#10 Panoptik Olay: XOR Doğrusallığı Konum Parmak İzi Şemasını Bozuyor

25 Ağustos 2025'te Cantina ve Seal911'in yardımıyla Panoptic, yaklaşık 400.000 dolarlık risk altındaki fonları güvence altına alan bir beyaz şapka kurtarma operasyonu gerçekleştirdi [1]. Temel neden, s_positionsHash oluşturma sürecindeki bir kusurdu: protokol, pozisyon ID'lerinin Keccak256 hash'lerini tek bir parmak izinde toplamak için XOR kullandı. Bireysel Keccak256 hash'leri çarpışmaya dirençli olmaya devam etse de XOR'un matematiksel doğrusallığı, bileşik parmak izini güvensiz kılar. Bir saldırgan, XOR ile toplanmış hash'i herhangi bir hedef parmak iziyle eşleşen sahte pozisyon ID'leri oluşturabilir; böylece protokolün pozisyon doğrulamasını atlatarak borcu geri ödemeden teminatı çekebilir.

Arka Plan

Panoptic, kullanıcıların put ve call opsiyonları işlem yapmasına olanak tanıyan, Ethereum üzerine inşa edilmiş merkeziyetsiz bir sürekli opsiyon işlem protokolüdür.

withdraw() fonksiyonunun positionList adlı bir giriş parametresi vardır; bu parametre bir dizi tokenId'den oluşur. Her tokenId bir pozisyonu temsil eder. withdraw() fonksiyonu, her pozisyonun borç durumunu s_positionsHash değerine göre kontrol eder ve ardından kullanıcının teminatını geri alır.

Gaz tasarrufu amacıyla protokol, kullanıcının her pozisyonunu (yani tokenId'yi) depolamaz. Bunun yerine, kullanıcının tüm tokenId'lerine dayalı bir parmak izi hesaplar ve bunu s_positionsHash içinde kaydeder. Her s_positionsHash değerinin en anlamlı 8 biti numLegs'i, alt 248 biti ise kullanıcı pozisyon hash'ini temsil eder.

Geçirilen her tokenId için protokol, hash'ini hesaplar, alt 248 biti alır ve mevcut s_positionsHash değerinin alt 248 biti ile bit düzeyinde XOR işlemi gerçekleştirerek kullanıcı pozisyon hash'ini günceller.

Aynı zamanda countLegs, tokenId'nin sayısal aralığına göre ayarlanır: tokenId $2^{64}2^\{64\}$'ün altındayken değişmez; $(2^{64},2^{112})(2^\{64\},\; 2^\{112\})$, $(2^{112},2^{168})(2^\{112\},\; 2^\{168\})$ ve $(2^{168},2^{208})(2^\{168\},\; 2^\{208\})$ aralıklarında sırasıyla 1, 2 veya 3 artış gösterir. Bu değer son olarak s_positionsHash değerinin üst 8 bitine yazılarak numLegs güncellenir.

Güvenlik Açığı Analizi

Temel neden, sözleşmenin s_positionsHash oluşturma algoritmasındaki bir kusurdur; özellikle Keccak256 hash sonuçlarını toplamak için XOR işleminin kullanılması bu soruna yol açmaktadır. Tek bir hash fonksiyonu güvenli olmaya devam etse de XOR işleminin matematiksel doğrusallığı, genel parmak izi algoritmasını (yani hash'lerin XOR toplamını) güvensiz kılar [2].

Doğrusallık, bir saldırganın hash fonksiyonunu kendisini kırmasına (yani tokenId'yi hash'ten tersine çevirmesine) gerek olmadığı anlamına gelir. Bunun yerine kombinatoryal bir strateji kullanabilir: çok sayıda rastgele tokenId oluşturarak Keccak256(tokenId) hesaplar ve bu hash değerlerinden, tokenId hash'lerinin XOR toplamının hedef parmak iziyle tam olarak eşleştiği belirli bir alt küme seçer.

Bu sayede saldırgan, withdraw() çağrısında bir dizi sahte tokenId geçirerek sağlık kontrolünü atlayabilir ve s_positionsHash değerine karşılık gelen tüm teminatı geri alabilir.

