Cysic Köprüsü Saldırganı Tornado Cash'e 744 Bin Dolar Değerinde Kripto Gönderdi

Güncelleme 18:44 UTC: 18.44 UTC Güncellemesi: Minitia olarak bilinen birbirine bağlı rollup'lar etrafında kurulmuş katman-1 ağı Initia, güvenlik araştırmacılarının saldırganın izinsiz token basıp 2,6 milyon dolardan fazlasını çektiği bir açığı işaret etmesinin ardından aynı gün saat 15.41'de (UTC) blok zincirini ve rollup'larını durdurdu.

300 ETH Tornado Cash'e Yönlendirildi

Cysic köprüsündeki açığı kullanan cüzdan, Cuma günü yaklaşık 744 bin dolar değerinde kripto parayı blok zinciri güvenlik firması PeckShield'in zincir üstü uyarısına göre Tornado Cash'e taşıdı. Transferler toplamda 300 Ethereum (ETH) ve 30,4 BNB tutarındaydı ve Cysic Vakfı'nın saldırgana kazanılan paranın yüzde 10'unu bırakma önerisini kamuoyuna açıklamasından bir gün sonra karıştırıcıya ulaştı. Zincir, hareketin kendisini kayıt altına alıyor; hacker'ın fonları aklamadan önce bu teklifi görüp görmediği ise ne vakıf ne de güvenlik firması tarafından doğrulanabilmiş değil.

İz hafta başına dayanıyor. Bir köprü protokolü, iki blok zincirini birbirine bağlayarak varlıkların aralarında hareket edebilmesini sağlar ve saldırgan Cumartesi günü bu köprüdeki akıllı sözleşme zafiyetini kullanarak projenin yerel token'ı olan 10 milyon CYS'yi BNB Smart Chain üzerinde bastı. Cysic'in müdahalesi hızlı oldu: ekip köprüyü askıya aldı ve alıcı adresi kara listeye ekleyerek basılan arzın yaklaşık 2,8 milyonunu hareket edemeden dondurdu. Vakıf o sırada ana ağının ve kullanıcı cüzdanlarındaki varlıkların etkilenmediğini, yani ihlalin köprüyle ve yeni basılan token'larla sınırlı kaldığını açıkladı. Cuma günkü transferler ise çalınanın hangi ayağının ekibin erişimi dışında kaldığını gösterdi: kendi zincirindeki arzı dondurmak teknik olarak mümkündü, ama Ether kazançları ilk bloktan itibaren saldırganın kontrolündeki bir cüzdana oturmuştu ve kara liste bunlara dokunamıyordu.

Blok zinciri analiz platformu Onchain Lens, 23 Ekim tarihli bir X paylaşımıyla aklamanın nasıl kurulduğunu ayrıntılandırdı. 17 Ekim Cumartesi günü saat 12.31'de (UTC) gerçekleşen açıktan sonra kara liste 76 dakika gecikmeli devreye girdi ve saldırgan bu sürede basılan 10 milyon CYS'nin kabaca 7,2 milyonunu sattı: ilk 5,65 milyon CYS yaklaşık 588.315 USDT'ye dönerken, bir diğer 1,55 milyon CYS 220 BNB civarına çevrildi. Mayan, deBridge ve SWFT'nin Bridgers hizmeti gibi zincirler arası aktarım sağlayıcıları sonra 306,6 ETH'yi Ethereum'a taşıdı; bu rakam, mixer'e daha sonra gönderilen 300 ETH ile uyumlu. Cysic inceleme için bağımsız bir güvenlik firması tuttu ama köprünün yeniden açılışına tarih vermedi; 744 bin dolarlık tutarın onaylanmış toplam zarar olarak okunmaması gerekiyor.

