Saldırgan Sahte Batch Root ile zkLink Nova Escrow'unu 0,001 ETH'ye Boşalttı

Ethereum'da Sahte Batch Root

28 Ekim Çarşamba günü bir saldırgan, zkLink Nova'nın Ethereum (ETH) üzerindeki köprü protokolü emanet hesabını yaklaşık 0,001 ETH'ye kadar boşalttı. Saldırgan, sahte bir batch root'u herkese açık bir relayer üzerinden ağa enjekte etti ve köprünün hiç onaylamadığı çekim işlemlerini tamamladı. Güvenlik firması Blockaid, o gece Doğu saatiyle 22.24'te X üzerinden alarmı verdi; bu, en büyük tekil transferden yaklaşık dört saat sonraya denk geliyordu. Blockaid, o ana kadar ETH ve ERC-20 tokenlardan oluşan kaybı 786.000 dolar civarında tahmin ettiğine göre saldırının hâlâ sürmekte olduğunu kaydetti. Buradaki mekanizmayı anlamak önemli. Herkese açık relayer, bir ağın kendi adına işlemleri gönderen açık bir hizmettir ve bu olayda sahte mesajı Ethereum'a taşıyan araç yine o oldu. zkLink Nova, Ethereum'un Layer 1 blockchain protokolünün ve bağlı Layer 2 ağlarının varlıklarını havuzlayan bir Layer 3 blockchain. Kullanıcı bakiyeleri, yatırılan varlıklar kaynak zincirlerindeki sözleşmelerde dururken, projenin kurucu köprüsü üzerinden hesaplara yazılıyor. Köprü tasarımında batch root, bir dizi zincirler arası mesajı doğrulayan karmadır; burada doğrulanan mesajlar, Nova'nın onayladığı çekimlerdi. Saldırıya uğrayan iki sözleşme, L1 Ethereum (ETH) emanet hesabı ile ERC-20 köprüsü, bu bakiyelerin arkasındaki havuzlanmış teminatı tutuyor. zkLink'in mutabakat tasarımına göre bir batch sonlaştırılmadan önce kanıt kontrolleri ve zincirler arası tutarlılık kontrolleri yapılıyor; çekimler ise batch root, bir rollup ya da sidechain olsun, bağlı zincirlere ulaştığında ilerliyor. Blockaid'in anlatımına göre sahte root bu diziyi atlayarak Ethereum'a yine herkese açık bir relayer üzerinden enjekte edildi ve firmannın güncel tahmini, saldırı sürerken açık kalmaya devam etti. Zincir üstü veriler bu anlatımı destekliyor: aynı işlemde ETH ve token çekimlerinden hemen önce kayda geçen yeni bir batch root görülüyor ve bu sıralamayı herkes Etherscan'deki işlem kayıtlarından doğrulayabilir.

Zincir üstü kayıttaki ayrıntılar kaybın boyutunu netleştiriyor. Ana boşaltma işlemi 28 Ekim'de Doğu saatiyle 18.21'de, Blockaid'in uyarısından birkaç saat önce ateşlendi ve Nova'nın Ethereum emanet hesabından 22,43 Ethereum (ETH) ile token köprüsünden 11 ERC-20 tokeni tek bir adrese gönderdi. Etherscan'de görüntülenen fiyatlarla bu transferlerin toplamı 778.625,84 dolar ediyor; rakam yalnızca bu tek işlemi kapsıyor ve toplam zararı saptamayı zorlaştırıyor, uyarıdaki güncel tahmin de nihai rakamın daha yüksek olabileceğine izin veriyordu. En büyük parça 245,74 pufETH'ydi, değeri yaklaşık 613.536 dolar; yanında yaklaşık 18.113 USDC ile 3.361 USDT ayrıldı. Blockaid'in mesaj dizisi saldırganın kullandığı iki adresi adıyla paylaştı ve ERC-20 köprüsünü aynı operasyonun ikinci hedefi olarak işaretledi. Bu arada saldırıdan sonra saldırıya uğrayan ETH emanet hesabında yalnızca yaklaşık 0,001 ETH kaldı; buna rağmen Doğu saatiyle 22.29'da hesabın duraklatma bayrağı hâlâ etkinleştirilmemiş durumdaydı, yani başka bir kontrolün ileri çekimleri durdurup durdurmadığı belirsiz. Sahte zincirler arası mesajlar son haftalarda bir dizi köprüyü art arda vurdu ve her vakada ortak nokta aynıydı: köprü, doğrulamadığı bir mesajı kabul etti. 17 Ekim Cumartesi günü sahte bir basım mesajı, Cysic'in zincirler arası köprüsü üzerinden 10 milyon yetkisiz CYS tokeni yarattı; saldırgan bunlardan 7,2 milyonunu sattı ve proje cüzdanı kara listeye almadan önce yaklaşık 727.000 doları Ethereum'a taşıdı. Temmuz'da Verus'un Ethereum köprüsünden yaklaşık 7,54 milyon dolar çıkmıştı; bu, Mayıs'ta 11,58 milyon doların alınmasının ardından ikinci kayıptı. Blockaid, iki Verus olayını aynı sözleşme ve içe aktarma yoluna bağladı ve köprünün checkCCEValues fonksiyonundaki yaklaşık on satırlık Solidity doğrulama eksikliğini kök neden olarak tespit etti; 2022'deki Wormhole ve Nomad saldırılarının arkasında da aynı hata sınıfı vardı.

Duraklatma Bayrağı Etkinleştirilmedi

Müddet içinde verilen tepkinin değiştirdiği şey şimdilik az. Blockaid'in uyarısı, son çekimlerin ardından saatler içinde pazara herkesin izleyebileceği bir iz sunarak, yaklaşık 0,001 ETH'ye düşen emanet bakiyesi karşısında boşaltılan 786.000 doları zincir üstü kayıtlarla doğrulanabilir kıldı. Değişmeyen şey ise zkLink'in kendi tutumu: Çarşamba gecesi itibarıyla ne bir olay sonu raporu, ne bir onarma planı, ne de duraklatılmış bir emanet hesabı ya da köprü teyidi görüldü. Duraklatma bayrağının etkin olmaması, çekimlerin tam kapatılıp kapatılmadığı sorusunun yalnızca zincir tarafından, bir açıklamayla değil yanıtlandığı anlamına geliyor. Protokolün ZKL tokenini tutanlar, ekibin ilk resmi olay raporunu, yani sahte root'un geçiş yapmasına izin veren mutabakat kontrolünü adlandırmasını bekliyor; bu adım, Nova üzerinden yönlendirilen yatırımların bugün ne taşıdığını belirleyecek.