Teori

Kullanıcının pozisyon parmak izi s_positionsHash değerinin kullanıcı pozisyon hash'inin $TT$, numLegs değerinin ise $kk$ olduğunu ve kullanıcının tokenId'lerinin $\{t_1,t_2,\dots ,t_n\}\backslash \{t\_1,\; t\_2,\; \backslash dots,\; t\_n\backslash \}$ olduğunu varsayalım. Bu durumda:

$$\underset{i=1}{\overset{k}{⨁}}[\text{Hash}(t_i)(\mathrm{m}\mathrm{o}\mathrm{d}{2}^{248})]=T\backslash bigoplus\_\{i=1\}^\{k\}\; [\backslash text\{Hash\}(t\_i)\; \backslash pmod\{2^\{248\}\}]\; =\; T$$

Burada her 248-bitlik hash değeri 248 boyutlu bir vektör olarak görülebilir.

$$\text{Hash}(t_i)(\mathrm{m}\mathrm{o}\mathrm{d}{2}^{248})=[b_0,b_1,\dots ,b_{247}{]}^T,where{b}_i\in \{0,1\}\backslash text\{Hash\}(t\_i)\; \backslash pmod\{2^\{248\}\}\; =\; [b\_0,\; b\_1,\; \backslash dots,\; b\_\{247\}]^T,\; where\backslash \; b\_i\; \backslash in\; \backslash \{0,\; 1\backslash \}$$

Dolayısıyla $TT$, 0 ve 1'lerden oluşan 248 boyutlu bir uzayda (${\mathbb{F}}_2^{248}\backslash mathbb\{F\}\_2^\{248\}$) yer alır. Bu uzayda XOR işlemi, vektör toplamaya eşdeğerdir (Ek I).

Saldırganın amacı, mevcut tüm vektörler arasından XOR toplamlarının alt 248 bitinin $TT$'ye eşit olduğu $nn$ adet 248 boyutlu vektör $\{v_1,v_2,\dots ,v_n\}\backslash \{v\_1,\; v\_2,\; \backslash dots,\; v\_n\backslash \}$ bulmaktır. Bu nedenle saldırganın hedefini bir doğrusal denklem sistemi olarak şu şekilde ifade edebiliriz:

$$x_1{v}_1+x_2{v}_2+\cdots +x_n{v}_n=Tx\_1\; v\_1\; +\; x\_2\; v\_2\; +\; \backslash dots\; +\; x\_n\; v\_n\; =\; T$$

Özellikle, $TT$'yi doğrudan oluşturmaya çalışmamıza gerek yoktur. Bunun yerine $nn$ adet doğrusal bağımsız hash vektörü $\{v_1,v_2,\dots ,v_n\}\backslash \{v\_1,\; v\_2,\; \backslash dots,\; v\_n\backslash \}$ (burada $nn$, boyut olan 248'e eşittir) seçer ve bunları sütun vektör olarak kullanarak $n\times nn\; \backslash times\; n$ boyutunda bir $AA$ matrisi oluştururuz:

$$A=[v_1,v_2,\dots ,v_n]A\; =\; [v\_1,\; v\_2,\; \backslash dots,\; v\_n]$$

Problem artık şu şekilde dönüşür: şunu sağlayan bir katsayı vektörü $xx$ bulmak:

$$A\cdot x=TA\; \backslash cdot\; x\; =\; T$$

Burada $x=[x_1,x_2,\dots ,x_n{]}^{T}x\; =\; [x\_1,\; x\_2,\; \backslash dots,\; x\_n]^T$ ve $x_i\in \{0,1\}x\_i\; \backslash in\; \backslash \{0,\; 1\backslash \}$.

Doğrusal cebir teorisine göre, $AA$ matrisi tam ranklı olduğu sürece tüm $nn$ boyutlu uzayı kapsar. Bu, herhangi bir $TT$ hedefi için denklem sisteminin benzersiz bir çözüme sahip olduğu anlamına gelir. $xx$ için çözüm bulunduktan sonra, yalnızca $x_i=1x\_i=1$ olan $v_{i}v\_i$ vektörlerini tutmamız yeterlidir; bunların XOR toplamı $TT$'ye eşittir.

Örnek

Anlayışı kolaylaştırmak için bu oluşturma sürecini bir örnek çalışmayla gösteriyoruz. Vektörlerin 3 boyutlu olduğunu, her boyutun yalnızca 0 veya 1'den oluştuğunu ve hedef hash değerinin 101, yani $T=[1,0,1{]}^{T}T\; =\; [1,\; 0,\; 1]^T$ olduğunu varsayalım.

Ardından rastgele 3 hash değeri oluşturuyoruz:

• $v_1=[1,1,0{]}^{T}v\_1\; =\; [1,\; 1,\; 0]^T$
• $v_2=[0,1,0{]}^{T}v\_2\; =\; [0,\; 1,\; 0]^T$
• $v_3=[0,1,1{]}^{T}v\_3\; =\; [0,\; 1,\; 1]^T$

Bu üç vektörü sütun olarak kullanarak $AA$ matrisini oluşturuyoruz ve $Ax=TAx=T$ denklemini kuruyoruz:

Gauss eleme yöntemiyle çözersek $x=[1,0,1{]}^{T}x\; =\; [1,\; 0,\; 1]^T$ elde ederiz. Bu, $v_{1}v\_1$ ve $v_{3}v\_3$'ü seçmemiz gerektiği ($x_1=1,x_3=1x\_1=1,\; x\_3=1$'e karşılık gelir) ve XOR toplamlarının hedef $TT$'ye tam olarak eşit olduğu anlamına gelir.

n Adet Doğrusal Bağımsız Vektör Seçimi

Daha önce belirtildiği üzere, $Ax=TAx=T$'yi çözmek için tam ranklı bir $AA$ matrisi oluşturmamız gerekir. Son derece büyük bir vektör uzayıyla ($m=2^{248}m\; =\; 2^\{248\}$) çalıştığımız göz önüne alındığında, temel soru şudur: Bu geniş uzaydan $nn$ adet doğrusal bağımsız vektörü nasıl hızlıca seçeriz?

En basit yöntemi düşünelim: rastgele $nn$ adet tokenId oluşturmak ve bunların hash sonuçlarını vektör olarak seçmek.

${\mathbb{F}}_2\backslash mathbb\{F\}\_2$ üzerinde, rastgele seçilen $nn$ adet $nn$ boyutlu vektörün tam ranklı bir matris oluşturma olasılığı $PP$:

$$P(n)=\prod _{k=0}^{n-1}(1-\frac{2^k}{2^n})P(n)\; =\; \backslash prod\_\{k=0\}^\{n-1\}\; \backslash left(1\; -\; \backslash frac\{2^k\}\{2^n\}\backslash right)$$

$nn$ büyük olduğunda (bu örnekte $n=248n=248$), bu olasılık bir sabite yakınsar (Ek II):

$$\underset{n\to \mathrm{\infty }}{\lim }P(n)\approx 0.28879\backslash lim\_\{n\; \backslash to\; \backslash infty\}\; P(n)\; \backslash approx\; 0.28879$$

Bu, her rastgele denemenin yaklaşık %28,9 başarı olasılığına sahip olduğu anlamına gelir. Ortalamada, bir saldırganın doğrusal bağımsız vektörler kümesi bulmak için yalnızca yaklaşık 3,5 denemeye ihtiyacı vardır. Bu nedenle hesaplama maliyeti son derece düşüktür ve saldırgan, koşulları sağlayan bir $AA$ matrisini hızla oluşturabilir.

Üst 8 bitteki countLegs değerini kontrol etmek için, hedef countLegs değerine göre rastgele oluşturulan tokenId değerlerinin aralığını ayarlamamız yeterlidir.

Örneğin, sahte parmak izindeki numLegs değerinin 0 olmasını istiyorsak, oluşturulan $nn$ adet rastgele tokenId'nin tamamının $2^{64}2^\{64\}$'ten küçük olmasını sağlamamız yeterlidir. Bu aralıktaki tokenId'ler için bacak artışı 0 olduğundan, Gauss eleme çözümünün $xx$ seçtiği vektörlerden bağımsız olarak, nihai birikimli numLegs değeri kaçınılmaz biçimde 0 olacaktır.

Saldırı Analizi

Beyaz şapkalı kurtarıcı birden fazla kurtarma işlemi başlattı. Basitlik açısından aşağıdaki tartışma yalnızca bu işlemlerden birine dayanmaktadır [3].

Temel mantık aşağıdaki 5 adımdan oluşmaktadır:

1. Aave'den flash loan aracılığıyla 0,23e8 WBTC ve 28e18 WETH borç alınır.
2. 0,23e8 WBTC ve 28e18 WETH, poWBTC sözleşmesine ve 0x1f8d_poWETH sözleşmesine yatırılır.
3. PanopticPool sözleşmesinin mintOptions() fonksiyonu, normal bir positionIdList ile çağrılarak fon borç alınır ve kaldıraçlı bir pozisyon açılır.
4. withdraw() çağrılarak sahte tokenId'ler geçirilir. Bu sahte pozisyonların positionSize değeri 0 olduğundan fonksiyon, tokenRequired değerini 0 olarak döndürür; yani tüm pozisyonlar için gereken toplam teminat hatalı biçimde sıfır olarak hesaplanır. Bu arada, bu tokenId'lerin oluşturduğu s_positionsHash değeri, 3. adımda oluşturulanla tam olarak aynıdır; bu da kurtarıcının herhangi bir borcu geri ödemeden tüm teminatı geri almasına olanak tanır.
5. Flash loan geri ödenir ve bir sonraki tur başlatılır.

Özet

Bu olay, yetkisiz teminat çekimine olanak tanıyan iki birleşik kusuru gün yüzüne çıkarmaktadır.

• XOR, hash'ler için güvenli bir toplama fonksiyonu değildir. Keccak256 çarpışmaya dirençlidir; ancak XOR'un doğrusallığı, birden fazla hash'in XOR toplamının bu özelliği miras alamayacağı anlamına gelir. Hash'leri herhangi bir hedef değerle XOR'layacak bir girdi kümesi oluşturmak, ${\mathbb{F}}_2\backslash mathbb\{F\}\_2$ üzerinde bir doğrusal denklem sistemi çözümüne indirgenir; bu da hesaplama açısından son derece basittir. Hash kompozisyonu, çarpışma direncini koruyan işlemler gerektirmektedir; örneğin birleştirme ve ardından yeniden hash'leme gibi.
• Pozisyon ID'lerinin doğrulanmaması. Protokol, geçirilen positionId'lerin geçerli opsiyon pozisyonlarına karşılık gelip gelmediğini doğrulamadı. $2^{64}2^\{64\}$'ün altındaki değerler 0 countLegs ve 0 positionSize taşıdığından, sahte pozisyonlar borç oluşturmuyordu. Bu durum, saldırganın hedef parmak iziyle eşleşirken sıfır teminat gereksinimiyle sağlık kontrolünü geçmesine olanak tanıdı.

Referans

1. https://x.com/Panoptic_xyz/status/1961187739866644524

2. https://cseweb.ucsd.edu/~mihir/papers/inchash.pdf

3. https://app.blocksec.com/explorer/tx/eth/0x67a45dfe5ff4b190058674d7c791bbdc48e889f319f937c24fa13a5f9093f088

Ek

Aşağıdaki iki ek, ana metindeki ifadeler için matematiksel bir açıklama ve kanıt sunmaktadır: XOR işleminin vektör toplamaya eşdeğer olduğu (Ek I) ve rastgele bir matrisin tam ranklı olma olasılığı (Ek II).

Ek I

${\mathbb{F}}_2=\{0,1\}\backslash mathbb\{F\}\_2\; =\; \backslash \{0,\; 1\backslash \}$ sonlu alanında toplama, modül 2 toplama olarak tanımlanır:

Bu işlemin Dışlayan VEYA (XOR, sembol $\oplus \backslash oplus$) mantıksal işlemiyle özdeş olduğu görülmektedir.

$nn$ boyutlu ${\mathbb{F}}_2^n\backslash mathbb\{F\}\_2^n$ vektör uzayı için (bu durumda $n=248n=248$), $u=[u_1,\dots ,u_n{]}^{T}u\; =\; [u\_1,\; \backslash dots,\; u\_n]^T$ ve $v=[v_1,\dots ,v_n{]}^{T}v\; =\; [v\_1,\; \backslash dots,\; v\_n]^T$ iki vektörünün toplamı, bileşen bazında modül 2 toplama olarak tanımlanır:

$$u+v=\left[\begin{array}{c}{u}_1+v_1(\mathrm{m}\mathrm{o}\mathrm{d}2)\\ \mathrm{⋮}\\ u_n+v_n(\mathrm{m}\mathrm{o}\mathrm{d}2)\end{array}\right]=\left[\begin{array}{c}{u}_1\oplus v_1\\ \mathrm{⋮}\\ u_n\oplus v_n\end{array}\right]=u\oplus vu\; +\; v\; =\; \backslash begin\{bmatrix\}\; u\_1\; +\; v\_1\; \backslash pmod\; 2\; \backslash \backslash \; \backslash vdots\; \backslash \backslash \; u\_n\; +\; v\_n\; \backslash pmod\; 2\; \backslash end\{bmatrix\}\; =\; \backslash begin\{bmatrix\}\; u\_1\; \backslash oplus\; v\_1\; \backslash \backslash \; \backslash vdots\; \backslash \backslash \; u\_n\; \backslash oplus\; v\_n\; \backslash end\{bmatrix\}\; =\; u\; \backslash oplus\; v$$

Dolayısıyla ${\mathbb{F}}_2^n\backslash mathbb\{F\}\_2^\{n\}$ vektör uzayında vektör toplamı, vektör bileşenleri üzerindeki bit düzeyinde XOR işlemine eşdeğerdir.

Ek II

Matrisin tam ranklı olabilmesi için bu $nn$ vektörün doğrusal bağımsız olması gerekir.

