Thread by @KumpirMafyas

1️⃣ #DeFi protokolü #Qubit Finance'in zincirler arası köprüsü olan X-Bridge, kodlarında ki bir açık nedeniyle istismar edildi, kayıp 80 milyon $

Teknik detaylara bakalım
⬇️⬇️

2️⃣ PancakeBunny'nin arkasındaki ekip tarafından başlatılan BSC tabanlı bir borç verme protokolü olan Qubit Finance , 80 milyon dolarlık bir istismarın kurbanı oldu. Bunny de geçen yıl yüksek tutarda bir güvenlik açığının kurbanı olmuştu

3️⃣ Akıllı kontratlarda kodlamada en zor konulardan biri ; Bridge lerdir. Ciddi bir uzmanlık ister
50 milyon $ üstü Bridge Smart-contract ını hakkıyla kodlayabilecek kişi sayısı dünyada çok az sayıdadır, bu nedenle kod açığına burdanda bakmak gerekli

4️⃣Qubit Finance, ödünç verme ve ödünç alma hizmetlerine ek olarak bir Ethereum-BSC köprüsü işletmektedir . İstismarın hedefi bu köprüydü.
Kriptodaki bir köprü , iki (veya daha fazla) blok zincirini birbirine bağlayan bir altyapı parçasıdır.

4️⃣ Ethereum ağında 5000-ETH ınız var diyelim, bunu kilitleyip Bsc ağında bu tutara istinaden borç alabileceğiniz bir platform

5️⃣ Güvenlik firması @CertiKTech
In raporuna göre ; Açığın temel nedeni ;
tokenAddress.safeTransferFrom() öğesinin, tokenAddress sıfır (boş) adres (0x0…000) olduğunda geri dönmemesiydi.

certik.medium.com/qubit-bridge-c…

6️⃣ Projenin kodları denetlenmişti ancak bu açık tespit edilememiş görünüyor

github.com/PancakeBunny-f…

7️⃣ Hacklenmenin teknik nedeni: "Sıfır adres kontrolü" yapılmamasıydı

Her akıllı kontrat da atlanmaması gereken güvenlik ilkelerinden biride:"Sıfır adres kontrolü" dür, atlanması durumunda buradaki gibi problemlere yol acabilir