Gate Research'ün en son Web3 endüstri güvenlik raporuna göre, Ocak ayında toplam 40 güvenlik olayı meydana geldi ve yaklaşık 87,94 milyon dolarlık kayıpla sonuçlandı. Olaylar doğası gereği çeşitliydi ve hesap ihlalleri birincil tehditti ve toplam kayıpların %52'sini oluşturuyordu. Rapor, Phemex borsasına yapılan bir hacker saldırısı, NoOnes'u etkileyen büyük bir güvenlik açığı ve Moby'yi etkileyen bir özel anahtar sızıntısı dahil olmak üzere önemli güvenlik olaylarını derinlemesine analiz ediyor. Hesap saldırıları ve akıllı sözleşme güvenlik açıkları, ayın en önemli güvenlik riskleri olarak belirlendi ve sektörün gelişmiş güvenlik önlemlerine olan ihtiyacının altını çizdi.
Yürütme Özeti
- Ocak 2025'te, Web3 endüstrisi 40 güvenlik olayı yaşadı ve yaklaşık olarak 87,94 milyon dolarlık zarara yol açtı, bu da önceki aya göre önemli bir artışı işaret etti.
- Bu ayın ana saldırı yöntemleri akıllı sözleşme güvenlik açıkları ve hesap ihlallerini içeriyordu.
- Hesap hack'leri, kripto endüstrisindeki toplam kayıpların %52'sini oluşturarak hala ana tehdit olarak kalmaya devam ediyor.
- En büyük kayıplar, BSC, Ethereum ve Solana gibi önemli halka açık blok zincirlerinde meydana geldi.
- Bu ayki önemli olaylar arasında, Phemex borsasına yapılan hacker saldırısı sonucunda 70 milyon dolarlık bir kayıp, NoOnes'i etkileyen ciddi bir güvenlik açığı sonucunda 7.2 milyon dolarlık bir kayıp ve Moby'de yaşanan özel anahtar sızıntısı sonucunda 2.5 milyon dolarlık bir kayıp yer aldı.
Güvenlik Olaylarının Genel Bir Bakışı
Slowmist verilerine göre, Ocak 2025'te 40 güvenlik olayı kaydedildi ve toplam zararlar 87.94 milyon doları buldu. Saldırılar genellikle akıllı kontrat güvenlik açıkları, hesap ihlalleri ve diğer yöntemleri içeriyordu. Aralık 2024'e kıyasla, toplam zararlar aylık %20 arttı. Hesap ihlalleri saldırıların başlıca nedeni oldu ve raporlanan 21 olay toplamın %52'sini oluşturdu. Resmi X hesapları ve web siteleri hâlâ hackerlar için ana hedefler olarak kalmaya devam ediyor.
Bu ayki güvenlik olaylarının dağılımı, altı etkilenen proje - AST, BUIDL, FortuneWheel, HORS, IPC ve Mosca - BSC (Binance Akıllı Zincir) ekosisteminin bir parçası olan tüm toplam kaybın 600.000 doları aştığını gösterdi. Bu arada, beş etkilenen proje - Moonray, UniLend, SuperVerse, Sorra ve LAURA - Ethereum (ETH) ekosistemine aitti ve toplamda 280.000 doların üzerinde bir zarara uğradı. Holoworld AI ve DAWN, Solana ekosistemi içinde güvenlik olaylarından zarar gören projelerdi. Bu olaylar, kamu zincir ekosistem projelerinde güvenliği artırma ihtiyacını vurgulamaktadır. Sık yapılan saldırılar ve zayıflıklar göz önüne alındığında, BSC'nin genel güvenlik standartlarını artırmak için akıllı sözleşme denetimi, risk kontrol mekanizmaları ve on-chain izleme araçlarına vurgu yapması gerekmektedir.
Bu ay birçok blockchain projesi büyük güvenlik olayları yaşadı ve önemli finansal kayıplara neden oldu. Öne çıkan vakalar arasında Phemex borsası hacklenerek 70 milyon dolar kaybına yol açtı; NoOnes güvenlik açığı 7.2 milyon dolar kayba neden oldu; Moby'nin özel anahtar sızıntısı sonucunda 2.5 milyon dolar kaybedildi.
