Gate Araştırma Enstitüsü: 2025 Üçüncü Dönem Güvenlik Olayları Özeti

2025-04-07 05:16:28

Gate Araştırma Enstitüsü'nün en son Web3 endüstri güvenlik raporuna göre, Slowmist verilerine dayanarak, Mart 2025'te toplam 8 güvenlik olayı meydana geldi ve toplam kayıp yaklaşık 14.43 milyon dolar. Olay türleri çeşitlenmiş olup, en fazla olay sayısı hesapların hacklenmesi ve sözleşme açıklarından kaynaklanan olaylardan oluşmakta, bu da %62.5'lik bir oranı temsil etmektedir. Rapor, 1inch'in sözleşme açığı saldırısına uğraması, Zoth'un sözleşme açığı ve Özel Anahtar sızıntısı gibi önemli güvenlik olaylarını detaylı bir şekilde analiz etmektedir. Hesap hack saldırıları ve sözleşme açıkları bu ayın ana güvenlik riskleri olarak belirlenmiş olup, sektörün güvenlik önlemlerini sürekli olarak güçlendirme gerekliliğini vurgulamaktadır.

Özet

2025 Mart ayında, Web3 sektöründe 8 güvenlik olayı gerçekleşti, toplam kayıp 14.43 milyon dolar oldu, bir önceki aya göre büyük bir düşüş.
Bu ayki güvenlik olayları, sözleşme açıkları, hesapların hacklenmesi gibi saldırı yöntemlerini içeriyor ve kripto sektöründeki güvenlik olaylarının toplamının %62,5'ini oluşturuyor.
Bu ayki önemli olaylar arasında 1inch'in sözleşme açık saldırısına uğraması (5 milyon dolar kayıp, %90'ı geri alındı), Zoth'un ise sözleşme açığı ve Özel Anahtar sızıntısı olmak üzere iki kez saldırıya uğraması (toplam kayıp 8.575 milyon dolar).
Güvenlik olaylarının her bir zincir üzerindeki dağılımına göre, bu ay yalnızca bir projenin kaybı kamu zinciri BSC üzerinde gerçekleşti.

Güvenlik Olayı Genel Görünümü

Slowmist verilerine göre, 2025 yılı 1 Mart - 30 Mart tarihleri arasında 8 güvenlik olayı kaydedildi ve toplam kayıp 14.43 milyon dolar oldu. Saldırılar esas olarak sözleşme açıkları, hesap hacker saldırıları ve diğer yöntemleri içeriyordu. 2025 yılı Şubat ayına kıyasla, toplam kayıp miktarı %99 azaldı. Sözleşme açıkları ve hesapların hacklenmesi, saldırıların başlıca nedenleri olup, toplamda 5 ilgili hacker saldırısı meydana geldi ve bu da toplamın %62.5'ini oluşturdu. Resmi X hesabı hala hackerların ana hedefi.

Bu ay yalnızca BSC halka açık zincirinde güvenlik olayı gerçekleşti, Four.Meme projesi 180.000 dolardan fazla kayıp yaşadı, bu da BSC ekosisteminin akıllı sözleşme denetimi, risk kontrol mekanizması ve zincir içi izleme konularında hala sürekli bir optimizasyon alanına sahip olduğunu gösteriyor.

Bu ay birçok blockchain projesi büyük güvenlik kazaları ile karşılaştı ve ciddi mali kayıplara neden oldu. Dikkat çeken olaylar arasında RWA staking platformu Zoth'un peş peşe iki kez saldırıya uğraması yer alıyor; birincisi hacker saldırısı sonucu 8.29 milyon dolar kayıp, ikincisi ise sözleşme açığı nedeniyle 285 bin dolar kayıp. Ayrıca, DEX agregatörü 1inch de sözleşme açığı nedeniyle 5 milyon dolar kaybetti.

Mart'taki Önemli Güvenlik Olayları

Resmi açıklamalara göre, aşağıdaki projeler Mart ayında 13.5 milyon dolardan fazla kayba uğradı. Özel Anahtar sızıntısı ve sözleşme açıkları en büyük iki tehdit.

