HYPE Airdrop Dolandırıcılığı: HyperSwap Cüzdanından 84 Saniyede 12.300 Dolar Boşaltıldı

Kripto Haberleri

Hyperliquid blokzincirinde faaliyet gösteren bir HyperSwap likidite sağlayıcısı, tek bir cüzdan onayını (wallet approval) imzaladıktan sonra merkeziyetsiz borsadaki pozisyonunun kontrolünü bir saldırgana kaptırdı ve yalnızca 84 saniye içinde yaklaşık 12.300 dolar kaybetti. Kamuya açık zincir üstü kayıtlardan yeniden kurgulanan bu vaka, kötü niyetli bir onay bir kez devreye girdiğinde bir pozisyonun ne kadar hızlı boşaltılabileceğini gözler önüne seriyor. Mağdur, bir HyperSwap likidite havuzuna kripto varlık yatırmış ve karşılığında işlem ücreti geliri elde ediyordu. Bu pozisyon bir NFT olarak token haline getirilmişti; yani sahibinin altındaki fonları kontrol ettiği dijital bir makbuz. Kısacası tokeni kim hareket ettirirse parayı da o hareket ettiriyor. İncelediğimiz zincir üstü veriler, fonların iki dakikadan kısa sürede çekildiğini, dönüştürüldüğünü ve başka bir ağa köprülendiğini ortaya koyuyor.

Tuzak, aslında hiç var olmayan bir token dağıtımıyla kuruldu. Mağdur, X üzerinde bir airdrop tanıtan bir gönderi gördü ve ücretsiz dağıtıma uygunluğunu kontrol ettiğini düşünerek bağlantıya tıkladı. Oysa hesap sahteydi: kullanıcı adı, resmi web sitesinde bağlantısı bulunan gerçek proje hesabı HyperSwapX’i neredeyse birebir taklit ediyordu. Hızlı bir bakışta gözden kaçacak kadar benzeyen bu isim, kandırmaya yetti. Cüzdanı sahte siteye bağlamak, sıradan bir talep adımı gibi görünen bir işlem doğurdu. Gerçekte ise mağdur, üçüncü bir adrese kendi HyperSwap pozisyonunu taşıma izni veren bir işlemi onayladı; her şeyi belirleyen tek karar tam olarak buydu.

Olayın kalbinde token onayı (token approval) mekanizması yatıyor: başka bir adresin, kullanıcı adına belirli varlıkları transfer etmesine olanak tanıyan standart bir cüzdan işlemi. Bu onayların bir kısmı zararsızdır; bir kısmıysa değerli varlıkların anahtarını doğrudan başkasının eline verir. Bu vakada onay, mağdurun HyperSwap V3 likidite pozisyonunu temsil eden 178549 numaralı NFT’yi kapsıyordu. Çoğu kullanıcı için onay ekranı son derece olağan görünür; sahte bir site de tehlikeli bir onayı, token talep etmenin sıradan bir parçasıymış gibi süsleyebilir. Modern onay tabanlı oltalamanın (approval phishing) tasarımı tam olarak budur: hırsızlık mağdur tarafından önceden yetkilendirildiği için, fonlar gerçekten çekilirken ayrıca bir imza gerekmez.

İnfaz ise işin daha sonrasında geldi. Zincir üstü kayıtlar, belirleyici transferi 29 Haziran günü saat 20.21.51 UTC olarak işaret ediyor; saldırgan bu anda önceden aldığı onayı kullanarak 178549 numaralı NFT’yi mağdurun cüzdanından çekti. Mağdur o an hiçbir şey imzalamadı; izin çoktan verilmişti. Fonları alan 0x880C95246D7525b84902E6c040818a7C72d3Aa77 adresi, HyperEVM tarayıcısında Fake_Phishing3746335 etiketiyle işaretlenmiş durumda ve üzerinde Phish / Hack uyarısı taşıyor. Bu etiket, adresin blokzincir güvenliği izleyicileri tarafından zaten bilindiğini doğruluyor; yani hırsızlığın arkasındaki altyapı tek bir hedef için değil, çok sayıda mağdur üzerinde tekrar tekrar kullanılmak için kurulmuştu.

Aklama neredeyse anında başladı. NFT’yi ele geçiren saldırgan, likidite pozisyonunu destekleyen kriptoyu çekti, elde ettiği değeri Hyperliquid’in yerel altcoin’i olan HYPE’a çevirdi ve iki dakikadan kısa sürede tüm değeri Ethereum ağına köprüledi. Buradaki hız kritik: çoğu kullanıcı yetkisiz bir transferi fark edene kadar varlıklar çoktan bir köprüden geçmiş ve biçim değiştirmiş oluyor; bu da geri kazanımı iyice zorlaştırıyor. Zincir üstü veriler, pozisyonun transferinden zincirler arası nihai yerleşime kadar tüm zincirin, bu vakaya 84 saniyelik başlığını kazandıran o kısacık pencereye sığdığını gösteriyor. Sürecin hiçbir aşaması mağdurun ilave katılımını gerektirmedi.

Bu olay aynı zamanda sorumluluğun nerede durduğunu da netleştiriyor. HyperSwap, Hyperliquid blokzinciri üzerinde çalışan ancak kendi ekibi tarafından işletilen bir merkeziyetsiz borsa; tıpkı Ethereum’un yaratıcılarının kendi zincirleri üzerine kurulan uygulamaları yönetmemesi gibi, Hyperliquid de HyperSwap’i yönetmiyor. Diğer DEX’ler gibi HyperSwap de kullanıcıların kendi saklama (self-custody) cüzdanlarından doğrudan işlem yapmasına imkân tanıyor; fonları elinde tutan hiçbir şirket yok. Bu model aracıları ortadan kaldırıyor, ama aynı zamanda güvenlik ağlarını da kaldırıyor: sahte bir sitede imzalanan bir onay, tam olarak yazıldığı gibi yürütülür. Cüzdan onaylarını düzenli olarak gözden geçirip iptal etmek ve hesap adlarını resmi bağlantılarla karşılaştırarak doğrulamak, temel savunma hatları olmayı sürdürüyor.

Bizim okumamız bu ipuçlarını tek bir temada birleştiriyor: onay tabanlı oltalama, artık öz saklama riskinin en keskin ucu ve en çok da dikkat başka yerdeyken ısırıyor. COINOTAG’ın toplu piyasa verileri, duyarlılığın 100 üzerinden 24 ile Aşırı Korku (Extreme Fear) bölgesinde olduğunu, Bitcoin dominasyonunun yüzde 69,3’te bulunduğunu ve toplam kripto piyasa değerinin 1,84 trilyon dolara yakın seyrettiğini gösteriyor; likiditenin büyük varlıklarda yoğunlaştığı ve saldırganların küçük ekosistem tokenlarının dikkati dağılmış sahiplerini avladığı koşullar. Buradaki asıl kanıt tamamen zincir üstünde: işaretlenmiş bir oltalama adresi, zaman damgalı bir NFT transferi ve Ethereum’a atılan iki dakikalık bir köprü. Hiçbir protokol ihlal edilmedi; işi tek bir onay gördü ve bunu tekrarlanabilir kılan da tam olarak bu.