Bir CryptoPunk'un bir akıllı sözleşme hatası nedeniyle kaybedilmesi, NFT sahiplerini gece uykusuz bırakan türden bir şeydir. Ancak bunu geri almak neredeyse asla olmayan bir şeydir.
Yuga Labs, 8 Haziran'da bir muhasebe hatası nedeniyle platformun likidite havuzlarının istismar edilmesi sonrasında Flooring Protocol'ten 500.000 doların üzerinde değerinde 68 NFT'yi kurtarmak için beyaz şapkalı bir operasyon gerçekleştirdi. Kurtarılan varlıklar arasında iki CryptoPunk, 29 Bored Ape ve dört Mutant Ape yer alıyor.
Aslında ne yanlış gitti
The Flooring Protocol, bir NFT hisselendirme platformu, muhasebe ve sahiplik doğrulama mantığında bir hata barındırıyordu. Bir saldırgan, bu hatanın fpToken bakiyelerini neredeyse sonsuz şekilde üretmesine izin verdiğini keşfetti; fpToken, NFT'lerin hisseli sahipliğini temsil eden protokolün dahili tokenidir.
Saldırı, WETH'nin dust miktarlarının havuzları boşaltmasını sağladı; bu, protokolün en değerli varlıklarını nihayetinde tüketecek kadar yavaş bir kanamaydı. Flooring Protocol'un mimarı olan 0xFreeLunch, bu zafiyet için sorumluluğu kabul etti.
Yuga Labs, hasarın daha da yayılmasından önce müdahale etti. Şirket, kötü niyetli aktörlerin bunları talep etmesinden önce mavi çip NFT'leri güvenli bir şekilde çekmek için aynı hatayı kullanan, saldırganın kendi mekaniklerini etkili bir şekilde yansıtan bir savunma sözleşmesi dağıttı.
Kurtarma operasyonu, adım adım
Yuga'nın savunma sözleşmesi, saldırganın yöntemini kopyalayarak bozuk muhasebe mantığı aracılığıyla fpToken'lar çıkarttı ve bunları maruz kalan havuzlardan yüksek değerli NFT'leri çekmek için kullandı. Operasyon, birden fazla koleksiyon boyunca toplam 68 NFT çekti.
En değerli kısmını iki CryptoPunk, 29 adet Bored Ape Yacht Club NFT ve dört Mutant Ape Yacht Club NFT oluşturdu. Kalan varlıklar, Flooring Protocol’un kesirleştirme havuzlarına yatırılan diğer koleksiyonlara yayılmıştı.
Tüm geri kazanılan NFT'ler şu anda Yuga Labs'ın korumasındadır. Şirket, protokolün zafiyeti düzeltildiğinde bu NFT'leri hak sahiplerine iade edeceğini açıkladı.
Neden bu, bir protokolün ötesinde önemli
Flooring Protokolü'nün istismarı, NFT odaklı DeFi altyapısının olgunluğu hakkında sorular uyandırıyor. Hesaplamaya ilişkin hatalar, özellikle protokollerin token sahipliğini ve basım yetkisini nasıl izlediğiyle ilgili hatalar, akıllı sözleşme zafiyetlerinin en temel kategorilerinden biridir. Bu tür sorunlar, dağıtım öncesi kapsamlı denetimler tarafından tespit edilmek üzere tasarlanmıştır.
Yuga Labs için yanıt dikkat çekici ölçüde hızlı ve kararlıydı. Şirket, 2022'de CryptoPunks IP'sini Larva Labs'den satın alarak CryptoPunks ve Bored Ape sahiplerini koruma konusunda doğrudan finansal ve itibari bir çıkarına sahiptir.