Thread by @KumpirMafyas

1️⃣ 8 defi projesi kodlarında ki bir açık nedeniyle dün istismara uğradılar, kayıp tutarı henüz net değil

Etkilenen Projeler :
➡️ Iron finance🛑
➡️ GoCerberus🛑
➡️ Garuda🛑
➡️ YBear🛑
➡️ Lokumswap🛑
➡️ Piggyswap🛑
➡️ Ketchupswap🛑
➡️ Caramelswap🛑

https://twitter.com/FinanceLokum/status/1405170179391299592

2️⃣ Sözleşmelerdeki tüm yerel olmayan fonlar güvenlidir ve bunları sorunsuz bir şekilde çekebilirsiniz. İstismar, kendisini özel olarak yalnızca yerel tokenlarla sınırlı

Her platformun yerel token ını sınırsız basma (mint) işlevi ile hack gerçekleşti

3️⃣ Bu hacklenen platformlar , PancakeSwap tarafından kullanılan MasterChef adlı güvenilir bir sözleşme kullanır. Sorun şu ki, MasterChef hiçbir zaman tüm bu özel tokenlar için tasarlanmadı, LP çiftlerinde ödül almak için tasarlandı.Kodu iyi okuyan birileride bu açığı gördü

4️⃣ PancakeSwap ın çok sağlam MasterChef sözleşmesi bu ;

github.com/pancakeswap/pa…

5️⃣ Bu platformlar bunu pancakeswap dan klonladılar ama içeriğine bakmadılar ve hack gerçekleşti

6️⃣Masterchef'in tasarımı nedeniyle, bir MasterChef'te 100 token (%5 işlem ücreti ile) yatırırsanız, yine de MasterChef'ten 100 token çekebilirsiniz. Ancak transfer ücreti nedeniyle, sözleşmeye gerçekten sadece 95 token gelir.Bu kısımda klonlanırken hatalar yapılmış görünüyor

7️⃣Masterchef'te, stake edilen token başına ödüller aslında havuz emisyonlarının sözleşmedeki toplam tokenlere bölünmesiyle hesaplanır.

Yani, masterchef'te 1 token kalmışsa, jeton başına ödül,o havuzun toplam emisyonlarına eşittir.Peki,havuzda yalnızca 0.001 token olursa ne olur

8️⃣ Diger sorunda bu kısımda çıktı, havuzda yalnızca 0.001 token varaa kodlar işlemedi

ilk KetchupSwap'ın istismar edilmesinden sonra, bazı kişiler bunu çabucak fark etti ve bu kod hatası olan diğer platformları istismar etti

9️⃣MasterChef güvenliydi ama sözleşmedeki toplam tokenların her zaman toplam mevduat toplamına eşit olacağı varsayımına dayanıyordu sözleşme, buradaki ince proble.leri kodda farkettiler ve boooom 🚀

1️⃣0️⃣ Platformlar tazminat planları ve kurtarma planlarını yayınlamaya başladı

thoreum-finance.medium.com/what-exploit-h…

1️⃣1️⃣ Doğal olarak platformların yerel tokenlarının fiyatları gümledi

1️⃣2️⃣ Size bir ipucu ;

2021 de hacklenen projelerin önemli kısmı ; Platformun kendi token ının mint lenme fonksiyonundan ortaya çıktı, projelerin github daki açık kaynak kodlarından mint fonksiyonlarını analiz edebilirsiniz