Ethereum'a bağlı iki köprü, birkaç saat arayla toplamda 31,69 milyon dolar kaybetti ve üçüncü bir protokol olan B² Network, yükseltme yetkisine yetkisiz erişim tespit ettikten sonra token staking işlemlerini askıya aldı.
İlk darbeyi Arbitrum üzerindeki AFX köprüsü aldı. Blockaid, saldırıyı 22 Temmuz saat 21:30 UTC'de bildirdi. Tek bir Arbitrum işlemi, merkeziyetsiz bir ticaret protokolü olan AFX tarafından işletilen köprüden 24,15 milyon USDC çıkardı. AFX, USDC saklama köprüsünü derhal askıya aldı ve olayın kendi ticaret altyapısı, ana ağı veya Arbitrum'un yerel köprüsüyle değil, üçüncü taraf bir köprüyle sınırlı olduğunu vurguladı.
24 Temmuz'da yayınlanan ön bulgularda AFX, "koordineli bir sosyal mühendislik ve altyapı ihlalini" sorumlu tuttu. Saldırganların bir geliştirme ortamında başladığı, ardından dahili derleme altyapısına ve doğrulayıcı sistemlerine sızdığı anlaşıldı. AFX, bakiyeleri doğruladığını, fonların geri alınması için çalıştığını ve bir telafi planı hazırladığını belirtti. 24 Temmuz itibarıyla, fonların geri ödendiğine veya nihai bir tazminat planına ilişkin bir duyuru yapılmamıştı.
AFX olayından saatler sonra, bir Ethereum işlemi Verus köprüsünün 1.137,45 ETH ve yedi token transferi serbest bıraktığını gösterdi. Blockaid, karşılıksız ödemelerin değerini yaklaşık 7,54 milyon dolar olarak belirledi. SlowMist'in analizi, köprünün, eşleşen varlıklarla desteklendiğine dair kanıt olmaksızın sekiz para çekme işlemini onayladığını ortaya koydu. Firma, bu başarısızlığı Mayıs ayındaki bir saldırıyla aynı geniş zincirler arası ithalat-doğrulama sınıfıyla ilişkilendirdi ancak iki saldırının farklı mekanizmalar kullandığını belirtti.
B² Network'teki olay bir köprü saldırısı değildi. Ağ, birinin staking sözleşmesinin yükseltme yetkisine yetkisiz erişim sağladığını söyledi. B² güvenlik incelemeleri sırasında normal staking işlemlerini askıya aldı, sorunun kontrol altına alındığını belirtti ve etkilenen kullanıcılara tam tazminat sözü verdi. 24 Temmuz itibarıyla belgelenmiş bir geri ödeme yapılmamıştı. B² ayrıca manuel bir unstaking yolu sundu: kullanıcılar resmi Discord kanalı üzerinden para çekme talebinde bulunabilir ve sahipliği doğrulanmış talepler bir iş günü içinde işleme alınır. Ağ bir kayıp miktarı açıklamadı, bu nedenle bu olay 31,69 milyon dolarlık toplam köprü kaybına dahil edilmedi.
Bu üç olay, zincirler arası altyapıya yönelik denetimlerin arttığı bir dönemde meydana geldi. Yatırımcılar için anlık olarak izlenmesi gerekenler, AFX'in bakiye doğrulaması ve herhangi bir tazminat planı ile B²'nin normal staking işlemlerine yeniden başlayıp başlamayacağı veya manuel çıkış sürecini uzatıp uzatmayacağıdır. Verus köprüsü saldırısı, aynı ithalat-doğrulama mantığına dayanan başka kaç tane dağıtım olduğu konusunda da soru işaretleri yaratıyor.
İki Ethereum köprüsü saldırılarda 31,69 milyon $ kaybetti
İki Ethereum köprüsü olan AFX ve Verus, koordineli saldırılar ve yetkisiz para çekme işlemleri nedeniyle 31,7 milyon doların üzerinde kayıp yaşadı. B² Network de yetkisiz sözleşme erişiminin ardından staking işlemlerini durdurarak zincirler arası köprü güvenliğiyle ilgili endişeleri artırdı.