Gate Araştırması: Mart 2025 için Güvenlik Olayı Özeti

Güvenlik

Araştırma

2025-04-07 05:16:28

Reading Time: 1m

Last Updated 2026-04-09 09:13:56

Gate Araştırması: Mart 2025'te, Web3 endüstrisi sekiz güvenlik olayı yaşadı ve toplamda 14.43 milyon dolarlık bir kayba neden oldu - önceki aya göre önemli bir düşüş yaşandı. Saldırıların çoğunluğu akıllı sözleşme güvenlik açıkları ve hesapların tehlikeye düşmesiyle ilgiliydi ve dönem boyunca tüm kripto ile ilgili olayların %62.5'ini oluşturuyordu. Önemli vakalar arasında 1inch'e yönelik 5 milyon dolarlık bir saldırı (çalınan fonların %90'ı geri kazanıldı) ve Zoth'a yönelik iki ayrı saldırı bulunuyordu; bunlardan biri bir sözleşme hatası ve diğeri özel anahtar sızıntısıyla ilgiliydi ve toplamda 8.575 milyon dolarlık kayıplara yol açtı. Blokzincir dağılımı açısından, bu ay yalnızca bir proje kamusal blokzincir BSC üzerinde kayıplar bildirdi.

Gate Araştırma'nın, SlowMist verilerine dayanan son Web3 endüstri güvenlik raporuna göre, Mart 2025'te sekiz güvenlik olayı kaydedildi ve toplam kayıp yaklaşık 14.43 milyon dolar oldu. Olaylar tür bakımından çeşitlilik gösterdi ve hesap hack'leri ile akıllı kontrat zafiyetleri toplamın %62.5'ini oluşturdu. Rapor, 1inch'e yönelik akıllı kontrat zafiyet saldırısı ve Zoth olayı gibi ana olayların detaylı analizini sunmaktadır ki bunlar kontrat hataları ve özel anahtar sızıntıları içermektedir. Hesap ihlalleri ve kontrat zafiyetleri, ayın başlıca güvenlik tehditleri olarak belirlenmiş olup, sektör genelinde güvenlik önlemlerinin güçlendirilmesine yönelik sürekli bir ihtiyacı vurgulamaktadır.

Özet

Mart 2025'te, Web3 endüstrisi sekiz güvenlik olayı yaşadı ve toplamda 14.43 milyon dolarlık kayıpla karşılaştı - önceki aya kıyasla önemli bir düşüş yaşandı.
Bu olayların çoğu, akıllı sözleşme güvenlik açıkları ve hesap ihlalleri gibi saldırı yöntemlerini içeriyordu ve bu da kripto endüstrisindeki tüm güvenlik vakalarının %62,5'ini oluşturuyordu.
Bu ayki önemli olaylar arasında, 1inch'e hedeflenen bir akıllı sözleşme güvenlik açığından kaynaklanan 5 milyon dolarlık zararı içeren bir saldırı (bunun %90'ı geri alındı) ve Zoth'a yönelik iki ayrı saldırı yer almaktadır - biri bir sözleşme güvenlik açığıyla ve diğeri bir özel anahtar sızıntısıyla - toplam 8.575 milyon dolarlık bir zarara yol açtı.
Blockchain dağıtımı ile ilgili olarak, bu ay yalnızca bir proje genel zincir BSC'de zarar gördü.

Güvenlik Olayı Genel Bakış

SlowMist'den gelen verilere göre, 1 Mart ve 30 Mart 2025 tarihleri arasında sekiz güvenlik olayı kaydedildi ve toplam kayıp yaklaşık 14.43 milyon dolar oldu. Saldırılar genellikle akıllı kontrat zayıflıkları, hesap ele geçirme ve diğer kötüye kullanım yöntemlerini içeriyordu. 2025 Şubat ayına kıyasla, toplam kayıp aylık bazda %99 azaldı. Akıllı kontrat hataları ve hacklenmiş hesaplar, bu saldırıların başlıca nedenleri olup, bu tür beş olay toplamın %62.5'ini oluşturuyordu. Resmi X (eskiden Twitter) hesapları, hackerlar için ana hedeflerini korumaya devam ediyor.

Bu ay, bir kamu blok zincirinde meydana gelen tek güvenlik olayı BSC'de gerçekleşti, Four.meme burada 180.000 doların üzerinde zarar yaşadı. Bu durum, BSC ekosistemi içinde akıllı sözleşme denetimi, risk kontrol mekanizmaları ve on-chain izleme konusundaki sürekli iyileştirmelerin gerekliliğini ortaya koymaktadır.