Cuma günü bu tablo Cysic'e özgü değildi. Initia, güvenlik araştırmacılarının saldırganın izinsiz token basıp 2,6 milyon dolardan fazlasını çektiği bir açığı işaret etmesi üzerine aynı gün saat 15.41'de (UTC) blok zincirini ve rollup'larını durdurdu. DeFi platformu D2 Finance, bir Move fonksiyonundaki zafiyetin saldırganın yeterli teminat olmadan 2 milyon AUSD basmasına izin verdiğini bildirdi; saldırgan ardından kabaca 1,4 milyon AUSD, 105 ETH ve 1,08 milyon USDC'yi Ethereum'a köprüledi ve ele geçirdiğini yaklaşık 1.135,5 ETH tutan, 2,73 milyon dolar değerindeki bir cüzdanda topladı. Initia hasarı değerlendirmek için güvenlik araştırmacıları, doğrulayıcılar ve borsalarla çalıştığını söyledi; kayıpları veya nedeni henüz doğrulamadı. INIT token'ı kısa süre 0,115 dolara kadar düştükten sonra 0,15 dolar civarına geri döndü.

Yüzde 10'luk Ödüle Mixer Cevabı

Ödül koşulları Perşembe günü duyuruldu: Cysic Vakfı, kalan 275,872 ETH'nin iade edilmesi hâlinde saldırganın gananın yüzde 10'unu tutmasına izin vereceğini yazdı. Teklif yayımlandığında bu miktar yaklaşık 665 bin dolar ediyor ve ekipin zincirde tespit ettiği Ether kazancının kabaca yüzde 90'ına karşılık geliyordu. Çalınan fondan hacker'a pay bırakmak, sömürülen projeler arasında tutarlı olmasa da yerleşik bir uygulama ve vakıf, koşullarını süre sınırı koymadan bu tür bir ödül programı modeline göre kurdu. Cevap yaklaşık 24 saat içinde geldi ve pazarlık niteliğindeydi: cüzdan hiçbir şey iade etmek yerine, koşullarda adı yalnızca Ether geçmesine rağmen 300 ETH ve 30,4 BNB'yi Tornado Cash'e gönderdi.

Varış noktası, geri kazanma hesabını değiştiriyor. Tornado Cash birçok adresten gelen mevzuatı ortak bakiyelere havuzlar; havuzların içinde bölünen fonlar pratik anlamda tek bir kaynağa bağlanamaz hâle geliyor. Zincir üstü veriler, Cuma transferlerinin ardından saldırganın Ethereum cüzdanında yalnızca 45 dolarlık ETH kaldığını gösteriyor; bu tutar, bir sonraki hamle için gereken gas ücretini küçücük bir farkla aşıyor ve vakfın ya da kimsenin el koyabileceği neredeyse hiçbir şey bırakmıyor. Açıktan ödüle kadar vakfın açıkladığı önlemler askıya alma, kara liste ve dondurulan 2,8 milyon CYS ile sınırlı kaldı; yüzde 10'luk teklif ise adını andığı tek geri kazanma adımıydı. Vakıf, yazımlandığı anda geri kazanma çabasına ilişkin yorum talebine yanıt vermemişti.

Zincir üstü dizinin bizden okuması şu: vakfın kendi teklifindeki aritmetik, kontrol ettiği sınırı çiziyor. 275,872 ETH'yi tespit edilen kazancın yüzde 90'ı olarak istemek, toplam Ether ganimetinin 307 civarında olduğunu ima ediyor; BNB ise koşullarda hiçbir zaman yer almadı. 2,8 milyon CYS'nin dondurulması hasarı BNB Smart Chain'de token katmanında sınırladı, ama saldırganın cevabı, ödül yayımlandıktan kabaca bir gün içinde tüm birikimi mixer'e sokmak, daha iyi bir teklif bekleyen sessizlik değil reddetme olarak okunuyor; vakıf hâlâ iletişim bekleyip beklemediğini açıklamadı. Belgelenmiş olan, Tornado Cash'e giren 744 bin dolar ve 45 dolarla bırakılan bir cüzdan; kimsenin doğrulayamadığı ise herhangi bir kısmın geri gelip gelmeyeceği.