Çarşamba günü gerçekleşen Stake DAO sızıntısı, protokolün Arbitrum dağıtım anahtarını tehlikeye attı. Bir saldırgan, bu sahte Vote-Boosted sdCRV (vsdCRV) tokenlerini bir genel rotacı üzerinden ethere dönüştürmeden önce yaklaşık 5,4 trilyon adet üretti.
İhlal, mevcut tüm akıllı sözleşme kontrollerini atladı. Bu yıl, ayrıcalıklı haklara sahip tek bir özel anahtar, milyarlarca dolarlık DeFi kayıplarına neden oldu.
Stake DAO istilası nasıl gerçekleşti
Blockaid'ın zincir içi uyarıları, ihlalin bir Stake DAO dağıtıcı cüzdanına kadar izlendiğini gösterdi. Saldırgan, vsdCRV için LayerZero v2 köprü peer'ini sıfırlamak için anahtarı kullandı.
Yaklaşık 25 saniye sonra, sahte bir çapraz zincir mesajı, Arbitrum'da 5,4 trilyon vsdCRV yarattı.
Saldırgan, tokenleri MetaMask’ın genel rotası aracılığıyla döküldü. Herhangi bir akıllı sözleşme hatası bulunamadı.
Özellikle, KelpDAO'da son LayerZero istismarı benzer bir eş-yapılandırma kötüye kullanım yoluyla gerçekleşti.
Anahtar Kompromislerin Aşikâr Bir Deseni
Stake DAO sızıntısı, Nisan'daki Wasabi Protokolü boşaltması'nın aynı şablonunu takip ediyor. Kompromiz edilmiş bir dağıtım cüzdanı, dört zincirdeki kasanlardan yaklaşık 4,5 milyon dolar çekti.
Drift Protocol, aynı ay Solana üzerinde 285 milyon dolar kaybetti. Arbitrum’un KelpDAO dondurulması, birkaç hafta sonra 292 milyon dolarlık köprü sızıntısını takip etti.
Her protokol denetimleri geçti. Hata, köprü eşlerini veya yükseltme uygulamalarını ayarlayan anahtarların üzerinde yer aldı. Resolv’ın bu yılki 80 milyon dolarlık minti aynı kalıba uyuyordu
Sodot ortak kurucularından Shalev Keren, BeInCrypto’ya, 2026’da DeFi’nin cevaplaması gereken sorunun artık protokollerin denetlenip denetlenmediği olmadığını, çünkü neredeyse hepsi denetleniyor; bunun yerine, bu denetlenmiş sözleşmelerin arkasındaki küçük operasyonel anahtar kümesinin hâlâ tek bir dizüstü bilgisayarda tek bir nesne olarak kalıp kalmayacağını söyledi ve denetimlerin artık temel soruyu cevaplamadığını ekledi.
Stake DAO ve eşdeğerleri için, çok imzalı cüzdan korumaları, dağıtıcı anahtarları ile oluşturulmuş madenler arasında yer almalıdır. Aksi takdirde, bir sonraki DeFi platformu ihlali, kötü kod yerine tek bir dizüstü bilgisayara dayanacaktır.