2026 yılının beşinci ayına girilirken saldırılar devam ediyor. 30 Mayıs'ta Blockaid, bir blok zinciri güvenlik şirketi, Ethereum'un Alephium TokenBridge'ine yönelik yeni bir zafiyet keşfetti.
Araştırmaya göre, sahte VAAs'yi (Doğrulanmış Eylem Onayları) imzalayan dört kritik koruyucu anahtardan üçü, 7 dakika içinde 815.000 dolarlık tutarı boşaltmak için kullanıldı.
Koruyucu anahtarlar nasıl ele geçirildi?
Bağlamda, Alephium TokenBridge, ethereum ile Alephium blok zincirini bağlayan bir köprüdür.
Kullanıcılar Alephium'dan Ethereum [ETH]'e geçtiğinde, gerçek ALPH tek bir zincirde kilitlenir. İlerleyen süreçte, Ethereum, bir sarılmış versiyonun (wALPH) çıkarılmasında kullanılır.
Mint işleminin gerçekleştirilmesinden önce, köprüün üç koruyucusu kilitlenmenin gerçekten yapıldığını onaylar. Ek olarak, çapraz zincir transferlerini doğrulamak için sistem, koruyucu imzalarını kullanır.
Bir transfer mesajının köprü tarafından onaylanabilmesi için dört koruyucudan üçünün imzası gerekmektedir. Ancak Alephium TokenBridge saldırısında, üç koruyucu özel anahtarı bir şekilde saldırganlar tarafından elde edildi.
Bu anahtarları elde ettikten sonra, VAAs olarak bilinen sahte köprü mesajları üretip bunları gerçekmiş gibi gösterdiler.
‘Minting’ dönüşümü
ALPH mintlenmesinin yanı sıra, imzalanmış VAAs, zaten tutuklanan varlıkları serbest bırakmak için köprüye talimat verdi.
Saldırganların köprüyü geçerli çekimler yapıldığına ikna etmesi sonucu Tether [USDT], USD Coin [USDC], Sarılı Bitcoin (WBTC) ve Sarılı Ether (WETH) serbest bırakıldı.
Gerçek bir ALPH yatırımı yapmadan, saldırganlar 13,76 milyon sarılı ALPH oluşturdu. Blockaid'e göre, bu miktar daha önce mevcut olan sarılı arzın %100'ünden fazlaydı.
Diğer bir deyişle, saldırgan temelde ALPH ile desteklenen varlıkları hava gibi üretti.
Geçmişte benzer saldırılar
Bu, saldırganların asla teminatla desteklenmeyen varlıklar oluşturduğu ve köprü mesajlarını sahtelediği Wormhole Köprü Saldırısı'na benzer.
Ayrıca, bu, yaklaşık 11,58 milyon dolarlık bir kayba neden olan Verus-Ethereum köprüsü'ne yapılan son bir saldırıdan sonra gerçekleşti.
Son Özet
- Bu saldırıda, dört kompromize edilmiş koruyucu anahtarın üçü, 7 dakika içinde 815.000 dolarlık bir kayba neden oldu.
- Saldırganlar, gerçek bir ALPH yatırmadan 13,76 milyon sarılı ALPH ürettiler.