29.04.2026 12:53

Unutulan bir uyarı, bir saldırganın ZetaChain’in çok zincirli protokolünden yaklaşık 334.000 doları boşaltmasıyla yıkıcı bir sonuç doğurdu. Kayıp; Ethereum, Arbitrum, Base ve BNB Smart Chain’e yayılmış olmasına rağmen, yalnızca protokolün kontrolündeki varlıklar etkilendi; hiçbir kullanıcı bakiyesinde zarar oluşmadı.

Olay, ZetaChain’in hata ödülü kuyruğunda bir güvenlik açığının zaten ortaya çıkmış olması nedeniyle büyük bir infial yarattı. Ancak yönetimin ilk değerlendirmesi, sorunu "amaçlanan davranış" olarak nitelendirip geçiştirdi. İhlalin ardından geliştirme ekibi, kusurun tek bir yıkıcı hata değil, birkaç küçük tasarım ihmalinin birleşimi olduğunu açıklayan ayrıntılı bir olay sonrası analiz (post-mortem) yayımladı.

Saldırının merkezinde, yeterli kısıtlama olmaksızın rastgele zincirler arası talimatları kabul eden ağ geçidi (gateway) akıllı sözleşmesi yer alıyordu. Her ne kadar bir kara liste mevcut idiyse de, bu liste yaygın token transfer işlemlerini engelleyecek kadar kapsamlı değildi. Bir kullanıcının işlemi hedef zincire ulaştığında, ağ geçidi neredeyse herhangi bir akıllı sözleşmede komutları yürütebiliyordu.

Sorunu daha da ağırlaştıran ise, kullanıcı cüzdanlarının ağ geçidiyle önceki etkileşimleri sonucu verilmiş ve geriye kalan sınırsız token onaylarıydı. Bu onaylar hiçbir zaman iptal edilmemiş veya denetlenmemişti, bu da kötü niyetli aktörler için açık bir arka kapı bıraktı. Saldırgan, hem kısıtlanmamış zincirler arası yeteneği hem de bu devam eden onayları kullanarak, tokenları ele geçirilen cüzdanlardan kendi adreslerine doğrudan aktaran kötü amaçlı bir talimat oluşturdu.

Soruşturmacılar, saldırganın hazırlıklarını olaydan birkaç gün öncesine kadar takip etti. Saldırganın, saldırıyı gerçekleştirmek için kullandığı cüzdanı Tornado Cash aracılığıyla fonladığı ve böylece anonimliğini sağlayarak sorumlunun tespiti sürecini zorlaştırdığı belirlendi.

ZetaChain’in olay sonrası analizi, bu ihlalin spontane bir açıktan yararlanma değil, hesaplı ve çok adımlı bir saldırının sonucu olduğunu netleştirdi. Olay, zincirler arası etkileşimler için titiz güvenlik incelemelerinin gerekliliğini ve token onaylarının zamanında iptal edilmesinin önemini bir kez daha gözler önüne serdi.