Bu ay birkaç blockchain projesi büyük güvenlik ihlalleri ile karşı karşıya kaldı, bu da önemli finansal zararlara yol açtı. En dikkat çekeni, 8.29 milyon dolarlık zarara neden olan bir hack'i içeren, ve 285.000 dolarlık zarara neden olan bir akıllı sözleşme zafiyeti nedeniyle iki ayrı saldırıya maruz kalan RWA staking platformu Zoth oldu. Ek olarak, DEX toplayıcısı 1inch, bir sözleşme zafiyeti nedeniyle 5 milyon dolar kaybetti.

Mart Ayındaki Önemli Güvenlik Olayları

Resmi açıklamalara göre, Mart ayında anahtar güvenlik ihlallerinden kaynaklanan 13.5 milyon doların üzerinde zarar bildirildi. Temel tehditler, özel anahtar sızıntıları ve akıllı kontrat zafiyetleri idi.

Saldırganlar, güncellenmemiş Fusion v1 sözleşmesindeki bir zafiyeti sömürdü, yaklaşık 5 milyon dolarlık USDC ve wETH çaldı. Fonlar çözümleyicilerden, doğrudan son kullanıcı cüzdanlarından değil, alındı.
RWA staking platformu Zoth, Mart ayında iki güvenlik olayı yaşadı: 6 Mart'ta, bir teminat hesaplama hatası yaklaşık 285.000 dolarlık bir kayba neden oldu; 21 Mart'ta bir hacker yönetici ayrıcalıklarını ele geçirdi ve sözleşmeyi kötü niyetli bir sürüme yükseltti, sonunda 8.29 milyon dolar değerinde USD0++ çaldı, bu da nihayetinde 4.223 ETH'ye dönüştürüldü.

1inch

Proje Genel Bakış: 1inch, birden fazla DEX üzerinde optimal işlem rotalarını belirlemek için akıllı algoritmalar kullanan merkezi olmayan bir borsa (DEX) toplama aracıdır, işlem verimliliğini ve sermaye kullanımını artırır. Resmi web sitesine göre, 1inch, 3.2 milyonun üzerinde likidite kaynağını entegre etmiş, toplamda 596 milyar doların üzerinde işlem hacmi gerçekleştirmiştir ve 134 milyonun üzerinde işlem aracılığıyla 21.7 milyon kullanıcıya hizmet vermiştir.

Olay Genel Bakışı：

5 Mart'ta, eski Fusion v1 akıllı sözleşmesindeki bir zafiyet yaklaşık 5 milyon dolarlık kayba neden oldu. Saldırgan, eski sözleşmeyi sömürmek ve özellikle ABD Doları Coin (USDC) ve sarf (wETH) gibi fonları çekmek için kötü niyetli bir işlem yolunu oluşturdu. Olay sonrası yapılan incelemeler, zafiyetin sadece eski akıllı sözleşmelerde mevcut olduğunu ortaya koydu. Saldırgan, belirli bir işlem yolunu oluşturarak, çözümleyiciden fon transferi yapan işlevleri çağırdı. Mevcut anlaşma sürümü bu zafiyeti içermemektedir.

Decurity tarafından yapılan bir olay sonrası analizine göre, 1inch ekibi saldırganla müzakerelere girdi. Şu anda çalınan fonların yaklaşık %90'ı kurtarıldı, kalanı saldırgan tarafından hata ödülü olarak tutuldu. Saldırı genellikle güncellenmemiş eski çözücüleri etkiledi. Doğrudan kullanıcı varlıkları etkilenmedi ve kullanıcı cüzdanlarından önemli bir çıkış tespit edilmedi. Bu olay, eski sözleşmelerin zamanında kullanımdan kaldırılması ve güncellenmesinin kritik derecede önemli olduğunu ortaya çıkardı.

Olay Sonrası Öneriler:

Miras Sözleşme Yönetimini ve Erişim Kontrollerini Güçlendirme: Eski akıllı sözleşmeler (örneğin Fusion v1 gibi) tamamen kaldırılmalı, izinler dondurulmalı veya zorla taşınmalıdır, böylece geriye dönük uyumluluk için bırakılan potansiyel saldırı yüzeyleri ortadan kaldırılır. Erişim kontrol mantığı da çağrı kaynaklarını doğrulayarak ve istenmeyen çağrı yolları aracılığıyla istismarı önlemek için daha sıkı izin kontrolleri uygulayarak iyileştirilmelidir.
Denetim Süreçlerini ve Kapsamını İyileştirin: Çekirdek sözleşmelere (örneğin, çözücüler) ilişkin yan modüller resmi denetim kapsamına dahil edilmelidir ve her bileşen için net risk sınırları belirlenmelidir. Herhangi bir yapısal yeniden yapılandırma, dil güncellemesi veya arayüz değişikliği yeniden denetim süreçlerini tetiklemelidir ve eski sürümler için tarihsel risk değerlendirmeleri saklanmalıdır.
Gerçek Zamanlı İzleme ve Acil Durum Müdahale Sistemleri Oluşturun: Zincir üstü güvenlik izleme sistemleri, gerçek zamanlı anormal işlem davranışlarını tespit etmek için dağıtılmalıdır. İzin dondurma, acil iletişim kanalları ve geri alma stratejileri gibi hızlı bir yanıt mekanizması, varlık kaybının zaman penceresini en aza indirmek için bulunmalıdır.
Beyaz Şapkalı İşbirliğini Teşvik Etmek İçin Teşvik Mekanizmaları Kurun: Hata avcısı programları ve gri şapkalı hackerlarla sorumlu açıklama anlaşmaları, zayıflıkların etik bir şekilde raporlanmasını teşvik edebilir ve projenin genel güvenlik duruşuna katkıda bulunabilir.

