Yuga Labs 68 adet NFT’yi, değeri 500.000 doların üzerinde olan bir paketi, Flooring Protocol’deki açık nedeniyle saldırganların varlıkları ele geçirmesini engelleyerek beyaz şapkalı bir acil müdahalede kurtarıyor.
Kurtarılan NFT’ler arasında 29 Bored Apes, iki CryptoPunks ve dört Mutant Apes yer alıyor. Bu NFT’ler, Flooring Protocol’deki açık giderildikten sonra sahiplerine iade edilmek üzere Yuga’nın kontrolünde muhafaza ediliyor.
Saldırı Nasıl Gerçekleşti?
Flooring Protocol bir NFT likidite platformu olarak biliniyor. Kullanıcılar NFT’lerini kilitleyip karşılığında bire bir oranında fpToken alabiliyor.
Saldırgan, elindeki az miktarda Wrapped Ether (WETH) ile başladı. Protokolün sıkıştırılmış muhasebe mantığındaki bir açığı kullanarak neredeyse sınırsız fpToken bakiyesi oluşturdu.
Yuga’nın blockchain’den sorumlu başkan yardımcısı 0xQuit’e göre, kötü amaçla hazırlanmış bir token ID’si ortaya sözde hayalet sahiplik durumu çıkardı. Mülkiyet kontrolleri bir tarafta doğrulandı ama protokolün iç hesabı farklı bir şekilde ilerledi.
Son gelişmeleri anlık öğrenmek için bizi X’te takip edin
Sonrasında iki kontrol edilmeyen “underflow” işlemiyle saldırganın bakiyesi devasa bir sayıya döndü. Ardından fpToken fiyatları neredeyse sıfıra çekilip havuzlar boşaltıldı.
Yuga Neden Müdahale Etti?
Araştırmacılar kısa süre sonra sürecin bir başka saldırı yolu üzerinden daha büyük değerdeki havuzları ve blue-chip NFT koleksiyonlarını riske attığını fark etti. Bu varlıklar ilk dalgadan sadece, havuzlarında az likidite olmasından dolayı kurtulmuştu.
Tüm büyük koleksiyonlar ciddi risk altına girdi. Bored Ape taban fiyatı 8,95 ETH ile yaklaşık 15.121 dolara, CryptoPunks ise 32 ETH üzerinde yani yaklaşık 55.248 dolara yükselmiş durumda; bu rakamlar CoinGecko’nun 8 Haziran verilerine göre güncel.
Sadece 29 Bored Ape bile o an yaklaşık 441.000 dolar değerindeydi; bu kurtarılan NFT’ler arasında en büyük kalem oldu.
Bu rakam, 0xQuit tarafından belirtilen 68 NFT’nin toplamı olan 500.000 doların üzerindeki değeri doğruluyor. Üstelik saldırı hafta sonu gerçekleştiği için o an daha az ekip zincir üstü hareketleri izliyordu.
Flooring Protocol geçen yıl “sunset mode”a geçti, NFT tarafı ise uzun süre yönetimsiz kaldı. Platformun orijinal geliştiricisi, likidite sağlayıcısı olarak projede kalan tek isimdi ve bu saldırıda kendi varlıklarını da kaybetti.
CEO Michael Figge, kurtarmayı finanse etmek ve NFT’leri almak için GrailsOTC ekibine talimat verdiğini belirtti. Ekip, ardından aynı hata sınıfını savunma amaçlı kullanan bir kontrat konuşlandırdı. Bu taktik daha önce farklı white-hat kurtarma hamlelerinde de görülmüştü.
Yuga, CryptoPunks koleksiyonunu da bünyesine katmıştı. Bu hamlenin geçici bir çözüm olduğu özellikle vurgulandı. Geliştirici 0xFreeLunch takma adıyla yaptığı paylaşımda hatadan sorumlu olduğunu söyledi ve denetçilerin hatayı fark edememesinde fazla “gas” optimizasyonunun etkili olduğunu belirtti.
Peki Şimdi Ne Olacak?
Geliştiriciye göre, saldırgan yüksek karmaşıklık nedeniyle gelişmiş yapay zeka sistemlerinden yararlandı. Quit ise platformdan tamamen uzak durulması çağrısını yineledi.
[Quit](https://x.com/0xQuit/status/2063804118112829702) şu uyarıda bulundu: ‘Flooring Protocol’e kesinlikle yeni NFT yatırmamak önemli, çünkü yatırılan varlıklar anında tehlikeye girebilir’ dedi.
Saldırganların elinde hâlâ başka çalınan NFT’ler olduğu için olay tamamen kapanmış değil. Birçok DeFi projesinde yaşandığı gibi Flooring Protocol de bundan sonra yeni kontrat açılışı ve mağdur yatırımcıların telafi edilip edilmeyeceğine dair önemli kararlar almak zorunda kalacak.
