Ethereum L2 Abstract Chain, kullanıcılar eksik fonları işaretledikten sonra cüzdan boşaltma sorununu araştırıyor

Birkaç Abstract Chain kullanıcısı fonlarının çekildiğini bildirirken, geliştiriciler sorunun ağdaki belirli bir uygulamadan kaynaklandığını iddia ediyor.

18 Şubat'ta, Abstract Global Wallets kullanıcılarının bir kısmı beklenmedik para çekimleri bildirdi ve bu durum olası bir güvenlik ihlali konusunda endişelere yol açtı.

İstismar edilen cüzdanlardaki tüm bakiyeler silindi ve kullanıcılar cevap aramak zorunda kaldı.

Ne oldu?

Başlangıçta bunun ağın akıllı sözleşmelerinin harici bir açığı olduğu düşünüldü ancak endişeler kısa sürede belirli bir uygulamaya yöneldi.

İlk raporların ortaya çıkmasından birkaç saat sonra, Abstract Chain geliştiricisi 0xBeans, kullanıcılarına sorunun ağ genelinde bir Abstract Global Wallet güvenlik açığı olmadığını, bunun yerine Abstract ekosistemi üzerine kurulu bir tokenleştirilmiş kart oyunu olan Cardex ile bağlantılı olduğunu garanti etti.

X'te "Bazı Abstract kullanıcılarının tehlikeye atıldığının farkındayız" şeklinde bir paylaşım yapan ekip, ekibin soruşturması sürerken kullanıcıları Cardex ile etkileşime girmekten kaçınmaları konusunda uyardı.

0xBeans, daha sonraki bir gönderisinde asıl nedenin Cardex'in özel anahtarını yanlış yönetmesi olduğunu ve bunun da kullanıcıları tehlikeye atmış olabileceğini açıkladı.

"Bu uygulama ile etkileşime girdiyseniz, oturumlarınızı iptal edin" uyarısında bulunarak kullanıcıları, kripto cüzdanlarındaki token onaylarını yönetmelerine ve iptal etmelerine olanak tanıyan bir araç olan web3 güvenlik aracı Revoke Cash'i kullanmaya çağırdılar.

Kayıpların toplam boyutu henüz belirlenememiş olsa da 0xBeans, önümüzdeki güncellemede olayla ilgili "daha geniş bir otopsi" yayınlayacağına söz verdi.

Ancak Dune Analytics verilerine atıfta bulunan bir topluluk üyesi, 180 ETH'nin üzerinde bir kaybın tahmin edildiğini, bunun da mevcut fiyatlara göre 482.000 doların biraz üzerinde bir miktara denk geldiğini belirtti.

Zincir üstü güvenlik firması Quill Audits, saldırıyı analiz ederek, saldırganın, paraları aklamaya başlamadan önce, tehlikeye atılmış cüzdanlardan para çekmelerine olanak tanıyan kötü amaçlı bir sözleşme uyguladığını açıkladı.

Çalınan varlıklar, saldırganın sözleşmesine aktarılmadan önce ilk olarak bir önyükleyici adresinden geçiyordu.

Oradan fonlar, izleri gizlemek ve fonların izini sürmeyi daha karmaşık hale getirmek için kullanılan yaygın bir taktik olan birden fazla cüzdana dağıtıldı.

Quill Audits raporunun hazırlandığı sırada tespit edilen cüzdanlar arasında, saldırganın en az üç cüzdanında yaklaşık 30.000 dolar değerinde çalıntı ETH bulunuyordu.

Bu arada, sözde kötü niyetli dApp'in kullanıcıları X'i hayal kırıklığı ve suçlamalarla doldurdular, Cardex'i bir dolandırıcılık olarak adlandırdılar ve yanıtlar talep ettiler.

Basın saatine kadar, Cardex ekibi iddialarla ilgili henüz bir açıklama yapmadı. Gelişme, dApp'nin 12 Şubat'ta yayına girmesinden sadece birkaç gün sonra geldi.

Soyut zincir nedir?

Geçtiğimiz ay başlatılan Abstract Chain, Pudgy Penguins adlı popüler NFT koleksiyonundan sorumlu şirket olan Igloo Inc. tarafından geliştirilen bir Ethereum Layer-2 ağıdır.

Çeşitli ölçeklenebilir ve uygun maliyetli zincir üstü çözümler sunmak için zkSync'in ZK Stack'inden yararlanır.

Cüzdan boşaltma sorunu, Abstract'in 1 milyondan fazla AGW cüzdanı dağıtarak önemli bir dönüm noktasına ulaşmasından sadece bir gün sonra ortaya çıktı.

AGW, kullanıcıların e-posta veya sosyal medya hesapları gibi bilindik oturum açma bilgilerini kullanarak akıllı sözleşme cüzdanları oluşturmasına olanak tanır ve böylece kripto parayla ilgisi olmayan yerel kullanıcıların zincir üstü bir cüzdan kurmasını kolaylaştırır.