Arbitrum AFX Köprüsü Sızdırıldı: Çapraz Zincirli Saldırıda 24,15 Milyon ABD Doları USDC Çalındı
2026/07/24 14:59:00
AFX köprüsü, 22 Temmuz 2026 tarihinde Arbitrum'da çalışan bir üçüncü taraf köprü sözleşmesi aracılığıyla $24,15 milyon USDC çekmeye izin veren büyük bir çapraz zincir istismarına uğradı. Blockaid’in ilk güvenlik uyarısı ve zincir içi kayıtlar, hileli isteğin köprünün onay eşiğini karşılayacak kadar çok doğrulayıcı imzasını taşıdığını gösteriyor; bu da Arbitrum’un kendisinde bir zafiyet değil, compromised signing credentials olduğunu işaret ediyor. Saldırgan, çalınan varlıkları ardından ethereum’a aktardı ve bunları yaklaşık 12.467,5 ETH’ye dönüştürdü. Offchain Labs ortak kurucusu Steven Goldfeder, Arbitrum’un yerel köprüsünün ihlal edilmediğini doğruladı; AFX ise daha sonra güvenlik firmaları, borsalar, ekosistem ortakları ve ilgili yetkililerle birlikte kullanıcı varlıklarının geri kazanımını maksimize etmek için çalıştığını açıkladı. Raporlar ayrıca AFX’nin saldırgana, çalınan varlıkların %70’inin geri verilmesi ve %30’unun ödül olarak tutulması koşuluyla bir beyaz şapka anlaşması sunduğunu belirtiyor. Bu olay, çapraz zincir uyumlu protokoller ve dağıtık uygulamalar boyunca doğrulayıcı anahtar koruma, bağımsız köprü izleme ve operasyonel güvenlik öneminin arttığını vurgulamaktadır.
AFX Köprüsü Saldırısı, Arbitrum'da 24,15 Milyon ABD Doları Değerinde USDC'yi Çalmıştır
AFX köprüsü sızıntısı, 22 Temmuz 2026 tarihinde tam olarak 24,15 milyon USDC'nin yetkisiz şekilde çekilmelerine neden oldu ve bu olay, ay içinde bildirilen en büyük çapraz zincir köprü saldırılarından biri haline geldi. Zincir üzerindeki kayıtlar, saldırganın 21:26:55 UTC saatinde Arbitrum üzerinde AFX’in üçüncü taraf köprü sözleşmesi aracılığıyla çekim talebini gönderdiğini gösteriyor. Talep, köprünün 10.000 oy biriminden 7.142’sini temsil eden beş sıcak doğrulayıcı imzasını içeriyordu; bu, toplam doğrulayıcı gücünün %71,42’sine denk geliyordu. Protokol, doğrulayıcı ağırlığının iki üçten fazlasından onay gerektirdiği için imzalar, işlemi yetkilendirmek için yeterliydi. Çekim, 21:30:25 UTC’de, oluşturulmasından sadece 210 saniye sonra tamamlandı ve etkili bir veto ya da acil müdahaleyle durdurulmadan önce tüm USDC bakiyesi aktarıldı. Güvenlik araştırmacıları, yetkisiz doğrulayıcı kimlik bilgilerinin kullanıldığını düşünüyor; ancak saldırganın imzaları nasıl elde ettiğinin tam olarak anlaşılması için AFX’in tam bir forensik raporuna ihtiyaç var.
Çalınan miktar, protokole yatırılan tüm sermayeye neredeyse eşitti; DefiLlama, saldırı sırasında AFX toplam kilitli değeri yaklaşık 24,18 milyon dolar olarak raporladı. USDC'nin, DeFi boyunca kullanılan fiat teminatlı stablecoin olarak rolü, bu tokenin AFX'nin ticaret, settlement ve çapraz zincir likidite sisteminde merkezi bir konumda olmasının nedenini açıklamaktadır. Kayıp, AFX'nin raporlanan TVL'sinin yaklaşık %99,9'unu temsil etti; ancak canlı protokol verilerinin saldırı sonrası çekimleri yansıtmak için zaman alması mümkündür. Saldırgan, çalınan fonları ethereum'a taşıdı ve USDC'yi yaklaşık 12.467,5 ETH'ye değiştirdi; bu da stablecoin'lerin dondurulma şansını azaltırken, ortaya çıkan ETH'nin blok zinciri üzerinde izlenebilir kalmasını sağladı. Saldırı, Arbitrum üzerinde dağıtılan bir sözleşme aracılığıyla gerçekleşti, ancak ağın kanonik köprüsü, konsensüs mekanizması ve temel altyapısı ihlal edilmedi. İhlal, AFX tarafından işletilen üçüncü taraf köprüye sınırlı kaldı; bu köprü, kendi doğrulayıcı kurulunu ve çekim-güvenlik sistemini yönetiyordu. Bu olay, temel blok zinciri normal şekilde çalışmaya devam etmesine rağmen, çapraz zincir uygulamalarının ayrı operasyonel riskler yaratabileceğini vurgulamaktadır.
