Poly Network'in Hacker Saldırısı Olayı Analizi

Son günlerde, çoklu zincir etkileşim protokolü Poly Network, bir Hacker saldırısına uğradı ve geniş bir ilgi uyandırdı. Güvenlik ekiplerinin analizine göre, bu saldırı keeper özel anahtarının sızması nedeniyle gerçekleşmedi, aksine saldırgan, ustaca hazırlanmış veriler aracılığıyla EthCrossChainData sözleşmesinin keeper'ını belirli bir adrese değiştirdi.

Saldırı Çekirdek

Saldırının anahtarı EthCrossChainManager sözleşmesinin verifyHeaderAndExecuteTx fonksiyonundadır. Bu fonksiyon, belirli bir çapraz zincir işlemini gerçekleştirmek için _executeCrossChainTx fonksiyonunu kullanabilir. EthCrossChainData sözleşmesinin sahipliği EthCrossChainManager sözleşmesine ait olduğundan, bu sonuncusu öncekinin putCurEpochConPubKeyBytes fonksiyonunu çağırarak sözleşmenin koruyucusunu değiştirebilir.

Saldırı Süreci

1. Saldırgan, verifyHeaderAndExecuteTx fonksiyonunu kullanarak, özenle tasarlanmış verileri geçirir.
2. _executeCrossChainTx fonksiyonu aracılığıyla EthCrossChainData sözleşmesinin putCurEpochConPubKeyBytes fonksiyon çağrısını gerçekleştirin.
3. Keeper rolünün saldırgan tarafından belirtilen adrese başarıyla değiştirildi.
4. Keeper değişikliği tamamlandıktan sonra, saldırgan istediği gibi işlem oluşturabilir ve sözleşmeden istedikleri miktarda fon çekebilir.

Saldırı Etkisi

1. Saldırı tamamlandıktan sonra, keeper değiştirildiği için diğer kullanıcıların normal işlemleri reddedildi.
2. Benzer saldırı modelleri Ethereum ağı üzerinde de uygulanmaktadır.

Olayların İpuçları

1. Sözleşme tasarımında daha sıkı bir yetki kontrol mekanizması gerekmektedir.
2. Anahtar fonksiyonların yürütülmesi birden fazla doğrulama adımına sahip olmalıdır.
3. Güvenlik denetimleri ve zafiyet testleri düzenli olarak yapılmalıdır.
4. Çapraz zincir işlemlerinin güvenliği daha fazla dikkate alınmalı ve iyileştirilmelidir.

Bu olay, özellikle karmaşık çapraz zincir senaryolarında, blok zinciri güvenliğinin önemini bir kez daha vurguladı. Geliştirme ekipleri, giderek karmaşıklaşan saldırı yöntemlerine karşı koymak için güvenlik önlemlerini sürekli olarak geliştirmelidir. Aynı zamanda, kullanıcılar da güvenlik bilincini artırmalı ve çeşitli blok zinciri projelerine katılırken dikkatli olmalıdır.