Ocak Ayında Büyük Güvenlik Olayları
Resmi açıklamalara göre, Ocak ayında 79,7 milyon doları aşan zarara uğrayan aşağıdaki projeler oldu. Bu olaylar, hesap ihlalleri ve akıllı sözleşme güvenlik açıklarının başlıca tehditler olduğunu vurgulamaktadır.
- Phemex hack olayında saldırgan, aynı anda birden fazla zincirden büyük miktarda varlık çıkardı ve dondurulabilir stabilcoin'lerin (örneğin USDC ve USDT) dönüşümünü önceliklendirdi. Daha sonra, diğer jetonlar değer sırasına göre likide edildi. Bu eylemler senaryo dahilinde değildi, ancak manuel olarak gerçekleştirildi ve varlıklar dönüşüm için yeni adreslere manuel olarak gönderildi. Tamamlandığında, fonlar başka yeni bir adrese aktarıldı.
- NoOnes sıcak cüzdanı, her biri 7.000 $'dan az olan yüzlerce şüpheli işlem yaşadı. NoOnes CEO'su Ray Youssef, hack'in 1 Ocak'ta Solana çapraz zincir köprülerindeki bir açıklıktan kaynaklandığını bir Telegram kanalında doğruladı.
- Moby, şüpheli bir özel anahtar sızıntısı yaşadı. Hacker, acilParaCekERC20 işlevini kullanarak 207 ETH, 3.7 BTC ve 1,470,191 USDC çekmek için sözleşmeleri değiştirdi ve yürüttü. Toplam değeri yaklaşık 2.5 milyon dolar olan.
Phemex
Proje Genel Bakışı: Phemex, Singapur merkezli bir kripto türevleri borsasıdır. 2019 yılında eski Morgan Stanley yöneticileri tarafından kurulmuştur. Borsa, düşük ücretleri, yüksek likiditesi ve hızlı büyümesiyle tanınırken, kullanıcı dostu grafikler ve cüzdan arayüzleri sunmaktadır.
Olay Genel Bakış: Phemex, 23 Ocak'ta saldırıya uğradı ve 70 milyon doların üzerinde kripto para kaybetti. Bu saldırı, diğer önde gelen kripto borsalarında görülen zayıflık sömürüsüne benzer bir deseni takip ettiği görünmektedir. MetaMask'ın Baş Güvenlik Araştırmacısı Taylor Monahan, 'Saldırgan, aynı anda birden fazla zincirden büyük miktarda varlık çıkardı ve öncelikle USDC ve USDT gibi dondurulabilir sabit kripto paraların dönüştürülmesine öncelik verdi. Sonrasında, diğer tokenlar değer sırasına göre likide edildi. Bu eylemler betik değildi ancak manuel olarak gerçekleştirildi. Varlıklar, dönüştürme için yeni adreslere manuel olarak gönderildi. Tamamlandığında, bunlar başka yeni bir adrese transfer edildi. Varlıklar, uygun bir kara para aklama ekibi tarafından önümüzdeki haftalarda veya aylarda çekilene kadar saklandı.' şeklinde açıklamalarda bulundu.
Olay Sonrası Öneriler:
- Çapraz Zincir İzleme ve Anomali Deseni Tanıma: Birden çok zincir varlığı akışını destekleyen gerçek zamanlı izleme sistemleri dağıtın, AI tabanlı davranış analizi entegre ederek (örneğin kısa sürede birden çok zincirde büyük varlık transferleri, sık adres değişiklikleri vb.) anormal özellikleri tanımlamak için. Bu düzensizlikleri tespit etmek için dinamik eşik uyarıları kurulmalıdır.
- Endüstri Düzeyinde Risk Uyarı Ağı Kurma: USDT ve USDC gibi büyük stabilcoin ihraççıları ile anlık iletişim kanalları kurun. Böylece saldırı onaylandığında borsaların API arayüzleri aracılığıyla varlık dondurma taleplerini tetiklemesine izin veren önceden yetkilendirme anlaşmaları imzalayın, bu da yanıt sürelerini kısaltır.