1inch, 500 milyon dolarlık bir kayıpla karşılaştı. Saldırganlar, 1inch'in eski Fusion v1 sözleşme açığını kullanarak yaklaşık 500 milyon dolarlık USDC ve wETH çaldı. İlgili fonlar, kullanıcı varlıklarından değil, çözücülerden gelmektedir.
Zoth toplamda iki saldırıya maruz kaldı, toplam kayıp 8.575.000 dolar; 6 Mart'ta, teminat hesaplama hatası nedeniyle yaklaşık 285.000 dolarlık bir kayıp oldu; 21 Mart'ta hacker, yönetici yetkileri elde ederek sözleşmeyi kötü niyetli bir versiyona yükseltti ve yaklaşık 8.290.000 dolar değerinde USD0++ çaldı, sonunda 4.223 ETH'ye dönüştürüldü.

1inch

Proje Özeti: 1inch, kullanıcılar için birden fazla merkeziyetsiz borsa arasında en iyi fiyat yollarını bulmak amacıyla akıllı algoritmalar kullanarak ticaret verimliliğini ve fon kullanımını artıran bir merkeziyetsiz ticaret toplayıcısıdır. Resmi web sitesi verilerine göre, 1inch 3,2 milyondan fazla likidite kaynağını entegre etmiş, toplam işlem hacmi 596 milyar doları aşmış, 21,7 milyondan fazla kullanıcıya sahip ve 134 milyonun üzerinde işlem gerçekleştirmiştir.【2】

Olay Özeti: 1inch, 5 Mart'ta eski Fusion v1 sözleşmesindeki bir açık nedeniyle yaklaşık 5 milyon dolar kaybetti. Saldırganlar, bu açığı kullanarak yaklaşık 5 milyon dolarlık USDC ve wETH çaldı; söz konusu fonlar, kullanıcıların emirlerini yerine getiren varlıkları temsil eden analizör (yani kullanıcıları temsil eden varlık) tarafından tutulmaktadır ve son kullanıcı varlıkları değildir. Yapılan araştırmaya göre, bu açık eski bir akıllı sözleşmede bulunmaktadır; saldırganlar, ilgili fonksiyonları çağırarak analizörden fon transferi gerçekleştirmek için dikkatlice yapılandırılmış işlem yolları kullandılar, mevcut sürümde ise bu açık bulunmamaktadır.

Decurity'nin sonrası raporuna göre, 1inch ekibi olaydan sonra hacker ile müzakere yaptı, çalınan fonların çoğu geri iade edildi (şu anda dokuzda dokuzu geri alındı), hacker bir kısmını açık buluş ödülü olarak sakladı. Bu saldırı esasen zamanında güncellenmeyen eski sürüm ayrıştırıcıları etkiledi, normal kullanıcıların varlıkları doğrudan etkilenmedi ve büyük ölçekli kullanıcı fonu çıkışı yaşanmadı. Bu olay, eski sözleşmelerin zamanında temizlenmesi ve güncellenmesi gerekliliğini vurgulamaktadır.【3】【4】【5】

Kaza sonrası düşünceler:

Eski sürüm sözleşme yönetimini ve yetki kontrolünü güçlendirin: Kullanımdan kaldırılmış akıllı sözleşmeler (örneğin Fusion v1) için tamamen kapatma, yetki dondurma veya zorunlu taşıma önlemleri alınmalı, uyumluluk nedeniyle oluşabilecek potansiyel saldırı yüzeylerinden kaçınılmalıdır. Aynı zamanda, erişim kontrol mantığını geliştirin, çağrı kaynaklarının doğrulamasını ve yetki kısıtlamalarını güçlendirin, beklenmeyen çağrı yollarının kullanılmasını önleyin.
Denetim sürecini ve kapsamını geliştirmek: Çekirdek sözleşme ile ilgili çevresel modülleri (örneğin resolver) resmi denetim kapsamına dahil etmek, her bileşenin risk sınırlarını netleştirmek. Kod yapısı yeniden yapılandırıldığında, dil güncellendiğinde veya arayüz değiştiğinde, denetim süreci yeniden başlatılmalı ve eski sürüm risk yönetimi kayıtları saklanmalıdır.
Gerçek zamanlı izleme ve acil yanıt sistemi inşa etmek: Zincir üzerindeki güvenlik izleme sistemini kurarak, anlık olarak anormal işlem davranışlarını yakalamak ve hızlı yanıt mekanizmaları (örneğin, yetki dondurma, acil iletişim, risk kontrol geri dönüş planı) oluşturarak, finansal kayıp zaman penceresini azaltmak.
Pozitif teşvik mekanizmaları oluşturmak, beyaz şapkalı iş birliğini teşvik etmek: Zafiyet ödül sistemi ve gri şapkalı hacker müzakere mekanizması aracılığıyla, potansiyel saldırganları güvenlik açıklarını sorumlu bir şekilde bildirmeye yönlendirmek, projenin genel güvenlik koruma seviyesini artırmaya yardımcı olur.