Nasıl Kompromiz Edilmiş Doğrulayıcı Anahtarları, AFX Çapraz Zincir Saldırısını Mümkün Kıldı
Sıcak Doğrulayıcılar, Çalınmış Kimlik Bilgilerini Geçerli Yetkilendirme Haline Getirdi
Sıcak doğrulayıcılar, çapraz zincir mesajlarını hızlıca imzalayabilmek ve çekimleri uzun gecikmeler olmadan işlemek için çevrimiçi altyapıya bağlı kalır. Bu, işlem hızını artırır, ancak aynı zamanda kötü amaçlı yazılımlara, sunucu sızıntılarına, sızan ortam değişkenlerine ve yetkisiz yönetici erişimine maruz kalma riskini de artırır. Bir saldırgan, bir doğrulayıcının özel anahtarını elde ederse, ortaya çıkan imza, köprü sözleşmesi için kriptografik olarak geçerli görünür. Sözleşme, legítim bir operatör ile çalınan kimlik bilgilerini kullanan bir saldırgan arasında otomatik olarak ayırım yapamaz, çünkü ikisi de aynı türde onaylanmış mesaj üretir. AFX çapraz zincir sızıntısında, en yaygın açıklama, Arbitrum’un kriptografisini kırarak yapılan bir saldırı değil, operasyonel anahtar güvenliği başarısızlığıdır. Kimlik bilgilerinin doğrulayıcı sunuculardan çıkarılıp çıkarılmadığı, güvensiz yapılandırma yoluyla açığa çıkarılıp çıkarılmadığı, sosyal mühendislik yoluyla elde edilip edilmediği veya başka bir yöntemle tehlikeye girip girmediği belirlenmek için tam bir olay sonrası inceleme hâlâ gerekmektedir.
Doğrulayıcı Yoğunluğu Kritik Bir Güvenlik Bağımlılığı Oluşturdu
Köprü güvenliği, bir protokol tarafından gösterilen doğrulayıcı sayısından daha fazlasına bağlıdır. Ayrıca, oy gücünün nasıl dağıtıldığına ve doğrulayıcıların gerçekten bağımsız altyapıya, erişim kontrollerine ve anahtar depolama sistemlerine sahip olup olmadığına bağlıdır. Bir ağ, birkaç imzalayıcının aynı bulut hesabı, yazılım sağlayıcısı, yönetici veya dağıtım sürecine karşı hassas kalırken merkeziyetsiz görünmüş olabilir. Birden fazla doğrulayıcı anahtarı, paylaşılan bir güvenlik ortamı altında saklanıyorsa veya yönetiliyorsa, bir operasyonel sistemin kırılması, zararlı çapraz zincir mesajını onaylamak için yeterli imzalara erişim sağlayabilir. AFX olayı, doğrulayıcı bağımsızlığının ve çoğunluk tasarımının toplam doğrulayıcı sayısının kadar önemli olduğunu göstermektedir. Daha güçlü tasarımlar, yetkiyi ayrı organizasyonlar, cihazlar, coğrafi konumlar ve güvenlik politikaları arasında dağıtarak, tek bir altyapı ihlalinin köprü varlıklarını serbest bırakmak için yeterli onayları üretmesini engeller.
