Adımları

1. Saldırgan iki özel token oluşturur ve bu iki token için bir DEX'te likidite havuzu oluşturur.
2. Bu iki tokeni hedef projede yeni bir Marj Trade piyasası oluşturmak için kullanın.
3. Borç tokenlerini yatırarak kaldıraç tokenleri mintleyin ve aynı zamanda geçici depolamada belirli bir değer bırakın.
4. Geçici depolamadaki değere eşleşen bir adresle kötü niyetli bir sözleşme oluşturun.
5. Bu kötü niyetli sözleşmeyi kullanarak hedef sözleşmenin geri çağırma fonksiyonunu çağırın ve yetki kontrolünü atlayın.
6. Son olarak, hedef sözleşmeden diğer değerli tokenleri doğrudan çıkarın.

Kayıp Durumu

Zincir analizi temelinde, saldırgan yaklaşık 300,000 dolar değerinde varlıkları başarıyla çaldı, bunlar arasında:

• 17,814.8626 USDC
• 1.4085 WBTC
• 119.871 WETH

Saldırgan daha sonra çalınan tüm varlıkları WETH'ye dönüştürdü ve bunları bir anonimleştirme aracına aktardı.

Güvenlik Önerileri

Benzer saldırıları önlemek için, proje ekibi şunları yapmalıdır:

1. Geçici depolama kullanılan fonksiyon çağrısı sona erdikten hemen sonra, depolanan değerleri temizleyin.
2. Sözleşme kodunun denetimini ve güvenlik test süreçlerini güçlendirin.
3. Yeni getirilen dil özelliklerini dikkatli kullanın, potansiyel risklerini tam olarak anlayın.

Bu olay, blockchain teknolojisinin hızla gelişirken güvenlik sorunlarının sürekli bir zorluk olmaya devam ettiğini bir kez daha hatırlatıyor. Proje geliştiricileri, kullanıcı varlıklarının güvenliğini korumak için sürekli olarak güvenlik uygulamalarını güncelleyerek dikkatli olmalıdır.