Raydium, Solana'nın en büyük dezentralize borsalarından biri, 2021 yılında kapatılan beş eski likidite havuzundan yaklaşık 1,34 milyon dolar çalan eski Otomatik Pazar Yapıcısı V3 programında bir istismarın gerçekleştiğini açıkladı. Saldırı, 2021 yılında fazla çıkarılan havuzları hedef aldı; bu nedenle aktif kullanıcılar veya güncel Raydium arayüzleri etkilenmedi.
Ne alındı ve nasıl
Boşaltılan varlıklar, yaklaşık 150.177 RAY tokeni, 5.603 SOL tokeni ve yaklaşık 893.700 USDC içeriyordu. Etkilenen beş havuz, Serum protokolü 2021 yılında sona erdikten sonra kullanımdan kaldırılmış olan Sollet USDT-RAY, Sollet ETH-RAY, SRM-RAY, USDC-RAY ve RAY-SOL idi.
Kök neden, likidite sağlayıcısı mint doğrulama sürecindeki kendi içinde kalıtılmış bir mantık hatasıydı. Saldırgan, güvenlik kontrollerini atlamak için korsan bir LP mint oluşturdu ve bu da çekimi engellemesi gereken kontrolleri geçti. Havuzlar, Raydium'un ana yazılım geliştirme kiti veya dağıtılmış uygulama ön ucunda daha desteklenmiyordu, ancak akıllı sözleşmeler hâlâ zincir üzerinde aktif kalıyor ve içinde gerçek varlıklar kilitliydi.
Paranın peşinden
Saldırganın cüzdanı, merkezi borsa KuCoin'e kadar izlendi ve bu, saldırganın saldırı için ilk finansmanın oradan kaynaklandığını gösteriyor. Para çekildikten sonra, yaklaşık 810 ETH, gizlilik odaklı ethereum karıştırıcısı Tornado Cash üzerinden aktarıldı.
Raydium’ın yanıtı ve daha büyük resim
Raydium, kaybedilen varlıkları doğrudan hazinesinden telafi edeceğini hızla onayladı. Borsa, tüm ana ağ programları üzerinde kapsamlı bir güvenlik incelemesi gerçekleştireceğini duyurdu.
Raydium’in bu eski havuzlardan ayrılması, Solana’nın DeFi ekosisteminde bir zamanlar merkezi rol oynayan Serum, zincir üstü emir defteri protokolünün kullanım dışı bırakılmasından kaynaklandı. Raydium, daha sonra V4 ve V5 gibi yeni program sürümlerine geçti ve bu sürümler sanal tedarik mekanizmalarını ve daha katı hesap doğrulama protokollerini kullanıyor. Ancak eski sözleşmeler görünürde tamamen kapatılmadı.
Raydium’ın mevcut havuzları, CLMM (Yoğun Likidite Pazar Yapıcısı) ve daha yeni AMM sürümleri etkilenmedi. Hazinenin desteklemesi sayesinde eski havuzlarda kalan bakiyesi olan hiçbir kullanıcı zarara uğramadı.
ABD yetkilileri, Tornado Cash'ı 2022'de cezai yaptırımlar altına aldı ve bu platformun hırsızlık launderingsinde kullanımının devam etmesi, düzenleyicilere DeFi protokollerine daha sıkı denetim uygulamak için güç veriyor.