Ek Kontroller Hasarı Sınırlayabilirdi
Doğrulayıcı imzalar, bir köprünün güvenlik sisteminin yalnızca bir katmanını oluşturmalıdır. Yüksek değerli çekimler, işlem sınırları, uzatılmış zaman kilitleri, otomatik anormallik tespiti, oran kontrolleri ve acil durum kesicilerle de korunabilir. Yatırılmış likiditenin olağan dışı bir payını içeren bir istek, ek onay gereksinimlerini tetiklemeli veya bağımsız doğrulayıcılar tarafından incelenene kadar sonlandırma işlemini geçici olarak durdurmalıdır. Donanım güvenlik modülleri, imza anahtarlarını sıradan sunuculardan uzak tutabilirken, çok taraflı hesaplama, imza yetkisini bölebilir ve tam bir özel anahtarın tek bir konumda bulunmasını önleyebilir. Köprüler, doğrulayıcı kimlik bilgilerini döndürerek, geliştirme erişimini üretim altyapısından ayırarak ve olağanüstü çekimler için manuel soğuk-doğrulayıcı onayı zorunlu hale getirerek riski daha da azaltabilir. Bu önlemler, her çapraz zincirli saldırıyı ortadan kaldıramaz, ancak zarar görmüş sıcak anahtarların hemen protokol genelinde likidite kaybına neden olmasını önleyebilir. AFX için cevaplanmamış anahtar soru, kimlik bilgilerinin nasıl ihlal edildiği değil, aynı zamanda çevredekilerin izleme ve acil durum kontrollerinin neden yetkisiz isteği engelleyemediğidir.
Arbitrum Yerel Köprüsü Etkilenmedi: AFX Saldırısının Kullanıcılar ve DeFi Güvenliği Üzerindeki Etkisi
AFX köprü sızıntısı, zararlı işlemlerin Arbitrum üzerinde işlendiği ve ağa bağlı bir köprü dahil olduğu için Arbitrum ekosistemi boyunca belirsizliğe yol açtı. Ancak mevcut kanıtlar, Arbitrum’un yerel köprüsünün, konsensüs sisteminin ve temel rollup altyapısının ihlal edilmediğini doğrulamaktadır. Layer 1 ve Layer 2 blok zinciri ölçeklendirme sistemlerinin nasıl farklı olduğunu anlama, Arbitrum’un ağ düzeyi güvenliğini, uygulamaya özel bir köprü tarafından kullanılan bağımsız kontrollerden ayırmaya yardımcı olur. Saldırgan, AFX tarafından işletilen ve kendi doğrulayıcılarını, imzalama kurallarını ve çekim prosedürlerini kullanarak Arbitrum ile AFX egemen Layer 1 arasında USDC transfer eden bir köprüyü hedef aldı. Bu ayrım önemlidir çünkü üçüncü taraf bir köprü, akıllı sözleşmelerini barındıran blok zinciri tarafından sağlanan tüm güvenlik garantilerini otomatik olarak miras almaz. Arbitrum normal şekilde işlemlerini işlemeye devam ederken, AFX’in bağımsız doğrulayıcı ve operasyonel sistemleri yetkisiz bir çekimi önlemeyi başaramadı. Bu nedenle olay, DeFi kullanıcıları için daha geniş bir ders sunar: ağ güvenliği ve uygulama güvenliği ilişkilidir, ancak aynı şey değildir. Bir protokol, iyi kurulmuş bir blok zinciri üzerinde çalışabilirken, özel anahtarlar, ayrıcalıklı hesaplar, dış sunucular, köprü doğrulayıcıları ve acil kontrol mekanizmaları aracılığıyla ek riskler de ortaya çıkarabilir.
Saldırı, uygulama düzeyinde bir güvenlik hatasını ortaya çıkardı
Offchain Labs kurucu ortağı Steven Goldfeder, zararlı işlemin bir üçüncü taraf protokolünden kaynaklandığını ve Arbitrum’un kanonik köprüsünün hacklenmediğini veya istismar edilmediğini açıkladı. AFX, dağıtılmış türev platformu için yatırma ve çekimleri desteklemek üzere tasarlanmış ayrı bir çapraz zincir sistemi işletiyordu. Dolayısıyla, doğrulayıcı kimlik bilgilerini koruma, çekim taleplerini izleme ve acil durum korumalarını etkinleştirme sorumluluğu, Arbitrum’un temel geliştirme organizasyonu yerine AFX’de kaldı. Altta yatan ağ, köprü sözleşmesi kriptografik olarak geçerli görünümlü bir yetki aldığında normal kurallarına göre gönderilen işlemleri işledi. Arbitrum, bu imzaların legítim operatörlerden mi yoksa kompromisyonlu kimlik bilgilerini kullanan bir saldırgan tarafından mı geldiğini belirleyemedi. Blok zinciri açısından, sözleşme programlanmış koşulları karşılayan talimatları yürüttü.
