Taiko Köprü Saldırısı: GitHub’a Sızdırılan Anahtarla 1.7 Milyon Dolar Nasıl Çalındı ve 4 Adımlı Yeniden Başlatma Planı

Saldırı Nasıl Gerçekleşti?

Saldırının temel nedeni, