Bu makale serisi, OKX Web3 ve BlockSec'in birlikte derlediği "En Son Kaçış Stratejisi"nden alıntılanmış olup DeFi kullanıcılarının ve DeFi proje ekiplerinin karşılaştığı güvenlik endişelerini ele almaktadır.
S1：Balinaların karşılaştığı gerçek hayattan birkaç DeFi risk vakasını paylaşabilir misiniz?
BlockSec Güvenlik Ekibi: DeFi'nin cazibesi, istikrarlı ve yüksek varlık getirilerinde yatmaktadır; bu durum önemli oyuncuları kendine çekmekte ve projeleri büyük balinaları kendi taraflarına çekerek likiditeyi artırmaya yönlendirmektedir. Balinaların önemli DeFi yatırımları yaptığını haberlerde sıkça görüyoruz. Ancak bu 'balinalar', istikrarlı getirilerden yararlanırken doğal risklerle de baş başa kalmaktadır. DeFi risklerinin kamuya açık belgelenmiş senaryolarını derinlemesine incelerken bizi takip etmeye devam edin.
Birinci Vaka：2022 PolyNetwork Olayı ve Discus Fish'in Milyon Dolarlık Krizi
2022 PolyNetwork güvenlik olayında, 600 milyon ABD dolarının üzerinde değere sahip varlık saldırıya uğradı. "Discus Fish"in (Cobo'nun Kurucu Ortağı ve CEO'su) da 100 milyon ABD doları ile dahil olduğu söylentileri yayıldı. Saldırgan nihayetinde fonları iade etti ve olay tatmin edici bir şekilde çözüme kavuştu; "Discus Fish" ise bunu anmak için blok zinciri üzerinde bir anıt dikmeyi planladığını duyurdu. Ancak bu süreç son derece sancılı olmuş olmalıdır. Bazı güvenlik olayları iyi sonuçlanırken büyük çoğunluğu bu kadar şanslı değildir.
İkinci Vaka：SushiSwap Şoku -- 0x Sifu'nun 2023 Saldırısında 3,3 Milyon Dolarlık Yıkıcı Kaybı
Tanınmış merkeziyetsiz borsa (DEX) SushiSwap, 2023 yılında saldırıya uğradı ve 0x Sifu olarak bilinen büyük bir hisse sahibi 3,3 milyon doların üzerinde önemli bir kayıp yaşadı. Bireysel kaybı, toplam kayıp miktarının yaklaşık %90'ını oluşturuyordu.
Üçüncü Vaka：Prisma İhlali -- Dört Cüzdandan %80 Kayıp, 4 Milyon Dolar Hâlâ Kurtarılamadı
Bu yılın Mart ayındaki Prisma güvenlik olayında toplam kayıp 14 milyon ABD dolarına ulaştı. Bu kayıplar 17 cüzdan adresinden kaynaklandı; cüzdan başına ortalama kayıp 820.000 ABD doları oldu. Ancak dört kullanıcının uğradığı kayıplar toplamın %80'ini oluşturuyordu. Çalınan varlıkların büyük çoğunluğu henüz kurtarılamamıştır.
Sonuç olarak, özellikle ana ağdaki DeFi'de göz ardı edilemeyecek gas ücretleri bulunmakta olup airdrop teşvikleri hariç tutulduğunda kârlılık, önemli miktarda varlık yatırımına bağlıdır. Bu nedenle DeFi projelerindeki toplam kilitli değerin (TVL) büyük bölümü genellikle 'balinalar' tarafından sağlanmakta; bazı projelerde balinaların %2'si TVL'nin %80'ini oluşturmaktadır. Güvenlik olayları yaşandığında bu balinalar kaçınılmaz olarak kayıpların büyük yükünü taşımaktadır. 'İnsan yalnızca balinaların ziyafet çektiğini görmemeli; onların da çarpıldıkları anlar olur.'
OKX Web3 Cüzdan Güvenlik Ekibi: Zincir üstü dünyanın gelişmesiyle birlikte kullanıcıların karşılaştığı DeFi risk vakaları da artmaktadır; zincir üstü güvenlik her zaman kullanıcıların en temel ve en önemli ihtiyacı olmaya devam etmektedir.
Birinci Vaka：PlayDapp İhlali -- Anahtar Sızıntısıyla 32 Milyon Dolarlık PLA Token Çalındı
PlayDapp Özel Anahtar İhlali: 9-12 Şubat 2024 tarihleri arasında, Ethereum tabanlı oyun platformu PlayDapp bir ihlale uğradı; saldırgan sızdırılmış özel anahtarları kullandı. Saldırgan, yetkisiz olarak 1,79 milyar PLA token bastı ve çaldı; bu durum yaklaşık 32,35 milyon ABD doları tutarında kayba yol açtı. Saldırgan, PLA token'larına yeni bir basım operatörü ekledi, büyük miktarda PLA basti ve bunları birden fazla zincir üstü adres ile borsaya dağıttı.
İkinci Vaka：Hedgey Finance Saldırısı -- Sözleşme Açığından Yararlanılarak 44,7 Milyon Dolar Kaybedildi
Hedgey Finance Saldırı Olayı. 19 Nisan 2024'te Hedgey Finance, Ethereum ve Arbitrum üzerinde önemli bir güvenlik açığına maruz kaldı ve yaklaşık 44,7 milyon ABD doları kayıp yaşandı. Saldırgan, kullanıcı giriş doğrulamasından yoksun olan sözleşmedeki açıktan yararlanarak savunmasız sözleşmeye yetki elde etti ve bu sayede varlıkları çaldı.
S2：Mevcut DeFi'deki başlıca risk türlerini özetlemek mümkün müdür?