Saldırı, Arbitrum üzerinde dağıtılan bir köprü aracılığıyla gerçekleşti, ancak bu, Arbitrum’un yerel köprü sistemi veya rollup güvenliğini gösteren bir zayıflık değildir. Benzer riskler, dağıtılmış uygulamaların sıklıkla kendi doğrulayıcı gruplarını, çok imzalı cüzdanlarını, fiyat oraklarını ve yönetici izinlerini tanımlaması nedeniyle birçok blok zinciri ekosisteminde mevcuttur. Bu ek bileşenler, kullanıcıların bağımsız olarak değerlendirmesi gereken ayrı güvenlik sınırları oluşturur. Bir blok zinciri, üzerinde inşa edilen bir uygulamanın ciddi bir altyapı hatası yaşamasına rağmen operasyonel ve güvenli kalabilir. Bu nedenle, doğru raporlama, etkilenen köprü operatörünü tanımlamalı, bunun temel ağla olan ilişkisini açıklamalı ve Arbitrum üzerindeki her protokolün veya kullanıcının aynı maruziyette olduğunu öne sürmemelidir.
Kullanıcılar Çapraz Zincir Köprüsü Güven Varsayımlarını İncelemelidir
AFX çapraz zincir açıklığı, kullanıcıların bir köprüyü değerlendirirken markalama, işlem hızı ve duyurulan işlem özelliklerinin ötesine geçmesi gerektiğini göstermektedir. En önemli sorulardan biri, çekimlerin onaylanma yetkisinin kimde olduğunu ve bu yetkinin nasıl dağıtıldığını sormaktır. Bir köprü, kendisini merkeziyetsiz olarak tanımlayabilirken, yatırılan varlıkları serbest bırakmak için yeterli oy gücüne sahip olan bir grup doğrulayıcı kontrolü elinde tutabilir. Kullanıcılar, bu doğrulayıcıların bağımsız organizasyonlar tarafından yönetilip yönetilmediğini, ayrı altyapıları kullandığını ve kimlik bilgilerini donanım güvenlik modülleri veya dağıtılmış imzalama sistemleri aracılığıyla saklayıp saklamadığını incelemelidir. Ayrıca çekme limitlerini, zaman kilitlerini, itiraz dönemlerini, acil durum koruyucularını, gerçek zamanlı rezerv raporlamasını ve bir protokolün şüpheli faaliyetleri durdurma koşullarını da gözden geçirmelidir. Bu özellikler, çalınan bir anahtarın sınırlı bir olaya mı yoksa köprünün likiditesinin çoğu üzerinde etki eden bir kayba mı neden olacağını belirleyebilir.
Etkilenen AFX kullanıcıları, orijinal güvenlik zafiyetinin tanımlandığını ve düzeltildiğini gösteren resmi duyuruları takip etmelidir. Önemli gelişmeler arasında ayrıntılı bir forensik sonrası inceleme, potansiyel olarak maruz kalan doğrulayıcı kimlik bilgilerinin değiştirilmesi, imza eşiğindeki değişiklikler, daha güçlü çekme limitleri ve güncellenmiş altyapının bağımsız bir incelemesi yer alır. Kullanıcılar, varlık kurtarma, yasal yürütme kurumlarının dahil olması, saldırganla müzakereler ve önerilen herhangi bir geri ödeme planı hakkında bilgileri de takip etmelidir. Yatırımların veya çekimlerin yeniden etkinleştirilmesi, platformun güvenli olduğunu kanıtlamaz. İnanılır bir kurtarma süreci, ihlalin nasıl meydana geldiğini, mevcut izleme sistemlerinin neden başarısız olduğunu ve hangi teknik kontrollerin aynı saldırı yolunun tekrarlanmasını önlediğini açıklamalıdır. Bu sorulara cevap verilene kadar, kullanıcılar kalan riskleri doğru bir şekilde değerlendiremeyebilir.
