Ankr'ın Optimism (OP) Köprüsü 303 Bin Dolarlık Saldırıyla Boşaldı

Üç Dakikada Beş Çekim İşlemi

Blockchain güvenlik şirketi Blockaid, 9 Kasım Pazartesi günü Ankr'ın Ethereum üzeri çapraz zincir köprü protokolünde süregelen bir açık tespit etti. Saldırganın gönderdiği beş yetkisiz çekim talebi, 303.000 doların üzerinde varlığı köprüden boşalttı ve köprünün işlem doğrulama sürecine ilişkin soruları yeniden gündeme taşıdı. Şirketin X üzerindeki uyarısına göre saldırgan, daha önce Optimism (OP) ağı üzerinden yapılan ve Optimism fiyat seviyeleri göz önüne alındığında önemsiz kalan küçük bir yatırımı kullanarak köpürdeki kilitli varlıkların tamamını yeni bir cüzdana aktarma yetkisi elde etti. Blockaid'in ilk tahmini beş işlemde yaklaşık 292.000 dolar zarar işaret ederken, çekilen tokenların sonraki analizi toplam değeri 303.000 doların üzerine çıkardı. Zincir üstü izleme hesabı Onchain Lens de çekim işlemlerini ayrıca raporladı ve benzer bir ilk tutar paylaştı. İşlemlerde Ankr'nın likit stake varlıklarının yanı sıra yerel ANKR tokenı da yer aldı.

Beş çekim, Doğu Saatiyle 03.09 ile 03.12 arasında geldi ve farklı tokenları tek bir hedef cüzdana gönderdi. İşlem kayıtları, saldırganın bildirilen zararın en büyük kalemi olarak yaklaşık 82,91 ankrETH, yani 216.370 dolar değerinde varlık çıkardığını gösteriyor. İkinci çekimde 56.372 dolar değerinde 515.206 ankrPOL token, bir başka çekimde ise yaklaşık 7,98 milyon ANKR, 30.857 dolarlık ek bir kalem oluşturdu. Aynı pencerede 5.372,25 aMATICb ve 0,8196 aETHb da sözleşmeden ayrıldı; ancak blok gezgini değerlendirme anında bu iki token için fiyat göstermediğinden tutarları 303.600 dolarlık tahmine dahil edilmedi. Dolayısıyla toplam, fiyatlanabilen üç varlığı yansıyor ve saldırganın bu varlıkları başka kripto paraya ya da nakde çevirip çevirmediğini göstermeyebilir. Yine de beş çekim, Ethereum sözleşmesindeki listeli token varlıklarını tüketmiş durumda ve Doğu Saatiyle 03.49 itibarıyla şüpheli işlemlerden sonra köprüden başka bir hareket geçmedi.

Altı Gün Önce İade Edilen Yatırıma Atıf

Zincir üstü kayıtlar, açığın çıkış noktasını 3 Kasım Salı günü Optimism ağı üzerinden yapılan bir yatırıma bağlıyor. Optimism (OP), işlem hacmini ana zincirin dışında yürüten bir layer-2 blockchain ağı. Söz konusu yatırım yalnızca 0,0044024803 ankrETH tutarındaydı ve Ethereum kayıtları, aynı gün içinde iade edildiğini gösteriyor. Saldırgan buna rağmen 9 Kasım'da gönderdiği beş yeni çekim talebinde bu yatırıma referans verdi; her talep, değiştirilmiş makbuz bilgileri taşıyor ve farklı bir alıcıyı, daha büyük tutarları ve orijinal transferden tamamen farklı tokenları işaret ediyordu.

Ankr'nın köpürü normalde kullanıcıların desteklenen likit stake varlıklarını ağlar arasında taşımasına izin veriyor; bu, omnichain tasarımın rutin bir işlevi. Kullanıcı, kaynak ağda token yatırıyor ve işlem, alıcı zincirde varlıkların serbest bırakılması için gereken yetkilendirmeyi sağlayan Ankr'nın arka ucundan doğrulanmaya gönderiliyor. Bu tasarıma göre tamamlanmış bir yatırım, asla farklı varlıkların veya tutarların tekrar tekrar çekilmesini yetkilendirmemeli. Beş talep de köprünün yetkilendirme kontrollerinden yine de geçti.

Devreye alınan uygulama, herhangi bir çekimin işleme alınmasından önce belirlenmiş bir imzalayıcının onayını istiyor; yani bir private key sahibinin her serbest bırakmayı doğrulaması gerekiyor. Elindeki kayıtlar, saldırganın geçerli yetkilendirmeyi nasıl elde ettiğini ya da zayıflığın imzalama sürecinde mi, makbuz doğrulamasında mı yoksa başka bir bileşende mi olduğunu göstermiyor. Ankr'nın uzaktan prosedür çağrısı hizmetlerinin veya kullanıcıların kişisel cüzdanlarının etkilendiğine dair bir bulgu yok; çekimler Ethereum köprü sözleşmesinde tutulan varlıklarla ilgiliydi. Ankr aynı zamanda likit stake hizmetleri ve daha geniş blockchain altyapısı da işletiyor, dolayısıyla kapsam sorusu tek bir sözleşmenin ötesine uzanıyor. Köpürün herkese açık duraklatma bayrağı, Doğu Saatiyle 03.49 itibarıyla hâlâ false gösteriyordu ve ekibin başka önlemler alıp almadığı belirsizliğini koruyor. Ankr, basın saatine kadar etkilenen hizmetler, köprü güvenliği ve olası kullanıcı tazminatları hakkındaki sorulara yanıt vermedi.

Zincir üstü kanun burada alışılmadık ölçüde net: beş çekim işlemi ve token tutarları Ethereum üzerinde doğrulanabiliyor ve altı gün önce iade edilmiş bir yatırımın köpürün doğrulama yolunda hâlâ geçerlilik taşıdığını kesinleştiriyor. Kayıtların göstermediği şey ise olay sonrası bir inceleme raporu. Ankr, kök nedeni açıklayan bir olay raporu yayımlamadı; bu yüzden imzalayıcı yetkilendirmesi sorusu açık kalıyor. Çekimler, belirlenmiş bir imzalayıcı gerektirmesi gereken bir kontrolden geçti ve hiçbir kamuya açık kayıt bunun nasıl olduğunu açıklamıyor. Örüntü yabancı değil: Ekim ayında Cysic, bir saldırganın BNB Smart Chain üzerinde 10 milyon izinsiz CYS token bastığı iddiası üzerine köpürünü askıya aldı; Ağustos ayında ise Ankr'nın kendi ankrFLOW sözleşmesindeki bir kusur, MORE Markets üzerinden yaklaşık 410.000 dolarlık kayba yol açtı. Ekip olay raporunu yayımlayıp duraklatmayı doğrulayana kadar önleme bir karar değil, tamamlanmamış bir niyet olarak duruyor.