Zoth

Proje Genel Bakışı: Zoth, geleneksel finans ve DeFi ekosistemi arasında varlık tokenizasyonu aracılığıyla köprü kuran Ethereum tabanlı bir RWA yeniden paylaşım platformudur. Kullanıcılara uyumlu gerçek dünya varlıklarını takas etmelerine ve on-chain verim elde etmelerine ve daha büyük sermaye verimliliği için yeniden paylaşım mekanizmalarına katılmalarına olanak tanır. Resmi web sitesine göre, Zoth'un toplam kilitli değeri (TVL) 35.4 milyon dolar ve kayıtlı varlıklarda 250 milyon doları aşmaktadır - on-chain ve geleneksel finansal sistemlerin kesişim noktasındaki güçlü varlığını göstermektedir. Platform, RWA ihraççıları ve likidite protokolleri ile ortaklıklar yoluyla yeniden paylaşım ekosistemini genişletmeye devam etmektedir.

Olay Genel Bakışı:

Mart 2025'te, Zoth, toplam yaklaşık 8.575 milyon dolarlık kayba neden olan iki büyük güvenlik ihlali yaşadı.

6 Mart: Zoth'un teminat mantığındaki bir tasarım hatası, sözleşmenin teminat değerleme sürecindeki kesin olmayan hesaplamaları sömürmeye izin verdi. Saldırgan, belirli fonksiyonları tekrar tekrar çağırarak ve yaklaşık 285,000 dolar fazla fon çekerek teminat doğrulama kontrollerini atladı. Bu olay, sözleşmenin varlık değerlemesi, teminat oranı eşikleri ve sınır koşullarını nasıl ele aldığında zayıflıkları ortaya çıkardı.
21 Mart: Zoth, son derece koordine edilmiş ve önceden tasarlanmış bir saldırıda yeniden hedef aldı. Birkaç başarısız denemenin ardından saldırgan başarıyla dağıtıcı hesabın kontrolünü ele geçirdi ve bunu kötü niyetli bir sürüme bir vekil sözleşme aracılığıyla yükseltmek için kullandı. Bu yükseltme, saldırganın sözleşme mantığı üzerinde tam kontrol sağladı ve bunlarını kullanarak teminatlı USD0++ jetonlarını içeren izole edilmiş kasaları boşaltmalarına olanak tanıdı. Saldırgan yaklaşık 845 milyon USD0++ çaldı ve bunları hızla DAI'ye takas etti ve 4.223 ETH'ye dönüştürdü—yaklaşık 8.29 milyon dolar ederinde.

Olayların ardından, Zoth ekibi hemen acil durum tepki protokolünü devreye soktu ve blockchain güvenlik firması Crystal Blockchain BV ile ortaklaşa bir soruşturma yürüttü. Ayrıca varlık ihraç eden ortaklarla yakın iş birliği yaparak platformun TVL'sinin yaklaşık %73'ünü güvence altına aldı. Zoth, çalınan fonları kurtarmaya yardımcı olabilecek bilgileri teşvik etmek için 500.000 dolarlık bir hata ödül programını duyurdu.

31 Mart itibariyle çalınan varlıklar büyük ölçüde hareketsiz kaldı ve toplamda 4.223 ETH tutan iki cüzdan adresinde yoğunlaşıyor. Ekip, saldırganın hareketlerini takip etmek için on-chain izleme sistemleri kurdu ve küresel blockchain analiz firmaları, Web2 platformları ve kolluk kuvvetleri ile işbirliği yapıyor. Zoth, soruşturma tamamlandığında tam bir otopsi raporu ve bir kurtarma ve yeniden inşa planı yayınlama taahhüdünde bulundu.

