GANA Ödemelerindeki Yetkisiz Kontrol ve Fonların Aşırı Dağıtımı: BSC ve Ethereum’da İzlenen Bir İhlal

Blockchain güvenlik araştırmacısı ZachXBT, GANA Payment’in BNB Smart Chain üzerinde yürütülen bir kripto proje olarak büyük bir ihlal yaşadığını bildirdi. Çalınan fonlar 3.1 milyon doların üzerinde kayıtta kaldı ve saldırganın çalınan varlıkları Tornado Cash aracılığıyla BSC ve Ethereum ağlarında temizlediği tespit edildi. Ethereum üzerinde yaklaşık 1 milyon dolarlık bakiye ise hâlâ etkisiz durumda görünüyor. ZachXBT’nin Telegram kanalında paylaştığı bilgilere göre, ihlalci toplam hırsını 0x2e8*5c38 adresinde yoğunlaştırdı ve 1,140 BNB değerinde yaklaşık 1.04 milyon dolarlık varlığı Tornado Cash’a aktardı. GANA Projesi için ise ihlal, bugün sabah saatlerinde 3.1 milyon doların üzerinde kayıp olarak rapor edildi.

Hacker önce BSC üzerinde 1,140 BNB’yi Tornado Cash’e gönderdi, ardından çalıntı fonları Ethereum’a taşıyarak 346 ETH (yaklaşık 1.05 milyon dolar değerinde) daha Tornado’ya depon etti. Şu anda 346 ETH’nin 0x7a503*b3cca adresinde durduğu düşünülüyor. Onchain Lens ile paylaşılan görsel ve bilgiler, saldırganın dalga dalga hareket ederek fonları likit kripto paralara dönüştürdüğünü gösteriyor.

HashDit güvenlik firması, ihlalin kökeninde GANA’nın kullanılan akıllı sözleşmesinin sahipliğinin kötüye kullanılarak değiştirildiğini ve bunun sonucunda zincir üzerindeki ödül dağıtım mekanizmasının sarsıldığını belirledi. Taşınan sahiplik sayesinde saldırgan, kilitli fonksiyonları çağırıp daha fazla GANA token’ı elde etti ve standart akıştan sapan bir transfer gerçekleştirdi. HashDit’in uyarısı, kullanıcıları kısa süreliğine GANA token’ı ile işlem yapmamaları yönünde yönlendirdi ve ekipten resmi açıklama beklenmesini istedi.

Bu güvenlik açığı, BSC’nin güvenlik kaydı üzerinde yeni bir madde olarak kaydedildi. Geçtiğimiz yıllarda BNB Chain ve Hacken ortak analizine göre 2023’te 161 milyon dolardan 2024’te 47 milyon dolara düşen kayıplar, güvenlik protokollerinin güçlendirilmesiyle bir nebze düştü; ancak bağımsız saldırılar hâlâ testler yapmaya devam ediyor. Öncekiler arasında, Venus Protocol’ün kullanıcılarından birinin kötü amaçlı bir işlem onaylamasıyla 13.5 milyon doların kaybolduğu bir phishing olayı ve Four.Meme’deki yaklaşık 183 bin dolarlık güvenlik ihlali gibi örnekler mevcut.

Kurtarma Planı ve Soruşturma Başlatıldı

GANA ekibi, dış kaynaklı bir saldırının etki alanını doğrularken yetkisiz varlık hırsına ilişkin resmi bir açıklama yaptı. GANA Urgent Announcement başlığıyla yayımlanan duyuruda, etkilenen akıllı sözleşmenin güvenlik açığından kaynaklanan bir ihlal olduğu ve teknik ekiple bağımsız bir güvenlik firması ile acil bir soruşturmanın başlatıldığı belirtildi. Proje, kullanıcı varlık adreslerinin ve izinlerinin tamamen haritalanmasını içeren kapsamlı bir yeniden başlatma planını devreye sokacağını ve resmi kanallardan ayrıntılı kurtarma planlarını yakında paylaşacağını taahhüt etti.

Bu olay, kripto sektöründe aylık kayıpların düşüş eğilimini sürdürdüğü bir dönemde meydana geldi. PeckShield verilerine göre Ekim ayında toplamda sadece 18.18 milyon dolar değerinde 15 ayrı olay yaşandı; bu, Eylül ayındaki 127.06 milyon dolarlık kayıplara kıyasla %85.7’lik bir düşüşe işaret ediyor. Ancak güvenlik uzmanları, tehdit aktörlerinin savunmalar güçlendikçe daha sofistike yöntemler geliştirmeye devam ettiğini belirtiyorlar. Bu ihlal, bu ay Balancer Protocol’ün 128 milyon doların üzerinde kayıya yol açan büyük bir hasattan sonra geldi. Balancer vakası, V2 Complement Pool’lar üzerinde yapılan yetkilendirme ve geri arama yaklaşımlarındaki hatalarla kısa sürede varlıkları çalıp Tornado Cash üzerinden yönlendirme stratejilerini içeriyordu.