Peckshield: Şüpheli bir güvenlik açığı sonucu Hedera’dan 5,25 milyon dolar çalınarak Ethereum’a aktarıldı

Rakamlar Nihayet Ortaya Çıkmaya Başlıyor

Peckshield, güvenlik analisti Specter tarafından ilk kez ortaya konan bulgulara atıfta bulunarak Hedera ağının istismar edildiğini bildirdi. Uyarıya göre, çalınan 5,25 milyon dolarlık fon, Hedera'nın ana ağından Ethereum'a çoktan aktarıldı.

Saldırgan, cüzdanına başlangıçta kripto para işlemlerinin izini gizleyen bir karıştırma hizmeti olan Tornado Cash'ten çekilen 1 ETH ile para yatırmıştı. Cüzdanda şu anda 4,25 milyon dolar değerinde yaklaşık 2.360 ETH ve Ethereum'da işlem gören, değeri 1 milyon dolara yakın olan bitcoin'in tokenize edilmiş versiyonu olan 15,58 wrapped bitcoin (WBTC) bulunuyor.

Hedera şu ana kadar olayı kamuoyuna doğrulamadı ve köprü üzerinden aktarılan fonların ötesindeki hırsızlığın tam boyutu belirsizliğini koruyor. Ağın yerel tokenı olan HBAR, 11 Temmuz'da 0,07 dolar civarında işlem gördü; bu, son 24 saatte yaklaşık %3'lük bir düşüşe işaret ediyor.

Fiyatın bu kadar sakin tepki vermesi, durumun henüz çok erken bir aşamada olduğunu gösteriyor gibi görünüyor; zira ne saldırı vektörü ne de etkilenen uygulamalar kamuoyuna açıklanmış değil ve zararın kullanıcı hesaplarından mı yoksa protokol düzeyindeki likiditeden mi kaynaklandığı henüz bilinmiyor.

Daha Önce Görülen Bir Strateji

Bir karıştırıcı aracılığıyla cüzdana fon aktarmak, saldırı gerçekleştirmek ve ardından ganimeti Ethereum'a köprülemek şeklindeki bu model, son yıllarda standart bir taktik haline gelmiştir. Aslında, zincirler arası köprü istismarları yılın ilk beş ayında 328 milyon doları aştı; Bitcoin.com News, geçtiğimiz ay bu tür birkaç olayı haber yaptı. En son olarak, bir saldırgan neredeyse aynı Tornado Cash kurulumunu kullanarak çaldığı 11,5 milyon dolarlık Verus varlığını ether'e çevirdi.

Ayrıca bu, Hedera'nın ilk güvenlik olayı da değil; zira Mart 2023'te saldırganlar, ağın akıllı sözleşme hizmetini istismar ederek Saucerswap, Pangolin ve Heliswap gibi merkeziyetsiz borsalardan likidite havuzu token'larını boşaltmıştı. Söz konusu saldırıdan 600.000 doların altında bir kazanç elde edildi ve ağ, keşfedilmesinden sonraki 41 saat içinde bir düzeltme yayınladı; mevcut olay da bu tepki süresiyle karşılaştırılarak değerlendirilecektir.

Önümüzdeki günlerde tüm gözler, özellikle de henüz ihlali doğrulamamış olmaları nedeniyle, Hedera ekibine ve durumla nasıl başa çıkacağına çevrilecek. Ayrıca, saldırganın 2.360 ETH'yi Tornado Cash üzerinden geri dolaşıma sokmaya başlayıp başlamayacağını görmek ilginç olacak. O zamana kadar, 5,25 milyon dolarlık tutar, sektördeki tüm zincir üstü araştırmacıların şu anda takip ettiği bir cüzdanda duruyor.