Nirvana Finance Yeniden Başlatılıyor: Akıllı Sözleşmeler Saldırısı Nedeniyle Mahkum Edilen İlk Vaka

Geçen hafta birçok önemli olay yaşandı; bunlar arasında ABD Merkez Bankası'nın görece agresif bir şekilde 50 baz puan faiz indirmesi ve Japon Merkez Bankası'nın hareketsiz kalması yer alıyor. Bu, önümüzdeki birkaç hafta içinde aşırı olumsuz bilgilerin ortaya çıkmayabileceğine işaret ediyor. Bu süreçte, yatırımcıların iki ana mantığa dikkat etmesi gerekiyor: İşgücü piyasası beklenen gibi toparlanacak mı ve enflasyonun yeniden alevlenme riski.

Bunun yanı sıra, dikkat çekici bir haber, Solana üzerindeki algoritmik stabilcoin projesi Nirvana Finance'ın V2 sürümünü yeniden başlatma kararı almasıdır. Proje, Temmuz 2022'de siber saldırıya uğrayarak 3.5 milyon dolardan fazla kayıp yaşadıktan sonra operasyonlarına son vermek zorunda kalmıştı. Yakın zamanda gerçekleştirilen yeniden başlatma, ilgili yargı kurumlarının çalınan fonların transferini tamamlamış olabileceği anlamına geliyor. Bu, akıllı sözleşmeler saldırısı nedeniyle mahkumiyet alan Amerika'nın ilk davası olabilir ve deniz hukuku sistemi için sembolik bir anlam taşımaktadır. Gelecekte, benzer davaların işlenme süreçlerinde önemli bir iyileşme beklenmektedir.

Nirvana Finance'in flaş kredi saldırısına uğramasının arka planı

Nirvana Finance, Solana ekosisteminde bir algoritmik stabilcoin projesidir. Proje 2022 yılının başında başlatılmıştır, ancak aynı yılın 28 Temmuz'unda bir siber saldırıya uğramış ve bu durum, stabilcoin NIRV'nin tüm teminatlarının (yaklaşık 3.5 milyon dolar) çalınmasına sebep olmuştur. Projenin akıllı sözleşmeleri açık kaynak olmasa da, hackerlar bir borç verme platformunun hızlı kredi fonksiyonunu kullanarak saldırıyı gerçekleştirmiştir; bu durum, proje ekibine yönelik sorgulamaları tetiklemiştir.

Dikkate değer bir nokta, saldırıya uğramadan önce Nirvana Finance'ın "otomatik denetim" tamamladığını iddia etmesidir, ancak bu durumun gerçek bir etkisi olmadığı ortaya çıkmıştır. Kurucu ortak Alex Hoffman, basınla yaptığı röportajda, saldırının gerçekleştiği hafta ekiplerinin yeni denetim çalışmalarına başladığını açıkladı. Başlangıçta projenin bu kadar geniş bir ilgi çekeceğini beklemediklerini itiraf etti, ta ki bazı medya raporları toplam kilitli değer (TVL) üzerinde büyük bir artışa neden olana kadar.

Proje ilk başarıyı elde ettikten sonra, bir kamu blok zincirinin CEO'su Hoffman'ı akıllı sözleşmelerin denetimi için şahsen teşvik etti ve denetim şirketinin takvimini hızlandırmaya çalıştı. Ancak, teminatın çalınmasının ardından proje duraklama aşamasına girdi, ancak topluluk platformu resmi personel tarafından sürekli olarak bakımda tutuldu.

Davanın Dönüm Noktası

Olaylar 14 Aralık 2023'te bir dönüm noktasına ulaştı. Shakeeb Ahmed adlı bir eski teknoloji devinin üst düzey yazılım güvenliği mühendisi, New York Güney Bölgesi Mahkemesi'nde Nirvana Finance ve başka bir merkeziyetsiz kripto para borsasına yönelik siber saldırılarla ilgili bilgisayar dolandırıcılığı suçlamalarını kabul etti. Savcılık ofisi, bu durumun akıllı sözleşmelere yönelik siber saldırı nedeniyle mahkumiyetle sonuçlanan tarihteki ilk vaka olduğunu belirtti.