OKX Web3 Cüzdan Güvenlik Ekibi: Gerçek olaylardan yola çıkarak mevcut DeFi alanındaki dört yaygın risk türünü belirledik.
Birinci tür: Kimlik Avı Saldırıları.
Kimlik avı saldırıları yaygın bir siber saldırı türüdür; meşru kurum veya bireyler gibi görünerek kurbanları özel anahtarlar, şifreler veya diğer kişisel veriler gibi hassas bilgileri paylaşmaya kandırır. DeFi alanında kimlik avı saldırıları genellikle şu yollarla gerçekleştirilir:
· Sahte Web Siteleri: Saldırganlar gerçek DeFi projelerine benzer kimlik avı web siteleri oluşturarak kullanıcıları yetkilendirme imzalamaya veya transfer işlemi yapmaya kandırır.
· Sosyal Mühendislik Saldırıları: Saldırganlar Twitter'da yüksek kaliteli taklit hesaplar kullanır ya da proje taraflarının Twitter veya Discord hesaplarını ele geçirerek sahte tanıtım etkinlikleri veya airdrop bilgileri (aslında kimlik avı bağlantıları) yayınlar ve kullanıcılara yönelik kimlik avı saldırıları gerçekleştirir.
· Kötü Amaçlı Akıllı Sözleşmeler: Saldırganlar cazip görünen akıllı sözleşmeler veya DeFi projeleri yayınlayarak kullanıcıları erişim hakları vermeye kandırır ve böylece fonları çalar.
İkinci tür: Rugpull.
Rugpull, DeFi alanına özgü bir dolandırıcılık türüdür; proje geliştiricilerinin büyük miktarda yatırım çektikten sonra aniden fonları çekip ortadan kaybolması ve yatırımcıların fonlarının tamamen yok olması anlamına gelir. Rugpull genellikle merkeziyetsiz borsalarda (DEX) ve likidite madenciliği projelerinde görülür. Başlıca biçimleri şunlardır:
Likidite Çekimi: Geliştiriciler kullanıcı yatırımını çekmek için likidite havuzuna büyük miktarda likidite sağlar, ardından tüm likiditeyi aniden çeker; bu durum token fiyatının çökmesine ve yatırımcıların büyük kayıplar yaşamasına yol açar.
· Sahte Projeler: Geliştiriciler yasal görünen bir DeFi projesi oluşturur, sahte vaatler ve yüksek getirilerle kullanıcıları yatırım yapmaya kandırır; ancak gerçekte hiçbir ürün veya hizmet bulunmamaktadır.
· Sözleşme İzni Manipülasyonu: Geliştiriciler, sözleşme kurallarını değiştirmek veya fonları istedikleri zaman çekmek için akıllı sözleşmelerdeki arka kapıları veya izinleri kullanır.
Üçüncü tür: Akıllı Sözleşme Açıkları.
Akıllı sözleşmeler, blok zinciri üzerinde çalışan ve bir kez dağıtıldıktan sonra değiştirilemeyen kendi kendini yürüten kodlardır. Akıllı sözleşmelerde açıklar bulunması ciddi güvenlik sorunlarına yol açabilir. Yaygın akıllı sözleşme açıkları şunlardır:
· Yeniden Giriş Açıkları: Saldırganlar, önceki çağrı tamamlanmadan önce açık içeren sözleşmeyi tekrar tekrar çağırarak sözleşmenin iç durumunda sorunlara neden olur.
· Mantık Hataları: Sözleşmenin tasarımında veya uygulamasında yapılan mantıksal hatalar, beklenmedik davranışlara veya açıklara yol açar.
· Tam Sayı Taşmaları: Sözleşmelerin tam sayı işlemlerini doğru şekilde işlememesi, taşma veya yetersiz kalma sorunlarına yol açar.
· Fiyat Manipülasyonu: Saldırganlar, oracle'lardan gelen fiyatları manipüle ederek saldırı gerçekleştirir.
· Hassasiyet Kaybı: Ondalıklı veya tam sayı hassasiyetiyle ilgili sorunlar nedeniyle hesaplama hataları oluşur.
· Giriş Doğrulama Eksikliği: Kullanıcı girişinin yetersiz doğrulanması, olası güvenlik sorunlarına yol açar.
Dördüncü tür: Yönetişim Riskleri.
Yönetişim riskleri, bir projenin temel karar alma ve kontrol mekanizmalarıyla ilgilidir. Kötü niyetle istismar edilmesi halinde projenin hedeflenen amaçlarından sapmasına, hatta ciddi ekonomik kayıplara ve güven krizlerine neden olabilir. Yaygın risk türleri şunlardır:
· Özel Anahtar Sızıntısı
- Bazı DeFi projelerinin ayrıcalıklı hesapları, EOA (Harici Sahipli Hesaplar) veya çok imzalı cüzdanlar tarafından kontrol edilmektedir. Bu özel anahtarların sızdırılması veya çalınması halinde saldırganlar sözleşmeleri veya fonları istedikleri gibi manipüle edebilir.
· Yönetişim Saldırıları
-
Bazı DeFi projeleri merkeziyetsiz yönetişim şemaları benimsemiş olsa da şu risklerle karşı karşıya kalmaya devam eder:
-
Token Manipülasyonu: Saldırganlar kısa bir süre içinde çok sayıda yönetişim token'ı ödünç alarak oy sonuçlarını manipüle eder.
-
Güç Yoğunlaşması: Yönetişim token'ları az sayıda kişinin elinde yoğunlaşırsa bu kişiler oy gücünü toplayarak tüm projenin karar alma sürecini kontrol edebilir.