- Dağıtılmış Sıcak ve Soğuk Cüzdan Hibrit Yönetimi: Varlıkların %90'ından fazlasını depolamak için çok imzalı soğuk cüzdanları kullanırken ihtiyaç duyulduğunda sıcak cüzdan sınırlarını dinamik olarak ayırın. Anahtar parçalama teknolojisini kullanarak anahtar depolamayı dağıtın ve küresel kayıplara yol açabilecek tek nokta arızalarını önleyin.
NoOnes
Proje Genel Bakış: NoOnes, insanları küresel sohbetlere (sohbet) ve dünya finansal sistemine (ödemeler) bağlayarak onlara güç veren bir finansal iletişim süper uygulamasıdır. Gelişmekte olan ülkelerdeki insanlar artık herhangi birine ücretsiz mesaj gönderebilecek, yerel pazarlarda yaklaşık 250 ödeme yöntemi ile ticaret yapabilecek ve Bitcoin cüzdanlarını kullanarak değer deposu olarak kullanılabilen eşler arası ödemeler yapabilecekler.
Olay Genel Bakış: 1 Ocak 2025 tarihinde NoOnes, Ethereum, Tron, Solana ve BSC'de saldırıya uğradı ve yaklaşık 7.2 milyon dolar kaybedildi. NoOnes sıcak cüzdanı, her biri 7.000 doların altında olan yüzlerce şüpheli işlem yaşadı. NoOnes CEO'su Ray Youssef, hack'in 1 Ocak tarihinde Solana çapraz zincir köprülerindeki bir zafiyet nedeniyle gerçekleştiğini Telegram kanallarında doğruladı. Platform, etkilenen Solana köprüsünü kapatmış ve kapsamlı bir penetrasyon testi tamamlanana kadar Solana desteğini geri getirmeyeceğini belirtti.[3]
Olay Sonrası Öneriler:
- Cross-Chain Köprü Güvenlik Denetimlerini Güçlendirin: Tüm cross-chain köprülerde kapsamlı güvenlik denetimlerinin yapılması önerilir, özellikle akıllı sözleşmelerde ve cross-chain protokollerindeki zayıflıklara odaklanılmalıdır. Köprülerin güvenliğini sağlamak için üçüncü taraf güvenlik şirketlerini işe alarak penetrasyon testleri ve kod incelemeleri yapın.
- Çoklu İmza ve Soğuk Cüzdan Depolama Mekanizmalarını Uygulayın: Sıcak cüzdan saldırılarının riskini azaltmak için çoklu onay gerektiren bir çoklu imza (Multi-Sig) mekanizmasının benimsenmesi büyük transferleri tamamlamadan önce gerekli olacaktır. Ayrıca, çoğu fon soğuk cüzdanlarda depolanır, günlük işlemler için sadece küçük bir kısmı sıcak cüzdanlarda tutulur.
- Gerçek Zamanlı İzleme ve Anormal İşlem Uyarı Sistemleri Tanıtın: Sıcak cüzdan faaliyetlerini izlemek ve analiz etmek için gerçek zamanlı işlem izleme sistemleri kurun. Belirli bir eşiği aşan transferler veya hızlı bir şekilde gerçekleşen çok sayıda küçük işlem gibi anormal işlemler için uyarılar ayarlayın. Bu uyarılar otomatik olarak tetiklenmeli ve işlem işlevi durdurulmalıdır.
Moby
Proje Genel Bakışı: Moby, en dar spreadler, en yüksek likidite ve Robinhood seviyesinde bir kullanıcı arayüzü sunan SLE (Senkronize Likidite Motoru) modeli ile desteklenen bir zincir üstü opsiyon protokolüdür.
Olay Genel Bakış: Zincir üstü opsiyon protokolü Moby'nin şüphelenilen özel anahtar sızıntısı yaşadı, saldırganın sözleşmeleri değiştirmesine ve yürütmesine izin vererek, emergencyWithdrawERC20 işlevini kullanarak toplam değeri yaklaşık 2.5 milyon dolar olan 207 ETH, 3.7 BTC ve 1,470,191 USDC çekmesine izin verdi. Moby, mevcut durumda kullanıcı varlıklarını korumak için, aşağıdaki adreslerle ilgili geçerli onay işlemlerinin iptal edilmesini önerir: PositionManager, SettleManager, sRewardRouterV2 ve mRewardRouterV2. Moby, bu önlemlerin cüzdan güvenliğini sağlamak için alınan tedbirler olduğunu ve stabil ve güvenli bir ortamı geri yüklemek ve sürdürmek için çabaların devam ettiğini belirtti[4].