DeFi denetimleri, operasyonel ve temel güvenlik içermelidir
AFX köprüsü, istiladan önce Zellic tarafından güvenlik değerlendirmesinden geçirilmişti, ancak denetimin kapsamı, hangi unsurların doğrulandığını ve hangilerinin doğrulanmadığını anlamak için kritik öneme sahiptir. Yayınlanan AFX köprü denetim raporu, seçili köprü bileşenlerini inceledi ve birkaç ciddiyet seviyesi boyunca 11 bulgu belgeledi; bunların ikisi kritik olarak sınıflandırıldı. Ancak ana kütüphane, proje altyapısı ve ön uç sistemleri, değerlendirmeden açıkça dışarı bırakıldı. Rapor, harici bileşenlerle ilgili sınırlamaları da not etti ve düzeltmelerden sonra daha kapsamlı bir yeniden değerlendirme önerdi. Şu ana kadar, saldırganın denetimde açıklanan akıllı sözleşme zafiyetlerinden birini kullandığına dair doğrulanmış bir kanıt bulunmamaktadır. Bunun yerine, öne çıkan açıklama, denetimin belirtilen kapsamının dışındaki bir operasyonel alana ait olan doğrulayıcı kimlik bilgilerini içeriyor.
Bu, akıllı sözleşme denetiminin önemini ortadan kaldırmaz, ancak bir denetim damgasının bir protokolün tamamen güvenli olduğunu garanti etmek için asla kullanılmaması gerektiğini gösterir. DeFi uygulamaları, görünür sözleşme kodundan daha fazlasına dayanır. Güvenlikleri, bulut hesapları, dağıtım hatları, geliştirici izinleri, doğrulayıcı sunucular, yönetici cüzdanları ve olay yanıtı sistemleri tarafından da etkilenebilir. Hacken’in 2026 Q2 güvenlik araştırması, 67 olay boyunca yaklaşık 763,9 milyon doların çalındığını raporladı ve kayıp değerin %88,3’ü, ele geçirilmiş anahtarlar, imzalayıcılar ve altyapı nedeniyle oluştu. Akıllı sözleşme zafiyetleri sıklıkla ortaya çıktı ancak toplam kayıpların çok daha küçük bir yüzdesini temsil etti, bu da saldırganların giderek büyük varlık havuzlarını kontrol edebilecek operasyonel erişimi hedef aldığını gösteriyor.
Çapraz zincir köprü geliştiricileri, imzalama ortamlarını izole ederek, doğrulayıcıları bağımsız operatörler arasında dağıtarak ve olağan dışı büyük çekimler için ek yetki gerektirerek bu riskleri azaltabilir. Diğer koruma önlemleri arasında otomatik anormallik tespiti, oran sınırları, daha uzun zaman kilitleri, acil durum kesici anahtarlar ve bağımsız güvenlik sağlayıcılar tarafından sürekli izleme yer alır. Soğuk doğrulayıcıların, bir işlem kalıcı hale gelmeden önce şüpheli faaliyetleri durdurmak için yeterli zaman ve yetkiye sahip olması gerekir. Düzenli anahtar döndürme, erişim incelemeleri ve simüle edilmiş olay yanıtı egzersizleri, bir sözleşme odaklı denetimin belirleyemeyeceği zayıflıkları da ortaya çıkarabilir. AFX hilesi, nihayetinde DeFi güvenliğinin akıllı sözleşme mantığından, işlemleri yetkilendirebilecek kişilerden, sunuculardan ve kimlik bilgilerine kadar tüm operasyonel sistemi kapsaması gerektiğini göstermektedir.
