Akıllı Sözleşmelerin Güvenlik Açıkları: DAO, DeFi ve Re-entrancy Saldırısı

Merkeziyetsiz finans alanı, son bir yılda üstel bir büyüme göstererek geçen yıl Mart ayında kaydedilen toplam 540 milyon dolardan bu makalenin yayımlandığı tarihte 47,6 milyar dolardan fazlaya yükseldi.

DeFi ekosisteminin büyümesi, kullanıcılar, geliştiriciler ve sektörün bütünü için yeni fırsatlar açarken, yatırımcıların farkında olmayabileceği ancak yine de baş etmek zorunda oldukları yeni riskleri de beraberinde getirdi.

DeFi protokollerinin çoğu Ethereum blokzinciri üzerinde inşa edilmiştir. Ethereum, piyasa değeri açısından Bitcoin’in hemen ardından gelen ikinci en büyük kripto para birimidir. Ethereum sayesinde, özellikle Turing-complete akıllı sözleşmelerin kullanımıyla, blokzincir projeleri daha programlanabilir hale gelmiştir.

Akıllı sözleşmeler aslında kendi kendini yürüten sözleşmelerdir. Bu sözleşmelerde öngörülen kod, belirli parametreler dahilinde ve karşı tarafa herhangi bir risk olmaksızın, takma adlı taraflar arasında önceden tanımlanmış işlemleri ve anlaşmaları otomatik olarak gerçekleştirmenizi sağlar.

Bu kendi kendini yürüten sözleşmeler ilk olarak 1994 yılında, Bitcoin’in öncülü Bit Gold’un yaratıcısı Nick Szabo tarafından önerildi ve ister stablecoin’lerin belirli bir algoritmaya göre çıkarılması, ister kripto kredilerin verilmesi ya da kripto teminatlı krediler olsun, kripto para kullanıcıları için yeni fırsatlar sunan birçok merkeziyetsiz uygulamanın oluşturulmasına olanak sağladı. Ve bu yalnızca küçük bir kısmı.

Merkeziyetsiz borsalar, merkeziyetsiz yönetim modelleriyle ancak bu tür akıllı sözleşmeler sayesinde mümkün hale geldi; bunun sonucunda Binance Smart Chain, Polkadot ve Avalanche gibi ürünlerin ortaya çıkmasına yol açan yeni bir dijital dünya doğdu.

Aave, Compound, Uniswap ve 1 Inch.exchange gibi protokoller, kullanıcıların yatırımlarından faiz kazanmasına ve kripto varlıklarla, hatta merkeziyetsiz türevler gibi karmaşık araçlarla işlem yapmasına olanak tanır.

Bu heyecan verici yeni ürünlerin tümü, finans dünyasını sarsan ve geleneksel finans kurumlarının da para kazanmasına imkan tanıyan yukarıda bahsedilen DeFi sektörünü oluşturdu.

Belirtildiği gibi, bu yeni fırsatlar alanı akıllı sözleşme geliştiricileri tarafından yazılan kod ile kontrol edilmektedir. Çoğu DeFi projesinin açık kaynak kodu vardır ve hatta akran incelemesi ve denetimden geçer; bazıları ise tam tersine geçmez. Çoğu zaman, test edilmiş kodda bile, bilinmeyen saldırı vektörlerinin kullanılmasına imkan veren güvenlik açıkları bulunabilir; bu da şirketler ve sıradan kullanıcılar için büyük kayıplara yol açar.

Akıllı Sözleşme Güvenlik Açıkları Kullanıcıları Nasıl Etkiler?

Akıllı sözleşmelerin güvenliğini garanti etmek için yalnızca yürütülmesinin tüm olasılıklarını analiz edebilirsiniz. Turing-complete dillerde akıllı sözleşmeleri çalıştırırken, bilgisayar programının hata içermediğinden emin olmanız gerekir; bu ise neredeyse imkansızdır. Bu nedenle, akıllı sözleşmelerle çalışırken veya onları oluştururken denetimden geçirmeniz gerekir.

Ethereum akıllı sözleşmelerindeki güvenlik açıkları yıkıcı sonuçlara yol açabilir. Aave gibi protokoller profesyoneller tarafından yönetilip düzenli olarak kontrol edilse de, güvenlik açıkları hâlâ büyük miktarlarda kripto varlığın kaybıyla sonuçlanabilecek bir hacker saldırısı riski taşır; bu da yatırımcı güvenini olumsuz etkiler ve sonrasında kullanıcılar/şirketler için finansal kayıplara ve fiyat oynaklığına neden olur.

Bu güvenlik açıkları, Bitcoin’in UTXO sisteminden farklı olarak çok daha esnek ve dolayısıyla ek güvenlik açıklarına ve saldırı vektörlerine daha yatkın olan Ethereum’un yerel akıllı sözleşme dili ve muhasebe sisteminin karmaşıklığından kaynaklanır.

Solidity ve diğer akıllı sözleşme dilleri yeni ve son derece karmaşık olduğundan, bu güvenlik açıklarını geliştiricilere yüklemek doğru olmaz.

Ethereum üzerinde inşa edilmiş 80’den fazla DeFi platformu vardır ve her hafta yeni projeler başlatılmaktadır. Kullandıkları akıllı sözleşmelerin, özellikle de doğru şekilde yazılıp test edilmemişlerse, güvenlik açıkları içermesi kaçınılmazdır.

CyberNews tarafından yürütülen bir araştırma, yaklaşık 3.800 Ethereum akıllı sözleşmesinde, saldırganların en az 1 milyon dolar değerinde kripto varlık çalmasına olanak tanıyacak güvenlik açıkları bulunduğunu ortaya koydu. Çalışma ayrıca toplam 13 farklı güvenlik açığı türü olduğunu ve bunların dördünün hacker’lar tarafından sömürülme olasılığının çok yüksek olduğunu gösterdi.