Olay Sonrası Tavsiyeler:

Çekirdek ayrıcalığı güçlendirme ve Yönetimi Yükseltme: Bu olay, dağıtıcının özel anahtarını tehlikeye atan, kötü niyetli bir sözleşme yükseltmesine izin veren bir durumdan kaynaklandı - ayrıcalık kontrolü ve yükseltme sürecindeki kritik zayıflıkları ortaya çıkardı. Bundan sonra, çoklu imza cüzdanlarını benimseme, katmanlı erişim izinlerini uygulama, yükseltme beyaz listeleme mekanizmalarını oluşturma ve yükseltme güvenliğini sağlamak için on-chain yönetim veya güvenlik denetimi prosedürlerini zorunlu kılma önerilir.
Gerçek Zamanlı İzleme ve Otomatik Risk Kontrolleri Uygulama: Fonların hızlı çıkışı, zamanında tespit eksikliğini gösterdi. Platform, gelecekteki saldırılarda yanıt penceresini azaltmak için gerçek zamanlı işlem izleme, saldırı uyarı sistemleri ve varlık dondurma mekanizmalarını on-chain olarak uygulamalıdır.
Varlık Saklama ve Erişim Kontrol Mantığını İyileştirin: İzole kasanlardan başarılı çıkış, saklama mekanizması içinde yetersiz erişim kontrolünü önermektedir. Ana varlık sözleşmelerinin çeşitli risk kontrolleri katmanlarıyla korunduğundan emin olmak için dinamik çağrı kısıtlamaları, anormal davranış tespiti ve işlem yolunun doğrulanması gibi özellikler eklenmelidir.
Acil Durum Müdahalesini ve Ekipler Arası İş Birliğini Kurumsallaştırma: Ekip, güvenlik firmaları ve kolluk kuvvetleri ile koordinasyon sağlayarak hızlı bir şekilde yanıt verdi, ilerleme güncellemeleri yayınladı ve bir ödül programı başlattı - durumu etkili bir şekilde stabilize etti. Gelecekteki olaylar için beş ana aşamayı kapsayan standartlaştırılmış bir acil durum müdahale protokolü benimsenmelidir: izleme, uyarı, dondurma, soruşturma ve iletişim, sürekli şeffaflık taahhüdüyle birlikte.

Özet

Mart 2025'te, birçok DeFi projesi güvenlik ihlalleri yaşadı ve on milyonlarca dolarlık zarara neden oldu. 1inch'teki akıllı sözleşme güvenlik açığı sömürüsü ve Zoth'taki ayrıcalık yükseltme saldırısı gibi iki dikkate değer olay, tekrar eski sözleşme maruziyeti, merkezi yönetici ayrıcalıkları, kusurlu yükseltme mekanizmaları ve yetersiz risk yanıt çerçeveleri gibi sistemik riskleri vurguladı. 1inch, hızlı müzakere ile çalınan fonların çoğunu geri kazanmayı başardı, ve Zoth, hızla ekip arası işbirliğini başlatarak varlıklarının %73'ünü koruma altına aldı. Her iki durum da, yönetim yapıları, erişim kontrolü, güvenlik denetimi ve birçok DeFi protokolü üzerinde gerçek zamanlı izleme alanlarında iyileştirme gerektiren alanları ortaya çıkardı.

Bu olaylar, zincir üzerindeki izleme sistemlerinin, otomatik varlık dondurma mekanizmalarının ve gri-hat açıklamaları için teşvik yapılarının uygulanmasının önemini vurgulamaktadır. DeFi projelerinin uzun vadeli kullanıcı güvenini koruması için güvenlik, başlangıçtan itibaren temel bir tasarım unsuru olarak ele alınmalıdır - sonradan eklenen bir şey değil. Gate.io, kullanıcıları güvenlik gelişmeleri hakkında bilgilendirilmeye ve kişisel varlıklarını aktif bir şekilde korumaya teşvik eder.

Referanslar:

Gate Araştırma
Gate Araştırma, derinlemesine içerik sunan kapsamlı bir blockchain ve kripto araştırma platformudur. Bu, teknik analizleri, sıcak konu içgörüleri, piyasa incelemeleri, endüstri araştırmaları, trend tahminleri ve makroekonomik politika analizlerini içerir.

Tıkla buradaşimdi ziyaret et

Feragatname
Kripto para piyasasına yatırım yapmak yüksek riskler içerir ve kullanıcıların herhangi bir yatırım kararı almadan önce bağımsız araştırma yapmaları ve satın aldıkları varlıkların ve ürünlerin doğasını tam olarak anlamaları önerilir. Gate.io, bu tür yatırım kararlarından kaynaklanan herhangi bir kayıp veya hasardan sorumlu değildir.

Author: Shirley

Translator: Sonia

Reviewer(s): Addie、Evelyn、Mark

Translation Reviewer(s): Ashley、Joyce

Disclaimer

* The information is not intended to be and does not constitute financial advice or any other recommendation of any sort offered or endorsed by Gate.

* This article may not be reproduced, transmitted or copied without referencing Gate. Contravention is an infringement of Copyright Act and may be subject to legal action.

Content