Sonuç
AFX köprü sızıntısı, temel blok zinciri güvenli olsa bile, uygulamaya özel çapraz zincir sistemi tarafından kontrol edilen neredeyse tüm likiditeyi tehdit edebileceğini, kompromaya uğramış doğrulayıcı kimlik bilgileriyle göstermektedir. Olay, Arbitrum’un kanonik köprüsünü etkilememiş ancak AFX’nin doğrulayıcı odaklanması, çekme izleme ve operasyonel güvenlik kontrollerinde ciddi zayıflıkları ortaya çıkarmıştır. Çalınan varlıkların geri kazanılması, saldırganın AFX’nin bildirdiği beyaz şapka önerisine tepkisine, devam eden zincir içi izleme ve güvenlik firmalarına, borsalara ve ilgili otoritelere olan iş birliğine bağlı olacaktır. Kullanıcılar ve DeFi geliştiriciler için daha geniş ders, akıllı sözleşme denetimlerinin tek başına bir protokolü kompromaya uğramış anahtarlar veya altyapı arızalarından koruyamayacağıdır. Çapraz zincir köprüleri, bağımsız doğrulayıcılar, korunan imzalama sistemleri, çekme limitleri, etkili itiraz dönemleri ve olağanüstü işlemlerin kalıcı hale gelmeden önce durdurulmasını sağlayabilecek acil kontroller gerektirir.
🔥 KuCoin 9. Yıl Dönümü İşlem Kampanyasına KatılınKuCoin, 9. yıl dönümünü özel bir platform kampanyasıyla kutluyor; bu kampanyada özel ödüller, alım satım etkinlikleri ve sınırlı süreli teklifler yer alıyor. Borsanın dokuz yıllık büyüme ve inovasyon dönemini kutlarken katılmak ve avantajlardan yararlanmak için şimdiden resmi kampanya sayfasını ziyaret edin:
|
Sıkça Sorulan Sorular
AFX nedir ve köprüsü protokolü nasıl destekler?
AFX, dağıtık türevler ve süresiz alım satım için tasarlanmış bir egemen Layer 1'dir. Köprüsü, kullanıcıların USDC gibi varlıkları Arbitrum ile AFX işlem ortamı arasında transfer etmesine olanak tanır ve kendi doğrulayıcıları ve çekim prosedürleriyle ayrı bir güvenlik sistemi oluşturur.
Tüm Arbitrum kullanıcıları AFX sızıntısına maruz kaldı mı?
Hayır. Olay, AFX tarafından işletilen altyapı aracılığıyla yatırılan varlıkları öncelikli olarak etkiledi. Arbitrum üzerinde AFX protokolüne veya köprüsüne etkileşimde bulunmayan kullanıcılar, aynı güvenlik hatasına otomatik olarak maruz kalmadı.
Kullanıcılar, AFX köprüsüyle etkileşimde bulunup bulunmadığını nasıl kontrol edebilir?
Kullanıcılar, cüzdan adreslerini Arbiscan üzerinde arayarak önceki sözleşme etkileşimlerini, token transferlerini ve USDC onaylarını inceleyebilir. Yanlış sitelerin yaygın olarak bildirilen bir istismardan sonra protokolü taklit edebileceğinden, sözleşme adreslerini doğrulanmış AFX belgeleriyle karşılaştırmalıdır.
Kullanıcılar AFX ile bağlantılı token onaylarını iptal etmeli mi?
Kullanılmayan onayların iptali, özellikle bir kullanıcının önce protokole büyük veya sınırsız bir USDC izni vermişse, gelecekteki yetkisiz token transferleri riskini azaltabilir. İptal, zaten çekilen varlıkları geri alamaz, ancak cüzdanında kalan tokenlere erişim iznini kaldırabilir.
Bir Arbitrum işlemi, bir köprü istismarından sonra geri alınabilir mi?
Onaylanan blok zinciri işlemlerinin çoğu geri alınamaz. Arbitrum, özel bir uygulama olayı için uygun olmayan olağanüstü ağ düzeyi müdahaleler olmadan tamamlanmış bir çekimi basitçe iptal edemez. Kurtarma genellikle varlıkları izleyerek, saldırganı belirleyerek veya varlıklar işbirliği yapan hizmetlere ulaştığında fonları dondurarak gerçekleşir.
Sorumluluk Reddi: Bu makale yalnızca bilgilendirme amaçlıdır ve finansal, yasal veya yatırım tavsiyesi oluşturmaz. Tokenleştirilmiş varlıklar, piyasa, düzenleyici, kroşö ve akıllı sözleşme risklerini içerir. Her zaman kendi araştırmanızı yapın.
Sorumluluk Reddi: Bu sayfa, kolaylığınız için AI teknolojisi kullanılarak çevrilmiştir. En doğru bilgi için orijinal İngilizce versiyona bakınız.