Notional Finance, Tamsayı Taşması Saldırısıyla Ethereum (ETH) Cinsinden 1,73 Milyon Dolar Kaybetti

Tamsayı Taşması Borcu Sıfıra Çevirdi

Cuma gününün ilk saatlerinde bir saldırgan, Ethereum (ETH) üzerinde faaliyet gösteren sabit faizli borçlanma protokolü Notional Finance'in eski emanet (escrow) sözleşmesinden yaklaşık 1,73 milyon dolar çekti. Yöntem teknik açıdan vurucu derecede basitti: bir tamsayı taşması (integer overflow) hatası, saldırganın uydurduğu devasa bir borcu sisteme sıfır olarak gösterdi. Protokolün ilk sürümü, gelecekteki nakit yükümlülüklerini fCash adlı token'larla kaydediyordu. Bir borçlu borç eklemeden önce sistem teminat denetimi yapıyor; bu denetim, yükümlülüğü ether karşılığına çevirirken ham bir uint128 dönüşümü kullanıyordu. Olayı izini süren araştırmacılar, iki basamağın toplamının tam olarak 2 üzeri 128'e — yani bu dönüşümün sıfıra indirdiği tek değere — eşit olduğunu tespit etti. Kontrol edilmiş (checked) bir dönüşüm bu rakamı reddederdi; dikkat çekici olan, protokolün aynı dosyanın başka yerlerinde daha güvenli olan bu yöntemi zaten kullanmasıdır. Taşma gerçekleştiğinde saldırganın hesabı borçsuz göründü. Zincir üstü kayıtlar, hazırlık işleminin Perşembe günü saat 23.58 UTC'de düştüğünü, çekim işleminin ise yalnızca üç dakika ardından geldiğini gösteriyor; iki adımlı bu dizi Etherscan üzerinde doğrulanabilir durumda. İkinci işlem, emanetten 69.257 DAI ile 1.658.524 USDC çıkardı — DeFi kullanıcılarının rutin olarak getiri taşıyan getiri taşıyan stablecoin teminatı olarak kullandığı iki dolar sabitli varlık. Saldırgan, işleminin özel olarak yönlendirilmesi için blok üreticisi Titan'a 0,07 ETH bahşiş verdi; bu küçük rüşvet, işlemi genel bellek havuzunun (mempool) dışında tuttu ve protokole tepki gösterme şansı bırakmadı. Matematik acımasız: yıllardır dokunulmadan duran koddaki tek bir kontrolsüz tür dönüşümü, uydurma bir rakamı yedi haneli bir ödeye dönüştürmeye yetti. Emanet sözleşmesi artık bakiyelerini hiç süpürmediği için fonlar, Cuma günkü işlem gelene kadar olduğu gibi yerinde duruyordu.

689 ETH Tornado Cash Üzerinden Yıkandı

Çalınan DAI ve USDC, yaklaşık 689 ether'e (ETH) çevrildi ve cüzdanlar arasındaki izi koparan karıştırma servisi Tornado Cash'e pompalandı — ekosistemin, Aztec Network gibi protokollerin uyumlu tasarımlarla hedeflediği sıfır bilgi gizlilik katmanına komşu köşesi. Güvenlik firması PeckShield, boşalmanın hemen ardından zincir üstü izleyici Specter'in uyarısını duyurdu; zincir üstü veriler şimdi emanet sözleşmesinde kabaca 60.600 dolar değerinde artık token kaldığını gösteriyor. Asıl hikâye hedefin kendisinde. Notional, Kasım 2025'teki Balancer saldırısının kasalarına sıçraması üzerine üçüncü sürümünü kapatmıştı; ama V1 sözleşmeleri canlı ve fonlu kaldı ve kimse onları hiç süpürmedi. Bu da gerçek para tutan uykuda bir muhasebe defteri bıraktı — Haziran ayında bir saldırganın Raydium'daki eski Solana havuzlarını boşalttığı kalıbın aynısı. Ders birikerek büyüyor: bağımsız denetimden geçmiş protokoller, kripto hack kayıplarının çoğunluğunu hâlâ oluşturuyor; yani eski bir denetim raporu burada hiçbir koruma sağlamadı. Bu boyuttaki Tornado Cash mevduatları tipik olarak günler içinde yüzlerce adrese dağıtılır, bu da geri kazanma şansını zayıflatıyor. Piyasa tepkisi kayıtsızlık sınırında. Protokolün token'ı NOTE, yaklaşık 400.700 dolarlık piyasa değeriyle 0,0065 dolar civarında işlem görüyor ve 24 saatte yüzde 3,5 yükseldi — markaya bağlı kalan ekonomik aktivitenin ne kadar az olduğunu yansıtan bir değerleme. Yayın anına kadar Notional hiçbir açıklama yapmadı; doğrulanmış bir kayıp tutarı veya olay sonrası inceleme raporu da yayımlamadı. Çekilen fonların kullanıcılara, hazineden mi yoksa üçüncü bir taraftan mı ait olduğu hâlâ teyit edilmemiş durumda. Mevduat sahipleri için bu olay, atıl fonları kimse tarafından bakımı yapılmayan sözleşmelerde bırakmak yerine soğuk cüzdan tutmak için yeni bir gerekçe. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları Gate üzerinden canlı takip edebilir.

Sahiplik Sorusu Cevapsız

Birincil kanıtlara bakışımız açık. Saldırganın çekimi Etherscan defterinde kamuya açık bir kayıt; boşaltılan tutar — kabaca 1,73 milyon dolar — zincir üstünde doğrulanabilir; kök neden ise taşma aritmetiğinin kendisinde belgeli: kontrol edilmiş bir dönüşümün reddedeceği bir değeri sessizce silen ham bir uint128 cast işlemi. Çözüm de aynı derecede net — her yerde kontrol edilmiş matematik ve eski sözleşmelerin yükümlülüğe dönüşmeden önce süpürülmesi. Eksik olan, ekibin kendi olay sonrası raporu. Notional bir rapor yayımlayana kadar sahiplik sorusu açık kalacak ve şu an ETH olarak tutulan fonların uyumlu bir kripto borsası üzerinde yeniden yüzeye çıkması pek olası değil.