Önemli Çıkarımlar:
Bir saldırgan, Token of Power'ın Aragon DAO'sundaki bir yönetim yanlış yapılandırmasını kullanarak 9 Haziran'da bir Balancer V1 havuzundan 1,58 milyon dolar çaldı.
"Benzer Lido/Aragon yönetim uygulamalarını kullanan projeler, oy gücü dağılımlarını, yeter sayı ve geçiş eşiklerini, basım izinlerini ve ilgili diğer yönetim güvenlik önlemlerini dikkatlice gözden geçirmelidir," dedi BlockSec Phalcon olay sonrası analizinde.
Tornado Cash üzerinden fonlanan saldırgan, toplam 16.384 TOP arzının %50'sinden fazlasını ele geçirdi. Tek bir işlemde, TokenManager'ın doğrudan kendi sözleşmesine 10 milyar TOP token basmasını tetikleyen kötü niyetli bir öneri oluşturdu, oyladı ve uyguladı. Yeni basılan tokenlar, Ethereum üzerindeki TOP/WETH Balancer V1 havuzunda 944,2 WETH karşılığında takas edilerek havuzun likiditesini tüketti. Çalınan fonlar, kurtarma çabalarını zorlaştırmak için Tornado Cash üzerinden geri yönlendirildi. Balancer'ın çekirdek protokolünde herhangi bir kayıp yaşanmadı.
Bu saldırı, 2026 yılında düşük likidite ve gevşek parametrelerin devralmaları uygun fiyatlı hale getirdiği küçük DeFi projelerine yönelik yönetim saldırıları modeline ekleniyor. Büyük protokoller zaman kilitleri ve daha yüksek yeter sayılarla savunmalarını güçlendirirken, Aragon ve benzeri yapılar üzerindeki birçok yeni token, güvenlik firmalarından artan incelemeye ve yönetim yükseltmeleri çağrılarına maruz kalmaya devam ediyor.
BlockSec Phalcon'un uyarısı TOP'un ötesine geçiyor. MiniMeToken ve düşük arz dağılımına sahip Aragon DAO kullanan herhangi bir proje benzer riskle karşı karşıyadır. Saldırı herhangi bir kod istismarı gerektirmedi; yalnızca tek bir varlığın zaman kilidi veya yeter sayı koruması olmadan çoğunluk oy gücüne sahip olmasına izin veren bir yönetim parametresiydi. Düşük piyasa değerli DeFi tokenlarına yatırım yapanlar için bu olay, likidite sağlamadan önce yönetim parametrelerinin doğrulanmasının ve büyük token birikimlerinin izlenmesinin önemini vurguluyor.
Bu makale yalnızca bilgilendirme amaçlıdır ve yatırım tavsiyesi niteliği taşımaz.
