$145K Kayıplar, Hacker'ların Merkl'ü Kayıtlı Olmayan DeFi Dolandırıcılıkları için Kullanmasıyla

Hackerlar, merkeziyetsiz finans (DeFi) kullanıcılarını sömürmenin yeni bir yolunu buldular. Bu sefer, kullanıcıların yatırımlarını boşaltmak için sahte, doğrulanmamış kampanyalar yaratmak amacıyla Merkl adlı tek duraklı DeFi teşvik platformunu kullandılar. Dolandırıcılık, kullanıcıları Euler protokolü aracılığıyla Sonic üzerinde hedef aldı. Zaten 145,000 dolardan fazla kayba neden oldu.

Hackerlar Sahte Yüksek Getirili Kampanyalar Oluşturuyor

DeFi kullanıcısı YAM'a göre, kötü niyetli bir kişi Merkl'ün açık yapısını kullanarak sahte kampanyalar oluşturdu. Bu kampanyalar, üç haneli APR getirileri sunuyormuş gibi görünüyordu. Dolandırıcılık, kullanıcıları Sonic'teki meşru bir Euler kasasına USDC yatırmaya davet etti. Ancak, kullanıcılar fonlarını yatırdıktan sonra, saldırgan bunları tamamen boşalttı.

Euler Finance, izin gerektirmeyen bir protokol olduğu için, herkes onay olmadan piyasa oluşturabilir. Saldırgan bu özelliği sahte bir piyasa başlatmak için kullandı. Teminat olarak scUSD adlı bir token ve borç olarak USDC kullandılar. Ardından, DeFi'de kullanılan önemli bir veri akışı olan oracle fiyatını manipüle ederek, her token için absürt bir şekilde $1 milyon olarak belirlediler. Bu, onlara tek bir scUSD karşılığında 700,000 USDC ödünç alma imkanı sağladı. Bu, onlara kasa fonlarının tamamen kontrolünü veriyor.

Dolandırıcılığın Nasıl Çalıştığı

Sahte piyasa faaliyete geçtiğinde, saldırgan Merkl üzerinde doğrulanmamış bir kampanya başlattı. Yatırımları çekmek için son derece yüksek getiriler sunuyor. Kampanyaya USDC yatıran kullanıcıların fonları borç alındı, ETH'ye dönüştürüldü. Ardından, işlemleri gizlemek için sıklıkla kullanılan bir gizlilik protokolü olan RAILGUN Projesi'ne aktarıldı.

Zincir üstü veriler, ana operatörün cüzdan adresinin 0x8ba913e… olduğunu gösteriyor; fonlar sonunda 0xa86399… adresine gönderildi ve RAILGUN'a kayboldu. İlginç bir şekilde, 0xc0f8fe… olarak tanımlanan bir kullanıcı, saldırgan cüzdanı boşaltmadan önce yatırımlarını çekmeyi başardı. Muhtemelen, Hacker, kasayı aktif olarak izlemiyordu.

DeFi Topluluğundan Tepkiler

Keşfin ardından, YAM kullanıcıları doğrulanmamış Merkl kampanyaları ile etkileşimde bulunurken dikkatli olmaya çağırdı. Ayrıca, Merkl ekibinden bu tür kampanyalara yatırma işlemlerini daha zor hale getirmek için daha güçlü açılır uyarılar eklemelerini istedi.

Euler Labs'ın kurucu ortağı ve CEO'su Michael Bentley, vault'un açıkça doğrulanmamış olarak işaretlendiğini ve bir güvenlik riski olarak etiketlendiğini doğrulayarak yanıt verdi. Euler web sitesinin, kullanıcıların riski kabul ettiğini belirten bir seçeneği manuel olarak açmadan doğrulanmamış vault'lara erişime izin vermediğini belirtti. “Şu anda bu belirli vault'a olan tüm bağlantıları kalıcı olarak engelliyoruz, böylece daha fazla kullanımını önleyelim,” diye ekledi Bentley.

Topluluk üyeleri, DeFi kullanıcılarının bir piyasanın oracle'ının meşru olup olmadığını nasıl doğrulayabilecekleri konusunda da sorular sordu. YAM, oracle'ların DeFi uygulamalarına gerçek dünya fiyat verileri sağladığını açıkladı. Genellikle piyasanın küratörleri tarafından kontrol edilirler ve dikkatlice yapılandırılmaları gerekir. Yanlış bir ondalık veya güvensiz bir çoklu imza gibi küçük bir hata, bu tür büyük istismarların kapılarını açabilir.

Daha Güçlü Önlemler İçin Çağrılar

Olay, DeFi'deki tekrarlayan bir sorunu vurgulamaktadır. İzin gerektirmeyen yenilik ile kullanıcı güvenliği arasındaki denge. Merkl ve Euler gibi platformlar, herkesin serbestçe piyasalara katılmasına veya oluşturmasına izin veriyor. Ancak bu açıklık, saldırganlara da hareket etme alanı tanıyor. Projeler, doğrulanmamış kampanyaları açıkça işaretlese de, artan dolandırıcılık sayısı uyarıların tek başına yeterli olmayabileceğini gösteriyor.

Kullanıcılar artık yatırımları korumak için zorunlu doğrulama kontrolleri veya ekstra onaylar gibi daha fazla sürtünme talep ediyor. Şu anda uzmanlar, kullanıcıların yalnızca doğrulanmış kampanyalarla etkileşimde bulunmalarını ve fon yatırmadan önce sözleşme detaylarını iki kez kontrol etmelerini tavsiye ediyor. $145,000'lık istismar, DeFi'nin açık dünyasında bile dikkatli olmanın en iyi savunma olduğunu hatırlatıyor.