Şunu belirtmek gerekir ki, Nirvana Finance'in kurucuları projeye saldırıdan sonra yenilik yapmayı durdurmadı, aksine başka projeler geliştirmeye yöneldiler. Bu da belirli bir anonimlik sağlamanın avantajlarını gösteriyor, en azından olumsuz etkiler kolayca aktarılmayacak.

2024 yılının 15 Nisan'ında, davanın kararı verildi. Shakeeb Ahmed, iki kripto para borsasına siber saldırı ve dolandırıcılık yapmak suçlarından üç yıl hapis cezasına çarptırıldı. Ardından 6 Haziran'da, çalınan fonlar projeye belirlenen hesaba geri aktarıldı ve fonların resmi olarak geri alındığını gösterdi.

Davanın gerçeği gün yüzüne çıkıyor

Aslında, bu 34 yaşındaki yazılım güvenliği mühendisi saldırıyı gerçekleştirirken, belirli bir uluslararası teknoloji şirketinin kıdemli güvenlik mühendisi olarak çalışıyordu ve akıllı sözleşmeler ve blok zinciri denetimi üzerine uzmanlaşmıştı. Yazılım tersine mühendislik konusunda uzmandır, bu da Nirvana Finance'ın açık kaynak olmadan da neden saldırıya uğradığını açıklıyor. Tersine mühendislik teknikleri, geliştiricilerin zincir üzerinde depolanan derlenmiş kodu kullanarak sözleşme mantığını yeniden inşa etmelerine olanak tanır.

Amerika Birleşik Devletleri Adalet Bakanlığı tarafından yayımlanan belgelere göre, tüm davanın kaynağı 2022 yılının Temmuz ayında saldırıya uğrayan ve yaklaşık 9 milyon dolar kaybeden bir merkeziyetsiz borsa. Ahmed, bu platformu flaş kredi saldırısıyla hedef aldı ve kovuşturmadan muafiyet karşılığında 2,5 milyon dolarlık "beyaz şapka ödülü" teklif etti. Sonunda, borsa yaklaşık 1,68 milyon dolarlık "ödül" almayı kabul etti.

Nirvana Finance davası, Ahmed'in tutuklanmasının ardından kendiliğinden ortaya çıkarıldı. Kişisel bilgisayarındaki tarayıcı kayıtlarının analizinin yanı sıra, soruşturma, fon akışını gizlemek için karıştırma protokolleri ve gizlilik paraları gibi çeşitli yöntemler kullandığını da tespit etti.

Ahmed'in nihai tutuklanma nedeni hakkında iki olasılık var. İlk olarak, saldırgan belirli bir merkezileştirilmiş borsa adresi ile etkileşimde bulundu. İkincisi, belirli bir karıştırma protokolünü kullanırken bir hata yaptı; fonları yatırdıktan çok kısa bir süre sonra geri çekim yaptı ve geri çekilen fonlar nihayetinde başka bir merkezileştirilmiş borsa üzerinden geçti. Bu ipuçları, kolluk kuvvetlerinin bu borsalarla işbirliği yaparak sonunda New York'ta Ahmed'i tutuklayabileceğini düşündürüyor.

Her halükarda, çalınan fonların geri alınması kutlanacak bir durumdur. Bu vaka iki önemli sorunu da yansıtmaktadır: Öncelikle, DApp geliştiricileri fon güvenliğine son derece önem vermelidir; ikincisi, bu tür vakalar için artık bir işleme referans kılavuzu vardır ve ilgili yasadışı faaliyetler üzerinde belli bir caydırıcı etki yaratması umulmaktadır.