Olay Sonrası Öneriler:
- Katmanlı Çoklu İmza İzin Yönetimi Kurun: Özel anahtar depolamasını donanım seviyesi soğuk cüzdan + çoklu imza çözümüne yükseltin, geliştirme izinlerini fon kontrolünden ayırın. Çekirdek sözleşmelerin kritik işlevlerine bir zaman kilit ve DAO yönetim çift doğrulaması ekleyin (örneğin
acilÇekmeERC20), önemli operasyonlar için 72 saatlik bir uygulama gecikmesi ayarlamak ve çok imzalı topluluk onayı gerektirmek. - Dinamik Yetkilendirme İzleme Sistemi Oluşturun: Kullanıcı arayüzüne entegre edilmiş zincir üstü yetkilendirme gerçek zamanlı izleme gösterge tablosunu geliştirin, tüm sözleşme etkileşim izinlerini ve risk seviyelerini görüntüler. Anormal büyük transferler veya sözleşme anormallikleri tespit edildiğinde akıllı sözleşme düzeyinde otomatik iptal tetikleyecek otomatik yetkilendirme iptal botunu dağıtın.
- Güvenlik Olayı Devre Kesici Yanıt Sistemi Oluşturma: Makine öğrenimine dayalı bir anomali işlem algılama modülü dağıtın ve aşağıdakiler gibi hassas işlevler için çok boyutlu risk kontrol kuralları (zaman/sıklık/miktar eşikleri) ayarlayın
acil çekim. Acil durdurma anahtarı geliştirin, bu anaomaliler tarafından tetiklendiğinde sözleşmeyi otomatik olarak dondurur ve tam bir düğüm doğrulama sürecini başlatır.
Sonuç
Ocak 2025'te, birkaç DeFi projesi güvenlik açığı saldırılarına maruz kaldı ve milyonlarca dolarlık varlık kaybına neden oldu. Bu olaylar arasında Phemex borsasındaki bir hacker saldırısı, NoOnes'i etkileyen büyük bir güvenlik açığı ve Moby'deki özel anahtar sızıntısı yer almaktadır. Bu olaylar, akıllı sözleşme güvenliği, zincirler arası protokol bileşimi ve likidite havuzu yönetimi ile ilgili kritik riskleri ortaya çıkardı. Endüstri, platform güvenliğini artırmak ve kullanıcı güvenini artırmak için akıllı sözleşme denetimlerini güçlendirmeli, gerçek zamanlı izleme getirmeli ve çok katmanlı savunma mekanizmaları uygulamalıdır. Gate.io, kullanıcıların güvenlik gelişmelerinde güncel kalmalarını, güvenilir platformları seçmelerini ve kişisel varlık korumalarını güçlendirmelerini hatırlatır.
Referans:
- Slowmist,https://hacked.slowmist.io/zh/statistics
- X,https://x.com/wublockchain12/status/1882605904761340362
- X,https://x.com/wublockchain12/status/1883310710132035999
- X,https://x.com/BeosinAlert/status/1877180521710596452
Gate Araştırma
Gate Araştırma, teknik analiz, sıcak içgörüler, piyasa değerlendirmeleri, endüstri araştırmaları, trend tahminleri ve makroekonomik politika analizleri de dahil olmak üzere, okuyuculara kapsamlı bir blockchain ve kripto araştırma platformu sunmaktadır.
TıklaBağlantıdaha fazla öğrenmek
Açıklama
Kripto para piyasasına yatırım yapmak yüksek risk içerir ve kullanıcıların bağımsız araştırma yapmaları ve varlıkların ve ürünlerin doğasını tam olarak anlamaları önerilir.satın almaherhangi bir yatırım kararı vermeden önce.Gate.ioherhangi bir yatırım kararından kaynaklanan kayıplardan veya zararlardan sorumlu değildir.
