Blockaid’e göre saldırgan, sahte bir işlem özetiyle Ethereum’daki sözleşmelerden ETH ve token çekti. Şirket, 29 Ekim sabahı yayımladığı ilk uyarıda saldırının sürdüğünü belirtiyordu.
Blockchain güvenlik şirketi Blockaid, zkLink Nova’nın Ethereum üzerindeki köprüsüne yönelik saldırıda yaklaşık 786 bin doların çekildiğini bildirdi. 29 Ekim saat 05.24 TSİ’de yayımladığı uyarıya göre saldırgan, herkese açık bir mesaj aktarıcısı (relayer) üzerinden sahte bir işlem özeti iletti; ardından ETH ve ERC-20 tokenlarını kendi belirlediği adreslere gönderdi. Şirket, uyarıyı yayımladığı sırada saldırının sürdüğünü belirtiyordu.
“İşlem grubu kökü” (batch root), bir grup işlemi temsil eden kriptografik özettir. Blockaid, köprüden para çekilmesini sağlayan bir saldırı bildirdi; Ethereum ağının veya sıfır bilgi kanıtlarının bütünüyle kırıldığına dair kanıt paylaşmadı.
786 bin ve 779 bin dolarlık tahminler neyi kapsıyor?
The Defiant’ın Cryptonews.net’te yayımlanan haberine göre çekimlerden biri 28 Ekim saat 22.21 UTC’de, Türkiye saatiyle 29 Ekim 01.21’de gerçekleşti. Yayının incelediği transferlerde Nova’nın Ethereum’daki ETH saklama sözleşmesinden 22,43 ETH, token köprüsünden ise 11 tür ERC-20 token aynı alıcıya gitti.
| Varlık | Aktarılan miktar |
|---|---|
| ETH | Yaklaşık 22,43 |
| pufETH | Yaklaşık 245,74 |
| USDC | Yaklaşık 18.113 |
| USDT | Yaklaşık 3.361 |
The Defiant’a göre en büyük payı, o sırada Etherscan’da yaklaşık 613.536 dolar değerinde görünen pufETH oluşturdu. Yayın, 29 Ekim 05.25 TSİ’de görünen fiyatları kullanarak ETH ile bütün token transferlerinin toplamını 778.625,84 dolar hesapladı. Tablo, ETH ile 11 token türünden üçünü gösteriyor; dört satır da 778.625,84 dolarlık toplamın içinde.
The Defiant’ın yaklaşık 779 bin dolarlık hesabı yalnızca incelediği işlemi kapsıyor. Blockaid ise ilk uyarısında ETH saklama sözleşmesi ile token köprüsünden o ana kadar yaklaşık 786 bin dolar çekildiğini bildirdi. İki kaynak aradaki farkı açıklamadı. Aynı saldırıya ilişkin tahminler birbirine eklenemez; kesinleşmiş toplam zarar henüz bilinmiyor.
Köprü hangi varlıkları tutuyordu?
zkLink Nova, Ethereum ve ikinci katman ağlarındaki varlıkları bir araya getiren üçüncü katman ağıdır. Projenin resmî açıklamasına göre Ethereum veya diğer bağlı ağlardan Nova’ya yatırılan varlıklar, geldikleri ağdaki akıllı sözleşmelerde kilitleniyor. Ağın kendi köprüsü, kullanıcıların bu varlıkları Nova’da kullanabilmesini sağlıyor.
Blockaid, uyarısının devamında iki saldırgan adresi, örnek işlem ve etkilenen iki sözleşmeyi paylaştı. zkLink’in resmî adres listesi, 0x5fD9…15Cf adresini Ethereum ana ağındaki zkLink sözleşmesi, 0xAd16…B6B6 adresini ise ERC-20 köprüsü olarak gösteriyor. Listede Nova üzerinde çalışan köprüler ayrı adreslerle belirtiliyor.
The Defiant, işlem kayıtlarında önce yeni bir kök kaydedildiğini, ardından aynı işlem içinde ETH ve token çekimlerinin gerçekleştiğini aktarıyor. Yayın, sonraki Etherscan görünümünde etkilenen ETH saklama sözleşmesinde yaklaşık 0,001 ETH kaldığını da bildiriyor. Verilen bakiye yalnızca o sözleşmede kalan ETH’yi gösteriyor; Nova’nın diğer sözleşmelerinde ve token köprüsünde ne kadar varlık kaldığını göstermiyor.
Normalde çekimden önce hangi kontroller yapılır?
zkLink, işlemlerin kesinleşmesini açıklayan belgesinde Linea’yı kanıtların doğrulandığı birincil ağ olarak tanımlıyor. Sıralayıcı, işlem grubunu ve sıfır bilgi kanıtını Linea’daki doğrulama sözleşmesine gönderiyor. Sözleşmeler hem kanıtın geçerliliğini denetliyor hem de diğer bağlı ağlardan gelen kayıt özetlerini önceden aktarılan işlemlerle karşılaştırıyor.
zkLink’in tarif ettiği düzende, iki kontrol de başarılı olunca işlem grubu kesinleşiyor. Ağ, kökü diğer bağlı ağlara gönderiyor; oradaki sözleşmeler de kullanıcıların çekim taleplerini işleyebiliyor. Blockaid, saldırganın hangi kod denetimini nasıl aştığını veya açığın giderilip giderilmediğini ilk uyarısında açıklamadı.
The Defiant, 29 Ekim 05.29 TSİ’de ana Ethereum saklama sözleşmesinde duraklatma ayarının kapalı (false) olduğunu bildirdi. Yayına göre başka güvenlik önlemleri yeni saldırıları engelliyor olabilir; yalnızca bu alana bakarak saldırının sürdüğü söylenemez. Blockaid ve The Defiant, etkilenen kullanıcı sayısı, geri alınan fon miktarı veya geri ödeme takvimi vermedi. Haber hazırlanırken zkLink’in ana sayfasında ve iki resmî X profilinin görünen paylaşımlarında da olaya ilişkin bir açıklamaya rastlanmadı. Projenin diğer iletişim kanalları incelenmedi.
Aşağıdaki Blockaid paylaşımı 29 Ekim 05.24 TSİ’de yayımlandı; saldırının sürdüğüne ilişkin ifade o saate ait.
Blockaid’in 29 Ekim tarihli zkLink Nova uyarısı
Gönderi, açtığınızda X üzerinden yüklenir.
