Yeni Başlatılan New Gold Protocol (NGP) Token'ı, Fiyat Şişirme Saldırısı ile 1.9 Milyon Dolar Kaybetti

BNB Chain üzerinde yeni başlatılan New Gold Protocol (NGP) token'ı, piyasaya sürülmesinden sadece birkaç saat sonra bir istismara maruz kaldı. Saldırganlar, on-chain rezervleri manipüle ederek yaklaşık 1.9 milyon dolar değerinde bir kazanç elde etti. Güvenlik firması Hacken, olayın adli analizini yayınladı ve zincir üzerindeki kanıtlar, işlem ve adres aktivitelerinde görülebilir durumda.

Hacken'in analizine göre, saldırganlar protokolün doğrudan DEX çift rezervlerine dayanan fiyat hesaplamasından yararlandı. Bu mekanizma, flash loan'lar ile kolayca manipüle edilebilmekteydi. İstismar iki aşamada gerçekleşti: İlk olarak, saldırganlar ana işlemden saatler önce NGP token'ları satın aldı. Ardından, token fiyatını yapay olarak şişirmek için büyük USDT→NGP takaslarını zorlamak için bir flash loan kullandı. Fiyat yükseltildikten sonra, saldırganlar önceden satın aldıkları NGP'leri sattı ve elde ettikleri gelirle kaçtı. Hacken'e göre net kayıp yaklaşık 1.9M USDT oldu.

On-chain saldırı işlemi (takas/flash-loan çağrısı) BscScan üzerinde kaydedildi ve Hacken'in zaman çizelgesi ve adli notlarıyla örtüşüyor. BSC işlemi, büyük PancakeSwap etkileşimlerini, manipülasyonun bir parçası olarak NGP'nin null (ölü) adresine transferlerini ve ardından elde edilen gelirin saldırganın cüzdanına taşınmasını gösteriyor.

Hacken, bunu mümkün kılan önemli bir uygulama sorununa dikkat çekiyor: Protokol, belirli adreslerin (token sözleşmesi, bir basım adresi ve sıfır (ölü) adresi dahil) kullanıcı başına satın alma limitinin üzerinde miktarlar almasına ve soğuma sürelerini atlamasına izin verdi. İstismarcı, flash-loan destekli takaslar için alıcı olarak sıfır adresini kasıtlı olarak kullandı, böylece on-chain güvenlik kontrolleri tetiklenmedi ve rezerv tabanlı fiyat oracle'ını bozan büyük USDT→NGP takasları mümkün oldu. Fiyatı şişirdikten sonra, saldırgan daha önce biriktirdiği token'ları boşalttı ve kar elde etti.

Gelirler saldırganın BSC cüzdanına ulaştığında, fonlar hızla dönüştürüldü ve aklanmaya başlandı: Hacken'in zaman çizelgesi, çalınan USDT'nin Binance-pegged ETH'ye takas edildiğini, 443 ETH'nin Across protokolü aracılığıyla Ethereum'a köprülendiğini ve bunların çoğunun izi gizlemek için Tornado Cash'e yatırıldığını gösteriyor. Saldırganın adresi ve Across'e yaptığı yatırımlar BscScan üzerinde görülebilir.

Saldırı ile bağlantılı saldırganın BSC adresi adli raporlarda ve on-chain gezgininde tanımlandı. Araştırmacılar ve zincir takibi hizmetleri zaten akışları işaretledi ve köprüleme ve mikser faaliyetlerini yakından izliyor.

Güvenlik ekipleri ve token başlatan projeler uzun süredir ham DEX rezervlerini fiyat oracle'ı olarak kullanmanın tehlikeleri konusunda uyarılıyordu. Hacken'in yazısı, çeşitli en iyi uygulamaları tekrarlıyor: yalnızca fiyatlandırma için çift rezervlerine güvenmeyin, daha güçlü hesap ve işlem başına limitler uygulayın, ayrıcalıklı alıcıları beyaz listeye alın ve sıkı bir şekilde kontrol edin ve flash-loan tarzı saldırıları simüle etmek için agresif lansman öncesi stres testleri ve bağımsız denetimler gerçekleştirin.

Bu olay, bir token lansmanından sonraki kısa sürenin bile yüksek riskli anlar olduğunu ve saldırganların oracle zayıflıklarını ve özel adresler aracılığıyla yönlendirilebilen mantığı hızla aradığını bir kez daha hatırlatıyor. New Gold Protocol ekibi ve etkilenen taraflar, yazıldığı sırada kamuya açık bir kurtarma planı yayınlamadı. Ancak, on-chain kanıtlar ve Hacken'in analizi, istismarın nasıl çalıştığına ve gelecekteki lansmanların aynı kaderden nasıl kaçınabileceğine dair net bir resim sunuyor.