Popüler Avalanche platformunda yılın başlarında bir güvenlik açığı tespit edildi. Buna göre, yeni merkeziyetsiz Pangolin borsasının lansmanı ve ağ yoğunluğu sırasında bir hata meydana geldi ve bu da işlemin başarısız olmasına yol açarak yaygın paniğe neden oldu. Solana, Flow, Zilliqa ve Fantom dahil diğer tanınmış platformların da sözleşmelerinde hatalar olduğu sonradan ortaya çıktı.

DAO ve Re-Entry Saldırısı

Re-entry, akıllı sözleşmelerde yaygın bir güvenlik açığıdır. Çeşitli blokzincir platformlarındaki akıllı sözleşmelerde bulunabilse de, en sık Ethereum blokzinciri ile ilişkilendirilir.

Re-entry saldırıları, 2016’da Ethereum blokzinciri üzerinde gerçekleşen ünlü DAO hack’i ile tanınır.

Bir akıllı sözleşmedeki ilk ve en yıkıcı hata 2016 yılında meydana geldi. Merkeziyetsiz otonom organizasyon (DAO) akıllı sözleşmeler üzerinde çalışıyor ve o dönemde 150 milyon dolardan fazla fon toplamıştı.

Kimliği bilinmeyen bir saldırgan, kitle fonlaması yoluyla toplanan ether’ı (ETH) çekmeyi başardı. Zararın tutarı 150 milyon dolardan fazlaydı.

Bu vaka, Re-entry saldırısının en ünlü örneğidir. Tekrarlayan saldırı, saldırganın bir işlem göndermesi ve bunun sonucunda sözleşme hesabının kaynakları tükenene kadar sözleşmenin defalarca yürütülmesi anlamına gelir.

Fon talep eden proje, DAO topluluğundan yeterli destek aldıysa, bu projenin Ethereum adresi DAO’dan ether çekebiliyordu. Ne yazık ki DAO için, transfer mekanizması iç durumunu güncellemeden ve bakiyenin zaten transfer edildiğini not etmeden ether’ı harici bir adrese aktardı. Bu da saldırganların daha fazla ether çıkarmasına olanak sağladı.

Toplamda 3,6 milyon ETH DAO cüzdanlarından çekildi. Şimdi, bu tokenların değeri 6,4 milyar dolardan fazladır. Bu hack, ağı ikiye bölen sert bir fork’a yol açtı: Ethereum ve Ethereum Classic.

Kimileri, zararı azaltıp fonları orijinal sahiplerinin erişebileceği adreslere taşımak en iyisi olduğunda hemfikirdi; kimileri ise blokzincirin değiştirilemezliğinin ihlal edilmemesi gerektiğini, aksi takdirde topluluk içinde teknolojik ve ideolojik bir ayrışmaya yol açacağını savundu.

Şimdi Ethereum Classic olarak bilinen orijinal Ethereum blokzinciri, değiştirilemezliği seçerek DAO’dan çalınan token’ları bir hacker’ın elinde bıraktı; Ethereum ise topluluğun oy kullanmasına izin vererek fonları orijinal sahiplerine iade etti ve blokzincir mutabakatını önceliklendirdi.

DAO Dışındaki Re-Entry Saldırılarının Diğer Örnekleri

Ancak bu güvenlik açıkları, birkaç DeFi protokolü de dahil olmak üzere çok sayıda akıllı sözleşme hack’inde de tespit edilmiştir.

Re-entry güvenlik açıklarını içeren son DeFi hack’lerine bazı örnekler şunlardır:

• Fei Protocol: Nisan 2022’de Fei protokolü, re-entry güvenlik açığı içeren üçüncü taraf kodun kullanılmasıyla mümkün olan yaklaşık 80 milyon dolarlık bir hack’in kurbanı oldu.
• Paraluni: Mart 2022’de Paraluni akıllı sözleşmesinin hack’lenmesinde, yaklaşık 1,7 milyon dolar değerinde token çalmak için bir re-entry güvenlik açığı ve güvenilir olmayan kullanıcı verilerinin yetersiz doğrulanması kullanıldı.
• Grim Finance: Aralık 2021’de Grim Finance safeTransferFrom fonksiyonundaki re-entry güvenlik açığı, yaklaşık 30 milyon dolar değerinde token elde etmek için kullanıldı.
• SIREN Protocol: SIREN protokolünün AMM havuzundaki akıllı sözleşmelerdeki re-entry güvenlik açığı, Eylül 2021’de yaklaşık 3,5 milyon dolar değerindeki tokenlar için kullanıldı.
• CREAM Finance: Ağustos 2021’de bir saldırgan, yaklaşık 18,8 milyon dolar değerinde token çalmak için AMP CREAM Finance token entegrasyon sistemine girmek üzere bir re-logging açığından yararlandı.

Bunlar, re-entry sırasında ortaya çıkan güvenlik açıklarını sömüren DeFi hack’lerinin tek örnekleri olmaktan çok uzaktır. Bu eski ve yaygın olarak duyurulmuş bir risk olsa da, re-entry güvenlik açıkları bugün hâlâ yeni akıllı sözleşmelerde ortaya çıkmaktadır.

Özetleyelim

Hem sıradan kullanıcıların hem de büyük yatırımcıların DeFi kavramının kendisine duyduğu güven, kripto sektörünün bu tür zorluklarla nasıl başa çıkacağına bağlı olacaktır.

Şu anda yaşananlar doğaldır ve kısa süre içinde blokzincir projelerinin güvenlik seviyesinin artmasına yol açacaktır; ancak zaman zaman yine de başarılı hacker saldırılarıyla ilgili haberler göreceğiz.