DeFi alanında ihtilal yaratmayı amaçlayan bir altcoin, büyük bir “flash loan” saldırsına uğradı. Taarruzun akabinde kripto paranın fiyatı %90’ın üzerinde düşüş yaşadı. Bilmeyenler için flash loan’lar, rastgele bir ön teminat sağlamak zorunda kalmadan yüksek ölçüde borç almaya imkan tanıyor. Bu krediler, ekseriyetle makus niyetli şahısların işine geliyor. Zira, DeFi protokollerine taarruz başlatmak flash loan’ları kullanabiliyorlar.
Bu DeFi altcoin büyük bir flash loan saldırısına uğradı
Bir merkeziyetsiz finans (DeFi) protokolü olan New Free DAO, Perşembe günü bir dizi flash loan akınıyla karşı karşıya kaldı. Bunun sonucunda 1,25 milyon dolar kıymetinde altcoin varlığı kayıplara karıştı. Saldırının akabinde projenin mahallî tokeni NFD’nin fiyatı %99 düştü.
Blockchain güvenlik firması CertiK de bu flash loan saldırısını kullanıcılarına duyurdu. CertiK, saldırganın, doğrulanmayan bir mukaveleyi dağıttığını ve kendisini üye olarak eklemek için “addMember()” fonksiyonunu kullandığını paylaştı. Saldırgan daha sonra doğrulanmayan kontratın yardımıyla üç flash loan saldırısı gerçekleştirdi.
Saldırı nasıl gerçekleşti?
Saldırgan evvel flash loan ile 69.825 dolar bedelinde 250 Wrapped BNB (wBNB) borç aldı. Akabinde, hepsini platformun altcoin varlığı NFD ile takas etti. Daha sonra, mukaveleyi tekrar tekrar airdrop mükafatlarını talep etmek için kullandı. Böylece, birden fazla hücum mukavelesi oluşturmayı başardı. Bunu yaptıktan sonra, tüm airdrop mükafatlarını 4481 BNB muadilinde wBNB ile değiştirdi.
Saldırgan, 4481 BNB’den 250 BNB’lik borç alınan krediyi iade etti. Akabinde 2.000 BNB’yi Blockchain’in Binance-Peg tokeni olan 550.000 BSC-USD ile değiştirdi. Daha sonra saldırgan 400 BNB’yi tanınan token karıştırma hizmeti Tornado Cash’e taşıdı. Certik’te çalışan Blockchain uzmanı Joe Green, taarruzun nedenini açıkladı. Buna nazaran, hücuma New Free DAO’nun dağıttığı doğrulanmamış bir akıllı mukavele yol açtı. Fakat, “ödüllendirme mukavelesi doğrulanmadığından, temel nedeni bilmiyoruz.” diye de ekledi.
Hacker, öteki bir altcoin projesine de saldırmıştı
CertiK ayrıyeten, NFD’ye yönelik flash loan saldırısının gerisindeki bilgisayar korsanından da bahsetti. Buna nazaran saldırgan, yılın başlarında Neorder’a (N3DR) yapılan hücumla ilişkili olduğunu söyledi. Başka bir Blockchain güvenlik firması olan Beosin ise, her iki hücumun ardında da birebir kişi olabileceğini aktardı. CertiK de birebir şeyi doğruladı ve şunları söyledi:
“N3DR saldırısından çalınan fonlar, bu taarruzdan çalınan fonları alan cüzdan olan EOA 0x22C9’a gönderildi.”
Flash loan saldırısı nedir?
Normal kredilerin tersine, birkaç DeFi protokolü, kullanıcıların evvelce teminat yatırmadan kıymetli ölçüde borç almasına imkan tanıyor. Bu hizmete “flash loan” ismi veriliyor. Flash loan’larda tek şart, kredinin belli bir müddet içinde tek bir süreçte iade edilmesi oluyor. Ancak, bu özellik çoklukla makûs niyetli düşmanlar tarafından son periyotta sıkça kullanılıyor. Saldırganlar, bu hizmetle DeFi protokollerindeki açıklardan büyük ölçüler elde ederek yararlanıyor. Kriptokoin.com olarak bildirdiğimiz üzere tanınan altcoin Avalanche de yakın vakitte bir taarruza uğramıştı.