Pazartesi günü, kimliği bilinmeyen bir hackerın Uniswap merkeziyetsiz borsasında (DEX) likidite sağlayıcısı olduğuna inanılan bir cüzdandan Ethereum hırsızlığı yaptığı bildirildi.
Hacker, Bir Likidite Sağlayıcısından Yaklaşık 8 Milyon Dolarlık Ethereum Çaldı
Akıllı sözleşmeler güvenlik firması PeckShield, yaptığı açıklamada, likidite sağlayıcısının yanlışlıkla bir phishing taktiğinin kurbanı olduğunu ve bunun da hackerın 7.500’den fazla Ethereum (8 milyon $) çalmasına olanak sağladığını söyledi.
Olaydan önce hacker, phishing yemi olarak sahte bir Uniswap airdrop token kullanarak kurbanı hedef aldı. Kurban, tokeni kabul ettiğinde, yanlışlıkla hacker’a kendi cüzdanının üzerinde tam kontrol sağlayan kötü niyetli bir akıllı sözleşme ile etkileşime girdi.
Saldırı sırasında cüzdan, Uniswap V3 üzerindeki bir WBTC/USDC likidite havuzuna 8 milyon dolar likidite sağlıyordu. Yani aslında hacklenen taraf UniSwap değildi, yalnızca UniSwap platformuna yüklü miktarda likidite sağlayan bir cüzdandı.
Cüzdana yetkisiz erişim sağladıktan sonra hacker kullanıcının likidite pozisyonunu kapattı, varlıklarını takas etti ve dışarı aktardı. Hacker bunu yaparken fonları Ethereum ağındaki bir işlem karıştırıcısı olan Tornado Cash aracılığıyla akladı.
Binance CEO’su CZ, Konuyla İlgili Açıklama Yaptı
Olayı ilk fark eden kripto para borsası Binance CEO’su Changpeng Zhao oldu. CZ Twitter gönderisinde, başlangıçta UniSwap protokolünün kendisinde potansiyel bir güvenlik açığı olduğunu iddia etti, ancak daha sonra durumun böyle olmadığını ve bunun sadece bir kimlik avı saldırısı olduğunu belirten bir güncelleme yaptı.
Uniswap’in kurucusu Hayden Adams da bu görüşe katılarak kimlik avı saldırısının “UniSwap protokolünden tamamen ayrı” olduğunu söyledi.
*Yatırım tavsiyesi değildir.