Thread by @KumpirMafyas

Defi platformu @bogtools kodlarındaki bir açık nedeniyle  ⚠️"Flashloan  attack"⚠️ turünden bir istismarla 3 milyon $  bugün kaybetti
(Platformun toplam likiditesi 6 mio$ dı). Yarısı gitti , detaylara bakalım 👇👇👇

1️⃣Defi platformunun coini $ BOG , karmaşık bir Flash-Loan tabanlı saldırı kullanılarak 6 milyon $ likiditenin 3 milyon $ kısmını kaybetti

2️⃣Ilk Flashloan nedir bakalım : Flaş kredi, teminatsız bir kredidir çünkü herhangi bir teminat sunmanız gerekmez. Fakat aynı zamanda, bir kredi kontrolünden ya da benzer bir şeyden geçmeniz de gerekmez. Borç verene, 50.000 USD'lik ETH borç alıp alamayacağınızı sormanız yeterli

3️⃣ Ancak bir şartı var : Aynı blok üzerinde geri ödenmeli. Bizim gibi kullanıcıların arayüzle kullanacağı bir kredi degil, kod ise bir sözleşme ile ancak kullanılabilir

4️⃣Hacker tarafından 9 Milyon $ 'ın üzerinde BOG tokeninin basılmasıyla işler başladı,bunu Flashloan ile yüksek likidite sağlayarak gerçekleştirdi

Yapılan açıklama token sahipleri önümüzdeki saatlerde yeni bir sözleşmeyle LP tokenları ve BOG $ 'larını alacakmış

5️⃣Piyasadan satın alınan coinler, geçiş sırasında kaldırılmayacak - yalnızca kişilerin cüzdanlarına
basılan coinler ve PancakeSwap coinlerinin bir% 'si kaldırılacağını açıklandı

İşler nasıl gerçekleşti , biraz buna bakalım

6️⃣ Bugün 14:30 de $ BOG token kontratı işlem ücretini hedefleyen karmaşık bir flash-kredi tabanlı saldırı kullanılarak istismar edildi.

Neyse ki, proje ekibi birlikte bu saatlerde Discord toplantısındaydı ve saldırının başlangıcını gözlemledi
ve

7️⃣ saldırgan tüm fonların Likidite Havuzunu boşaltmadan önce bunu hafifletmeyi başardı.En azından %50 sini kurtardı saldırı 45 saniye sürdü

8️⃣Saldırgan, bu işlemi otomatikleştirmek için özel olarak tasarlanmış bir sözleşme (bot) kullandı ve
yalnızca işlem limiti (47.500 BOG) tarafından engellendi.(Koda eklenen bu işlem limiti hayat kurtarmış diyebiliriz)
Saldırgan, bu işlemlerin 11'ini 45 saniye içinde yapabildi

9️⃣ İşlemin tx leri ;

bscscan.com/txs?a=0x4622a1…

1️⃣0️⃣Projenin Kurucusu Johna kurduğu alarm , ciddi bir likidite çıkışı olduğunun alarmını verdi
ve yama ile işlem ücretini devre dışı bıraktı .
Buda deploy edilen kurtarma kodu:
bscscan.com/tx/0xe285bb5fd…

1️⃣1️⃣Proje ekibi kalan likiditeyide hackerın uyguladığı aynı yöntemi uygulayarak boşalttıklarını açıkladı
(Buda ilk ekz gördüğüm bir yöntem :) ) çok ironik

1️⃣2️⃣ Mesgo tamda bugün buna kafa yormuştu üzerine geldi

https://twitter.com/mesgo_/status/1396348729263808513?s=19

1️⃣3️⃣ Defilere yapılan Flashloan attack türü saldırılar kolay başedilebilir birşey degil, bu tabloda da görülecegi üzere çok katmanlı

1️⃣4️⃣Proje ekibi şuan telegramda canlı sesli sohbette nedenlerini ve neler yapacaklarını anlatıyorlar

Güzel bir kriz yönetimi, bende kafamdaki soruları soracağim şimdi