Pumpplatform açığı olay analizi

Son günlerde, Pump platformunu içeren bir güvenlik olayı geniş bir ilgi uyandırdı. Bu yazıda olay detaylı bir şekilde analiz edilecek ve içindeki dersler tartışılacaktır.

Saldırı Süreci Analizi

Bu olayın saldırganları yüksek düzeydeki hackerlar değil, muhtemelen Pump platformunun eski çalışanlarıdır. Saldırgan, belirli bir DEX'te token ticaret çiftleri oluşturmak için kullanılan ana cüzdan hesabına hakimdir, buna "saldırı hesabı" diyoruz. Aynı zamanda, platformda henüz çevrimiçi standartlarına ulaşmamış token likidite havuzları "hazırlık hesabı" olarak adlandırılmaktadır.

Saldırgan, bir flash loan aracılığıyla fon alarak tüm standartlara uymayan havuzları doldurdu. Normalde, havuz standartları sağlandığında, hazırlık hesabındaki SOL, saldırıya uğrayan hesaba aktarılmalıdır. Ancak, saldırgan bu süreçte aktarılan SOL'u ele geçirdi ve bu da aslında listelenmesi gereken token'ların DEX'te zamanında listelenememesine neden oldu.

Mağdur Analizi

Analize göre, mağdur taraflar arasında kredi işlemlerinin aynı blok içinde geri ödendiği için hızlı kredi sağlayan platform yer almamaktadır. Ayrıca, DEX üzerinde listelenmiş olan tokenler, likiditeleri kilitlendiği için etkilenmemelidir.

Gerçek kayıplara uğrayanlar, saldırı gerçekleşmeden önce, henüz dolmamış havuzlardaki yatırımcılardır. Saldırı sırasında yatırdıkları SOL'ler çalındı. Bu durum, kayıpların neden on milyonlarca dolara kadar çıktığını da açıklıyor (en son veriler, gerçek kaybın yaklaşık 2 milyon dolar olduğunu gösteriyor).

Saldırganların özel anahtarı elde etme olasılıkları

Başlıca neden, şüphesiz, platformun iç yönetiminde ciddi açıkların bulunmasıdır. İkincisi, token havuzunu doldurmanın belki de saldırganın önceden yaptığı iş görevlerinden biri olduğunu varsayabiliriz. Bazı sosyal platformların erken dönemlerinde heyecan yaratmak için otomatik satın alma robotları kullanma uygulamasına benzer şekilde, Pump platformu muhtemelen saldırgana proje fonlarıyla yeni çıkarılan token havuzunu doldurması için görev vermiştir; bu, soğuk başlatma sağlamak ve dikkat çekmek amacıyla yapılmıştır. Bu uygulama nihayetinde bir güvenlik açığı haline geldi.

Deneyim ve Dersler

1. Diğer projelerin platformlarını taklit edenler, yalnızca yüzeysel işlevleri kopyalamakla kalmamalı, aynı zamanda kullanıcıları çekmek için başlangıç motivasyonunu nasıl sağlayacaklarını da düşünmelidir.

2. Platform, dahili yetkileri sıkı bir şekilde yönetmeli ve güvenlik önlemlerini güçlendirmelidir. Özellikle kritik işlemler için, çoklu imza gibi gelişmiş güvenlik mekanizmaları uygulanmalıdır.

3. Proje erken aşamalarında, bazı büyümeyi teşvik eden stratejiler uygulanırken, potansiyel riskler yeterince değerlendirilmelidir ve buna uygun bir çıkış mekanizması oluşturulmalıdır.

4. Yatırımcılar, özellikle henüz tam bir risk kontrol sistemi kurmamış projeler olan yeni platformlara dikkat etmelidir. Katılmadan önce, projenin teknik mimarisi ve güvenlik önlemleri hakkında kapsamlı bir bilgiye sahip olmalıdır.

5. Sektör düzenleyici kurumları, özellikle yetki yönetimi ve fon güvenliği konularında daha sıkı standartlar belirleyerek kripto para projelerinin denetimini güçlendirmelidir.

Bu olay, hızla gelişen kripto para alanında yenilik ve güvenliğin eşit derecede önemli olduğunu bir kez daha hatırlatıyor. Proje sahipleri, büyümeyi hedeflerken her zaman kullanıcı fonlarının güvenliğini öncelikli hale getirmelidir.