Thread by @KumpirMafyas

1️⃣ Defi platformu @0Zerogoki işleyişinde ki kod hatası nedeniyle istismara uğradı

Tahmini kaybı ;700.000 $
Kod istismarı türü : Oracle Manipülasyon ı

Yaşanan hack in transaction ı ;

etherscan.io/tx/0x81e5f7158…

2️⃣ İstismarın transaction ında Nonce başlangıç degeri 0 olması, yeni açılan bir eth hesabının ilk işlemi oldugu anlamına gelir, bir hesaptan yapılan işlem sırası nonce un başlangıç değerini oluşturur.

Yanindeki 182 ise , islemin bloktaki sıralamasıdır

3️⃣ilk olarak platformu tanıyalım,
Zerogoki, Ethereum'da dağıtılan ve kullanıcılara döviz, altın ve tahvil gibi geleneksel varlıklar için kaldıraç araçları sağlayabilen algoritmik bir sabitleme mekanizmasına dayanan kaldıraçlı bir token basma platformudur.

4️⃣Kullanıcılar kaldıraç belirteçleri oluşturmak için platform belirteci REI'yi kullanabilir veya kaldıraç varlıklarını doğrudan satın almak için protokolün sentetik dolar-zUSD'sini kullanabilir. Biraz farklı deneysel bir türev plarformu

5️⃣ Hangi varlıkların sentetik basımını destekliyor ;

➡️zUST 20L/S ABD 10 Yıllık Hazine Tahvilleri
➡️zMVI 2L／S Metaverse İndeksi
➡️zVIX 3L oynaklık endeksi
➡️zXAUUSD 10L Altın Emtia Fiyatı
➡️zEURUSD 20L Euro/ABD Doları
➡️zNDX 10L Nasdaq 100 Endeksi

6️⃣ Sentetik farklıkların defilerde eşlenigini basmak (mintlemek) ve bunları her kripto platformunda kullanabilmek definin bu yıl yapmaya çalıştıgı deneysel bir model

Evet platformu anladıktan sonra istismar detayına geçelim;

7️⃣8 Ağustos 2021 05:24:48 de platformdaki bir darphane ticareti yanlış bir REI fiyatını benimsiyor ve fazla 717.964.8 zUSD basılıyor. Oracle fiyat beslemesinin hatalı bir fiyat benimsediği anlaşılıyor

Oracle fiyat beslemesi nedir merak edenler için ;

https://twitter.com/KumpirMafyas/status/1411022551342628871?s=19

8️⃣ Hatalı kod , aşağıdaki fiyat beslemesi contract ından kaynaklandı, kod detayı araştırılıyor

etherscan.io/address/0xb101…

9️⃣ Platform yaptığı acıklama ile fiyat manipülasyonu nedeniyle 700
000$ ek kazanç sağlayan kullanıcıdan parayı geri istedigini duyurdu, bakalım iade edecekmi parayı alan kişi

zerogoki.medium.com/temporarily-su…

1️⃣0️⃣ Platfomun geliştiricilerinin erken uyarı sistemi sayesinde hemen geçici olarak oracle ve mintleme işlevini geçici durdurdular

Fazla kayıp olmadan müdahale ettiler bu nedenle fiyat tekrat toparlandı görünüyor