Zoth

Proje Özeti: Zoth, Ethereum tabanlı bir RWA yeniden teminat platformudur ve varlık tokenizasyonu aracılığıyla geleneksel finans ile DeFi ekosistemini bağlar. Kullanıcılar, uyumlu gerçek dünya varlıklarını teminat göstererek zincir üzerindeki kazançları elde edebilir ve yeniden teminat mekanizmasına katılabilir, böylece sermaye verimliliğini artırabilirler. Resmi web sitesine göre, Zoth'un toplam kilitli değerinin 35,4 milyon dolar olduğu ve kaydedilen varlıkların 250 milyon dolara ulaştığı gösterilmektedir. Bu, zincir üzerindeki ve geleneksel finans arasındaki sağlam köprüyü kurduğunu ve birçok RWA ihraççısı ve likidite protokolü ile işbirliği yaparak yeniden teminat ekosistemini sürekli olarak genişlettiğini göstermektedir. 【6】

Olayın Özeti: Zoth, 2025 yılının Mart ayında iki ciddi güvenlik olayıyla karşılaştı ve toplam kayıplar yaklaşık 857.5 milyon dolar oldu.

6 Mart'ta, Zoth platformu teminat mantığında tasarım hatası bulunması nedeniyle hacker'ların sözleşmedeki teminat değerinin hesaplanmasında yeterince titiz olmayan değerlendirme mekanizmasını kullanarak, gerçek teminat oranını karşılama gerekliliği olmadan fazla fon çekebilmesine olanak sağladı. Saldırganlar ilgili fonksiyonları birden fazla kez çağırarak teminat kontrol mantığını aşıp yaklaşık 285.000 dolar değerinde varlığı başarıyla çekti. Bu olay, sözleşmenin içindeki varlık değerlemesi, teminat oranı belirleme ve sınır koşulu kontrolündeki eksiklikleri ortaya çıkardı.
21 Mart'ta Zoth'ta son derece önceden planlanmış bir saldırı daha gerçekleşti. Birden çok başarısız denemeden sonra, saldırgan dağıtıcının hesabının denetimini başarıyla ele geçirdi ve protokolün temel mantığını yetkisiz işlemler gerçekleştirebilecek kötü amaçlı bir sürümle değiştirmek için kötü amaçlı proxy sözleşmesini yükseltti. Saldırganlar bunu, ayrılmış kasada taahhüt edilen USD0++ varlıklarını çekmek için kullandılar ve toplamda yaklaşık 8,45 milyon USD0++ çaldılar, bu da hızla DAI'ye dönüştürüldü ve yaklaşık 8,29 milyon dolara eşdeğer 4.223 ETH'ye dönüştürüldü.

Olayın ardından, Zoth ekibi derhal acil durum yanıt mekanizmasını devreye soktu, Crystal Blockchain BV adlı blockchain güvenlik kuruluşuyla ortaklaşa soruşturma başlattı ve Asset Issuer iş ortaklarıyla işbirliği yaparak platformun yaklaşık %73'lük TVL'sini korudu. Ayrıca, Zoth ekibi kamuya açık bir açıklama yaptı ve fonların geri alınmasına yardımcı olacak geçerli ipuçları için 500.000 dolarlık bir hata ödül programı kurdu.

31 Mart itibarıyla, saldırganların fonları henüz büyük ölçüde hareket etmemiştir, esasen iki cüzdan adresinde (toplamda 4,223 ETH) yoğunlaşmıştır. Ekip, zincir üstü izleme sistemini kurmuş ve küresel zincir üstü analiz şirketleri, Web2 platformları ve kolluk kuvvetleri ile yakın işbirliği içerisinde çalışarak saldırganın zincir üstü izlerini takip etmek için tüm gücünü seferber etmiştir. Zoth, soruşturmanın tamamlanmasının ardından tam bir inceleme raporu yayımlayacağını ve platform varlıklarının geri kazanım ve yeniden yapılandırma planını da eş zamanlı olarak açıklayacağını taahhüt etmiştir. 【7】【8】【9】

Kaza sonrası düşünme:

Çekirdek yetkilerin ve sözleşme yükseltme yönetiminin güçlendirilmesi: Bu olay, dağıtımcının Özel Anahtarının kırılması ve kötü niyetli bir yükseltmenin gerçekleştirilmesinden kaynaklanmaktadır ve yetki kontrolü ile yükseltme süreçlerinin önemli bir tehlikesini ortaya çıkarmaktadır. Gelecekte çoklu imza mekanizması, yetki katmanları, yükseltme beyaz liste mekanizması uygulanması ve yükseltme güvenliğini sağlamak için zincir üzerinde yönetişim veya güvenlik denetim süreçleri oluşturulması önerilmektedir.
Gerçek zamanlı izleme ve otomatik risk yönetim sistemi kurmak: Fonların hızlıca transfer edilmesi, izleme yanıtının zamanında olmadığı anlamına gelir. Gelecekte, saldırı tespit ve yanıt süre penceresini kısaltmak için zincir üstü işlem izleme, saldırı uyarı sistemi ve varlık dondurma mekanizmasının devreye alınması gerekmektedir.
Varlık yönetimi ve erişim kontrol mantığını optimize etme: Hazine izolasyonun çağrılması, yönetim mekanizmasının çağrı izin kısıtlamasından yoksun olduğunu gösteriyor. Dinamik çağrı kısıtlaması, anormal davranış tespiti ve yol doğrulama mekanizmasının getirilmesi önerilir; bu, kritik varlık sözleşmelerinin çoklu risk kontrol korumasına sahip olmasını sağlar.
Kurumsal Acil Yanıt ve Takımlar Arası İşbirliği Mekanizması: Olay sonrası ekip, güvenlik kurumları ve uygulayıcı birimlerle hızla işbirliği yaparak, ilerlemeyi duyurur ve ödül belirler, durumu etkili bir şekilde stabilize eder. Acil yanıt standart süreçlerinin, izleme, bildirme, dondurma, araştırma ve iletişim olmak üzere beş aşamayı kapsayacak şekilde standartlaştırılması önerilmektedir ve sürekli olarak dışa açık ve şeffaf tutulmalıdır.

Kısa Özet

2025 yılının Mart ayında, birçok DeFi güvenlik açığına maruz kaldı ve toplamda on milyonlarca dolar değerinde varlık kaybı yaşandı. DeFi alanındaki iki tipik güvenlik olayı - 1inch akıllı sözleşme açığı saldırısı ve Zoth yetki yükseltme saldırısı - eski sözleşmelerin kalıntıları, merkezi yetki toplama, güncelleme mekanizması eksiklikleri ve risk kontrol yanıtının yetersizliği gibi sistematik riskleri bir kez daha ortaya koydu. 1inch olaydan sonra saldırganlarla hızlıca müzakere ederek çoğu fonu geri almayı başardı, Zoth da hızlı bir şekilde çapraz takım işbirliği başlatarak %73 varlığı korudu, ancak bu iki olay, mevcut bazı DeFi projelerinin yönetim mekanizmaları, yetki yönetimi, güvenlik denetimi ve gerçek zamanlı izleme gibi alanlarda hala daha fazla optimizasyon yapma ihtiyacı olduğunu göstermektedir.

Bu güvenlik olayları, zincir içi izleme mekanizmalarının, otomatik dondurma süreçlerinin ve gri şapka teşvik sisteminin önemini bir kez daha vurgulamaktadır. Gelecekte DeFi projeleri, kullanıcıların sürekli güvenini kazanmak istiyorlarsa, güvenliği sistem tasarımı aşamasında temel mühendislik unsuru olarak görmelidir, sonradan düzeltme önlemi olarak değil. Gate.io, kullanıcılara güvenlik dinamiklerine dikkat etmelerini ve kişisel varlık korumalarını güçlendirmelerini hatırlatır.

Referanslar:

Gate Araştırma Enstitüsü Gate Araştırma Enstitüsü, okuyuculara teknik analiz, sıcak içgörüler, piyasa incelemeleri, sektör araştırmaları, trend tahminleri ve makroekonomik politika analizleri gibi derinlemesine içerikler sunan kapsamlı bir blockchain ve kripto para araştırma platformudur.

tıklayın 链接 hemen gidin

Feragatname Kripto para piyasası yatırımları yüksek risk içerir, kullanıcılara herhangi bir yatırım kararı vermeden önce bağımsız araştırma yapmaları ve satın alınan varlıkların ve ürünlerin doğasını tam olarak anlamaları önerilir. Gate.io, bu tür yatırım kararlarının neden olduğu herhangi bir kayıp veya hasardan sorumlu değildir.

1INCH-0.17%

View Original

The content is for reference only, not a solicitation or offer. No investment, tax, or legal advice provided. See Disclaimer for more risks disclosure.

4 Likes