Cysic Köprüsü Saldırganı Tornado Cash'e 744 Bin Dolar Değerinde Kripto Gönderdi

300 ETH, Tornado Cash'e Yönlendirildi

Cysic köprüsü açığını sömüren cüzdan, Cuma günü yaklaşık 744 bin dolar değerinde kripto varlığı Tornado Cash'e taşıdı. Blok zincir güvenlik şirketi PeckShield'in zincir üstü uyarısına göre transferler toplam 300 Ethereum (ETH) ile 30,4 BNB'den oluşuyordu ve mixer'e, Cysic Vakfı'nın saldırgana yüzde 10'luk geri kazanım ödülünü duyurmasından bir gün sonra ulaştı. Zincir üstü kayıt yalnızca hareketin kendisini belgeliyor; hacker'ın fonları yıkamadan önce bu teklifi görüp görmediğini ise ne vakıf ne de güvenlik firması doğrulayabildi.

İz hafta başında daha gerilere uzanıyor. Bir köprü protokolü, iki blok zinciri arasında varlıkların taşınmasını sağlayan bir bağlantı katmanıdır ve Cumartesi günü saldırgan bu köpünün akıllı sözleşmesindeki zafiyetten yararlanarak BNB Smart Chain üzerinde projenin yerel tokenı olan 10 milyon CYS basmıştı. Cysic'in müdahalesi hızlı geldi: ekip köprüyü askıya aldı, alıcının adresini karalisteye ekledi ve hareket edebileceği anda yaklaşık 2,8 milyon CYS'yi dondurdu. Vakıf o an ana ağının ve kullanıcı cüzdanlarındaki varlıkların etkilenmediğini belirtti; bu da ihlali köpünün kendisiyle, yeni basılan tokenlarla sınırlı tuttu. Cuma günkü transferler ise soygunun hangi ayağının ekipin erişiminin dışında kaldığını gösterdi: kendi zincirindeki arzı dondurmak teknik olarak kolaydı, ama Ether kazancı en başından itibaren saldırgan kontrolündeki bir cüzdanda duruyordu ve hiçbir karaliste onu etkileyemiyordu.

Yüzde 10'luk Ödüle Mixer'den Gelen Cevap

Ödül şartları Perşembe günü açıklandı. Cysic Vakfı'nın duyurusu, saldırganın kalan 275.872 ETH'yi geri getirirse, ele geçirdiği miktarın yüzde 10'unu tutmasına izin verileceğini bildiriyordu. Teklin yayımlandığı anda bu tutar yaklaşık 665 bin dolar değerindeydi ve vakfın zincir üstü verilerde tespit ettiği Ether kazancının yüzde 90'ına karşılık geliyordu. Bir hacker'a ele geçen fonlardan pay bırakma yöntemi, açığa uğrayan projeler arasında istikrarlı biçimde işe yaramasa da yerleşik bir uygulamadır; vakıf şartlarını bu tür bir ödül programı modeline göre kurdu ve herhangi bir son teslim tarihi belirlemedi. Saldırganın cevabı yaklaşık 24 saat içinde geldi ve bu cevap bir pazarlık değildi: cüzdan hiçbir şey geri göndermek yerine 300 ETH ve 30,4 BNB'yi Tornado Cash'e itmeye başladı. Oysa şartlar yalnızca Ether'den söz ediyordu.

Hedef nokta, geri kazanım hesabı için belirleyici. Tornado Cash çok sayıda adresten gelen yatırımları ortak havuzlarda birleştiriyor; havuzların içinde parçalanan fonlar pratik anlamda tek bir kaynağa bağlanamaz hale geliyor. Zincir üstü veriler, saldırganın Ethereum cüzdanında Cuma günkü transferlerden sonra yalnızca 45 dolar değerinde ETH kaldığını gösteriyor. Bu miktar, yeni bir işlem için gereken gas ücretinin hemen üzerinde ve vakfın ya da başka birinin alabileceği neredeyse hiçbir şey bırakmıyor. Açıkla ödül duyurusu arasında vakfın açıkladığı müdahale, köprüyü askıya almak, adresi karalisteye almak ve dondurulan 2,8 milyon CYS ile sınırlıydı; geri kazanım adımlarının tek ismi yüzde 10'luk teklifti. Yazı hazırlandığı anda vakıf, geri kazanım çabasına ilişkin yorum talebine yanıt vermemişti.

Zincir üstü sıralamaya ilişkin bizim okumamız şu: vakfın kendi teklifindeki aritmetik, kontrol sınırlarını işaret ediyor. 275.872 ETH'nin tespit edilen kazancın yüzde 90'ı olarak istenmesi, toplam Ether ele geçirilen miktarın 307 civarında olduğunu ima ediyor ve BNB'nin hiçbir kısmı şartlara dahil değildi. 2,8 milyon CYS'nin dondurulması, BNB Smart Chain üzerindeki zararı token katmanında sınırladı; fakat saldırganın cevabı, ödülün açıklanmasından yaklaşık bir gün sonra tüm birikimi karıştırması, daha iyi bir anlaşma bekleyen bir sessizlikten çok bir ret olarak okunuyor. Vakıf, temas bekleyip beklemediğini henüz söylemedi. Belgelenmiş olan, Tornado Cash'e giren 744 bin dolar ve gerisinde 45 dolar kalan bir cüzdan; kimse doğrulayamayan ise geri dönen bir pay olup olmadığı.