İlk vektör $v_{1}v\_1$, ${\mathbb{F}}_2^n\backslash mathbb\{F\}\_2^n$ içinde sıfır vektörü dışında herhangi bir vektör olabilir; bu da $2^n-12^n\; -\; 1$ seçenek sunar. İkinci vektör $v_{2}v\_2$, $\{v_1\}\backslash \{v\_1\backslash \}$ tarafından gerilen alt uzayda yer almamalıdır; bu alt uzay $2^{1}2^1$ vektör içerir ve $2^n-22^n\; -\; 2$ seçenek bırakır. Bu mantığa göre $kk$'inci vektör $v_{k}v\_k$, önceki $k-1k-1$ vektör tarafından gerilen alt uzayda yer alamaz; bu da $2^n-2^{k-1}2^n\; -\; 2^\{k-1\}$ olası seçenek sunar.

Bu tür matrislerin toplam sayısı (yani $GL(n,{\mathbb{F}}_2)GL(n,\; \backslash mathbb\{F\}\_2)$'nin mertebesi) şöyledir:

$$N=\prod _{k=0}^{n-1}(2^n-2^k)=(2^n-1)(2^n-2)(2^n-4)\cdots (2^n-2^{n-1})N\; =\; \backslash prod\_\{k=0\}^\{n-1\}\; (2^n\; -\; 2^k)\; =\; (2^n\; -\; 1)(2^n\; -\; 2)(2^n\; -\; 4)\backslash cdots(2^n\; -\; 2^\{n-1\})$$

Tüm olası $n\times nn\; \backslash times\; n$ matrislerin toplam sayısı ise $(2^n{)}^n=2^{n^2}(2^n)^n\; =\; 2^\{n^2\}$'dir.

Dolayısıyla $PP$ olasılığı şöyle ifade edilir:

$$P=\frac{\prod _{k=0}^{n-1}(2^n-2^k)}{2^{n^2}}=\prod _{k=0}^{n-1}\left(\frac{2^n-2^k}{2^n}\right)=\prod _{k=0}^{n-1}(1-\frac{2^k}{2^n})P\; =\; \backslash frac\{\backslash prod\_\{k=0\}^\{n-1\}\; (2^n\; -\; 2^k)\}\{2^\{n^2\}\}\; =\; \backslash prod\_\{k=0\}^\{n-1\}\; \backslash left(\; \backslash frac\{2^n\; -\; 2^k\}\{2^n\}\; \backslash right)\; =\; \backslash prod\_\{k=0\}^\{n-1\}\; (1\; -\; \backslash frac\{2^k\}\{2^n\})$$

$j=n-kj\; =\; n\; -\; k$ dönüşümüyle bu ifadeyi şu şekilde yeniden yazabiliriz:

$$P=\prod _{j=1}^n(1-\frac{1}{2^j})P\; =\; \backslash prod\_\{j=1\}^\{n\}\; \backslash left(1\; -\; \backslash frac\{1\}\{2^j\}\backslash right)$$

$n\to \mathrm{\infty }n\; \backslash to\; \backslash infty$ iken bu çarpım bir sabite yakınsar:

$$P\approx 0.288788P\; \backslash approx\; 0.288788$$

Bu, büyük $nn$ değerleri için rastgele bir matrisin tam ranklı olma olasılığının yaklaşık %28,9 olduğu anlamına gelir.

BlockSec Hakkında

BlockSec, tam yığın blok zinciri güvenliği ve kripto uyumluluk sağlayıcısıdır. Müşterilerin kod denetimi (akıllı sözleşmeler, blok zinciri ve cüzdanlar dahil) gerçekleştirmesine, saldırıları gerçek zamanlı olarak engellenmesine, olayları analiz etmesine, yasadışı fonları takip etmesine ve protokoller ile platformların tam yaşam döngüsü boyunca AML/CFT yükümlülüklerini karşılamasına yardımcı olan ürün ve hizmetler geliştiriyoruz.

BlockSec, saygın konferanslarda birden fazla blok zinciri güvenlik makalesi yayımlamış, DeFi uygulamalarının çeşitli sıfır gün saldırılarını raporlamış, 20 milyon dolardan fazlayı kurtarmak için birden fazla saldırıyı engellemiş ve milyarlarca dolarlık kripto para birimini güvence altına almıştır.

• Resmi web sitesi: https://blocksec.com/

• Resmi Twitter hesabı: https://twitter.com/BlockSecTeam

• 🔗 BlockSec Denetim Hizmeti : Talep gönderin

• 🔗 Phalcon Güvenlik UYGULAMASI: Demo rezervasyonu yapın

• 🔗 Phalcon Uyumluluk