Cross-chain köprü protokolü Allbridge, bir saldırganın Solana likidite havuzlarından yaklaşık 1.65 milyon dolar çalmasının ardından protokolünü durdurdu. Blockchain güvenlik firmaları ve projenin kendisi tarafından doğrulanan bilgiye göre, saldırı bir flash loan yöntemiyle gerçekleştirildi.
Allbridge, kullanıcıların doğal olarak iletişim kuramayan blokzincirler arasında varlık taşımasına olanak tanıyor. Core ürünü ise sarmalanmış token basmak yerine USDC ve USDT gibi native stablecoin havuzları kullanıyor. Pazar günü ekip, 'protokolü önlem amaçlı durdurduklarını' ve soruşturmanın sürdüğünü açıklayarak likidite sağlayıcılarına etkilenen havuzlardan fonlarını çekmeleri çağrısında bulundu.
Allbridge, takip eden bir tweet'inde ekibin 'detaylı bir döküm ve olay sonrası raporu hazırladığını' belirtti. Ayrıca 'kullanıcı likiditesi için şu an bir tehdit olmadığını' ve Core'u likidite havuzları olmadan yeniden başlatmak için çalıştıklarını ekledi.
Nasıl Oldu?
Allbridge, güvenlik firması PeckShield'ın kaybı yaklaşık 1.65 milyon dolar olarak açıklayan tweet'ini doğruladı. PeckShield, saldırganın fonları Solana'dan Ethereum'a köprülediğini belirtmişti.
Bir diğer firma CertiK ise yöntemi detaylandırdı. Buna göre saldırgan, Solana tabanlı kredi protokolü Kamino'dan 1.12 milyon dolarlık flash loan aldı. Ardından hızlı bir dizi stablecoin takası gerçekleştirerek Allbridge havuzlarındaki varlıkların fiyatlandırılmasında kullanılan iç muhasebeyi bozdu.
Havuzlar yanlış fiyatlandırılınca saldırgan, birkaç bin dolarlık USDT'yi yaklaşık 2.24 milyon dolar USDC ile takas etti. Ardından elde ettiği kazancı bir Ethereum adresine köprüleyip diğer adreslere dağıttı. Ne kadarının ulaşılabilir durumda olduğu henüz bilinmiyor.
Bu manipülasyon, Allbridge havuzlarını dengesiz hale getirdi ve kısa süreliğine diğer yatırımcıların yanlış fiyatlanmış varlıkları satın almasına olanak tanıdı. Ekip bunu 'geçici pozitif arbitraj penceresi' olarak nitelendirdi. DeFi platformu, bu pencereden kâr eden herkesten parayı belirlenen bir adrese göndermelerini istedi ve bu fonların 'doğrudan etkilenen likidite sağlayıcılarına tazminat olarak gideceğini' belirtti. Ekip, 'hedeflerinin tüm etkilenen fonları geri getirmek' olduğunu ekledi.
İlk Değil
Allbridge'in bu şekilde yakalanması ikinci kez oluyor. Nisan 2023'te benzer bir flash loan saldırısı, BNB Chain havuzlarından yaklaşık 573.000 dolar çalmıştı. Proje daha sonra fonların çoğunu kurtardığını ve likidite ile para çekme hesaplamalarını yeniden düzenlediğini açıklamıştı. Allbridge, 2022 yılında köprüyü genişletmek ve güvenlik denetimlerini finanse etmek için 2 milyon dolar toplamıştı.
Köprüler ve onları besleyen likidite havuzları, uzun süredir DeFi'nin en çok hedef alınan altyapıları arasında yer alıyor. 2026'nın sadece ilk beş ayında DeFi saldırılarında 840 milyon dolardan fazla kayıp yaşandı ve cross-chain sistemler tek başına en büyük kayıpların bir kısmını oluşturdu. Geçen ay, Axelar ve Secret Network arasındaki bir köprü, saldırganların özel bir token sözleşmesindeki 'sınırsız basım' açığını kullanmasıyla 4.67 milyon dolar kaybetmişti.
Allbridge'in protokolü şu an durdurulmuş durumda. 1.65 milyon doların ne kadarının geri alınabileceği, köprülenen fonların izini sürmeye ve arbitraj yatırımcılarının çağrıya uyup parayı geri göndermesine bağlı.
