Bugün gerçekleştiren Lendf.me saldırısı, DeFi gündemini uzun bir süre meşgul edeceğe benziyor. DeFi platformundan eşi benzeri görülmemiş miktarda Ethereum (ETH) ve Bitcoin (BTC) çalan saldırganlar bu işi nasıl gerçekleştirdi?
Benzer Yöntem İle Dün Uniswap’tan da imBTC Çalınmış
Dün yapılan bir saldırı ile DeFi platformlarından Uniswap’tan da imBTC (Ethereum ağıyla uyumlu bir BTC ama erc20 değil ?!) çalınmıştı. Saldırganların aynı olma olasılığı ise halen mevcut.
Konumuza gelirsek Lendf.me platformu Compound CEO’sunun iddia ettiği gibi Compound platformunun V1 sürümünü temel alarak, üzerine birkaç ekleme ve modifikasyon gerçekleştirerek oluşturulmuş. Saldırıda kullanılan imBTC Tokeni ise bir ERC-20 Tokeni değil. Farklı bir sözleşme olan ERC-777 ile üretilen imBTC, Ethereum platformundaki farklı formattaki tokenlerden biri.
Problemin patlak verdiği nokta ise Compound V1’in ERC-777 tipi tokenler için yeterli güvenlik önlemlerine sahip olmaması. Dolayısıyla bu versiyon ile çalışan platformlarda ERC-777 tokenleri listelemek veya bunlar ile işlem yapılmasına izin vermek büyük risk barındırıyor.
Saldırgan da bu durumdan yararlanarak platforma virüs içeren bir Ethereum Kontratı (sahte) ile bağlanıyor. Sonrasında ise hacker kontrat üzerinden platforma 250 imBTC yatırıyor.
Yatırma işlemi sistem tarafından doğrulanıyor ve kişinin platform üzerinde kullanabileceği gerçek 250 imBTC tarafından desteklenen 250 imBTC’si oluyor. Tabi bu imBTC’ler karşılığı platformdan bu sayede borç alabiliyor.
Sonrasında hacker platforma tekrardan 0.00000001 imBTC yatırıyor. Bu yatırma işlemi platformda onaylanırken, bahsettiğimiz virüs de imBTC kontratını çağırıyor.
Oluşturulan bağ sayesinde hacker, MoneyMarket kontratını sürekli çağırabilir hale geliyor ve para platformdan para çekme kabiliyetine erişiyor.
Ek olarak halen platformda “hacker”ın sahte 250 imBTC’si bulunuyor. Hem platform ile kurduğu virüslü bağ hem de yatırdığı sanılan 250 imBTC’lik bakiye sayesinde hacker, hem yatırımları karşılığı borç alabilir hale geliyor, hem de kurduğu bağ sayesinde kontratı sürekli çağırarak platform üzerinde tutulan bütün varlıkları boşaltabilme imkanına sahip oluyor.
Bu durum ise tamamen Compound V1’in ERC-777 kontratları ile ilgili zaafiyetinden kaynaklanıyor. Yapılan virüslü işlemlerden birisini ise aşağıda bulabilirsiniz.
Hacker ise 250 imBTC karşılığı kontratı sürekli olarak çağırarak Lendf.me üzerindeki bütün fonu boşaltana kadar işlemi tekrarlıyor. Bu sayede toplamda 25 milyon $’lık bir fonu zimmetine geçirmeyi başarıyor.
Ayrıca hackerın ethereum adresinde kendinden para isteyen kişilere de para attığını takip etmek mümkün.
Lendf.me Hacker’a Ethereum Ağı üzerinden Mesaj Gönderdi
Bugün ise Lendf.me, “hacker”ın hesabına bir mesaj gönderdi.
Lenfme admin hesabından hackerın cüzdanına gönderilen mesajda hacker ciddi şekilde uyarılıyor.
Geleceğin için bizimle iletişim kur.
Mesaj ile “hacker”ın tehdit edildiği açık bir şekilde söylenebilir. Bakalım Lendf.me’nin bu mesajına hackerdan bir cevap gelecek mi?