Map Protocol Token MAPO, köprü açıklığı nedeniyle 1 kvadrilyon token üretildikten sonra %96 düştü

Başlık: MAPO, köprü zafiyetinden sonra %96 düşüş yaşar — 1 kuadrilyon token üretildi; Map Protocol ana ağı durdurup göçü hazırlıyor Map Protocol’un yerel tokeni MAPO, saldırganların Butter Network çapraz zincir köprüsündeki bir hata üzerinden yetkisiz olarak büyük miktarda token üretmesiyle yaklaşık %96 düşüş yaşadı. Blok zinciri güvenlik firması Blockaid’e göre, saldırgan, meşru arzın yaklaşık 208 milyon olduğu yerde yaklaşık 1 kuadrilyon MAPO üretti — bu da meşru arzın yaklaşık 4,8 milyon katıydı — ardından yaklaşık 1 milyar MAPO’yu Uniswap likidite havuzlarına sattı ve piyasa üzerinde büyük bir darbe yarattı. Temel bilgiler - Üretilen miktar: ~1 kuadrilyon MAPO (~208 milyon meşru arzın yaklaşık 4,8 milyon katı) - Piyasaya salınan miktar: ~1 milyar MAPO, Uniswap havuzlarına - Elde edilen kazanç: Satışlardan ~52 ETH (~180.000 dolar) - Kalan saldırgan bakiyesi: Yaklaşık bir trilyon MAPO; bu da diğer havuzlara ve borsa listelemelerine hâlâ tehdit oluşturabilir - Fiyat etkisi: CoinGecko’ya göre MAPO, saatler içinde ~0,003 dolarlıktan neredeyse 0,0001 dolarlığa düştü (~%96 düşüş) - Zafiyet kaynağı: Butter Bridge V3.1 OmniServiceProxy katmanındaki Solidity sözleşmesindeki bir hata; özel anahtarlar çalınmadı ya da hafif istemci doğrulama bozulmadı Zafiyet nasıl çalışmış? (Kısa teknik özet) Blockaid’in incelemesi, saldırganın önce meşru bir oracle çoklu imzalı mesaj gönderdiğini, ardından belirli bir adrese zararlı bir sözleşme dağıttığını gösteriyor. Daha sonra, içeriği ince bir şekilde değiştirilmiş bir “yeniden dene” çapraz zincir mesajını yeniden gönderdi. Köprü, çoklu dinamik bayt alanlarında keccak256(abi.encodePacked(...)) kullanarak yeniden denemeleri doğruladığından, birleştirme işlemi belirsiz sınırlar üretti (abi.encodePacked uzunluk öneklerini hariç tutar); bu da bir çakışmaya yol açtı ve manipüle edilen yeniden deneme geçerli gibi göründü. Köprü mesajı kabul etti ve yetkisiz bir token üretimi gerçekleştirdi. Blockaid, bu olayın zararlı anahtarlar ya da kriptografik kontrollerin bozulması değil, klasik bir Solidity kodlama zafiyeti olduğunu vurguluyor. Map Protocol’un tepkisi Map Protocol, hatanın Solidity sözleşmesi uygulamasında olduğunu doğruladı ve hafif istemci ile oracle çoklu imzasının ihlal edilmediğini açıkladı. Takım şu adımları attı: - Ana ağı durdurdu ve bir göç sürecini başlattı - Yeni sözleşme adresi ve varlık anlık görüntüsü zaman çizelgesinin ayrı ayrı duyurulacağını açıkladı - Saldırganla ilişkili cüzdanlarda tutulan tokenların, gelecekteki dönüşüm etkinliklerinden hariç tutulacağını ve göç sırasında geçersiz kılınacağını belirtti Daha geniş bağlam: Köprü riskleri hâlâ yüksek Bu yıl çapraz zincir köprüleri tekrarlayan bir hedef haline geldi. Blockaid ve diğer güvenlik firmaları, bu olayı son zamanlarda ve geçmişte gerçekleşen benzer başarısızlıklara karşılaştırdı — burada sahte ya da yanlış doğrulanmış mesajlar yetkisiz token üretimi veya transferlerine izin verdi; bunlar arasında Verus köprü zafiyeti (11,5 milyon doların üzerinde) ve 2022’deki Nomad ile Wormhole olayları yer alıyor. Diğer son çapraz zincir saldırıları arasında Mayıs’ta TON-TAC’in 2,68 milyon dolarlık zafiyeti (proje varlıklarının neredeyse %80’ini geri kazandı) ve THORChain, Transit Finance, TrustedVolumes, Echo Protocol, Ekubo ve RetoSwap gibi projelerin bildirdiği güvenlik olayları yer alıyor. Map Protocol ne yapar? Map Protocol, bitcoin’i ethereum, BNB Chain, Tron ve Solana gibi ekosistemlerle köprüleyerek bitcoin, stablecoin ve tokenize edilmiş varlıkların çapraz zincir transferlerini kolaylaştırmayı amaçlayan bir omnichain ağıdır. Bu olay, mesaj kodlama, yeniden deneme mantığı ve doğrulama detaylarının büyük ve hızlı bozulmalara yol açabileceğini göstererek, uyumluluk altyapısında yer alan sistemik riskleri vurgulamaktadır. Sonraki izlenecek noktalar - Map Protocol’un göç zaman çizelgesi ve yeni sözleşme adresi duyurusu - Borsaların ve likidite sağlayıcıların saldırgan tarafından kontrol edilen MAPO tutarlarını listeden kaldırmayı ya da siyah listeye almayı planlayıp planlamadığı - Blockaid ya da bağımsız denetçilerden gelen ek forensic detaylar; zafiyet kapsamının ve düzeltme adımlarının onaylanması Bu olay, çapraz zincir mesaj doğrulamasının ve güvenli Solidity kodlama uygulamalarının köprü güvenliği açısından hâlâ kritik olduğunu bir kez daha hatırlatmaktadır.