Thread by @KumpirMafyas

1️⃣ Netflix dizilerini aratmayan bir hack hikayesi;

🔰16 mio $ lık istismara uğrayan defi
🔰Kodlarını yazan kişinin,hata nedeniyle tweet ile özür dilemesi
🔰Merkezi borsa kullanan hackerın kimliğinin ortaya çıkması
🔰Yaşı 18 olan hacker ın ifşası

ndxfi.medium.com/indexed-attack…
🧵👇

2️⃣ Defi platformu @ndxfi Indexded Finance, kodlarında ki bir açık nedeniyle 16 mio $ lık bir istismara uğradı

@Mudit__Gupta nın teknik analizi ile istismarın kodlarına bakabilirsiniz

https://twitter.com/Mudit__Gupta/status/1448884940964188167?t=0JEQGIO6tLVo-F6hySJcPg&s=19

3️⃣ Indexdex Finance , sabit bir ürün eğrisinde temel alınan tokenlar arasında ticaret yapılan bir platform. Temelde Balancer'ın değiştirilmiş bir versiyonu. Swaplar, tokenlerın bakiyelerini ve ağırlıklarını etkiler.

4️⃣Havuzda, ilk tokenı kullanarak tüm havuzun değerini tahmin eden bir işlev var.

toplam_değer = token_dengesi * toplam_ağırlık / token_ağırlığı

UNI- CC10 LP havuzunda saldırgan, toplam değeri manipüle etmek için havuzun UNI dengesini manipüle etti.

5️⃣Toplam ağırlığın 100,UNI ağırlığının 10 ve UNI bakiyesinin 50 olduğunu varsayalım.

Bu, 50 * 100/10 = 500'lük bir LP değeri verir

İdeal bir senaryoda,bir takas 25 UNI çıkarırsa,havuz değeri hala 25 * 100/5 = 500 olacak şekilde UNI'nin ağırlığı 5'e düşmeli.

Bu Defi kuralıdır

6️⃣ Pancakeswap, Uniswap da Farm ve pool larda dengeler bu tip formüller le belirlenir, biz sadece APR oranına bakarız ama arkadaki işleyiş tamamen Finans ve Matematikden oluşur

7️⃣ Yukarıdaki denge burada işlemedi ve yüksek tutar fon girişinde LP havuzları fiyatları manipüle edilebilir hale geldi, Çünkü proje kodları yüksek tutarlarla test edilmemişti.

8️⃣ Havuz değeri, harici Oracles kullanılarak da hesaplanabilir. #Chainlink #Band gibi kaynaklardan gelen fiyat akışlarını birleştiren daha da gelişmiş meta oracle'lar eklemek en doğru çözümdü ama maliyetleri nedeniyle tercih etmediler

9️⃣ Kodlardaki bu açık nedeniyle, kodlayıcı ,hatadan dolayı özür diledi

Bu aslında blockchain projelerinde hiç karsılaşılmayan bir şey

https://twitter.com/d1ll0nk/status/1448856748467630085?t=WmEG50ZTfg7vggOvEXZVaQ&s=19

1️⃣0️⃣ İlginç bir gelişme yaşandı ve hackerın hesap hareketlerinde merkezi borsalara transferler tespit edildi,proje ekibi tarafından bir teklif hackera yapıldı:

⚠️ Ya olayı adli makamlara taşırız
✅ Ya da bize tutarı iade edersin ve %10unu sana veririz

https://twitter.com/laurence_e_day/status/1449232373116190729?t=WmEG50ZTfg7vggOvEXZVaQ&s=19

1️⃣1️⃣ Verdikleri süre doluncada twitter dan saldırganın kimliğini deşifre ettiler.

Gerçekten o kişimiydi?
Birini deşifre etmek suç mudur?
Kodlarda ki açık tan dolayı kim sorumludur?

Blockchain hukuğu olmadığı için bunları bilen yok ama tartışma devam etti ve tepkiler arttı

1️⃣2️⃣ Hacker ın cüzdan detayı;

etherscan.io/address/0x3c86…

1️⃣3️⃣ Hatta bu Kyc fake bir kimlik bile olabilir ama proje ekibinin bu umrunda bile değil.
Şayet fake bir Kyc ise suçsuz birini ifşa etmek proje ekibinin başına büyük bir hukuki sonuç doğurabilir

Ancak niyeti bozmuş görünüyor ekip

https://twitter.com/d1ll0nk/status/1449277865682522113?t=zOJbHfKV6eEE9R64DEImmg&s=19

1️⃣4️⃣ 18 yaşında olan saldırgan ın ortaya çıkan kimliği, tepkiler ve kanuni olarak proje ekibini zor durumda bırakacağı için kaldırıldı ve iş hukuki makamlara taşındı (Kanada mahkemeleri)

https://twitter.com/bantg/status/1449601377878089731?t=zOJbHfKV6eEE9R64DEImmg&s=19

1️⃣5️⃣ Blockchain de birini bulmak için github repoları, kullandığı test ağlarına yazdığı kodlar vb birçok detay transaction larından çıkarılabilir, burada onun detayını çıkarmışlar

https://twitter.com/pcaversaccio/status/1449322691178242048?t=zOJbHfKV6eEE9R64DEImmg&s=19

1️⃣6️⃣ Proje ekibi hatalı kodlamaları nedeniyle yatırımcıların kaybettiği 16 mio $ a karşın ateşle oynuyorlar

Gelişmeler ilginç olacak çünkü tüm hukuksal duzenlemeler web2 ye göre yapılmış durumda, web3 ün (blockchain) in hukuksal bir düzenlemesi yok

https://twitter.com/SpiritArmy5/status/1449605842580344835?t=zOJbHfKV6eEE9R64DEImmg&s=19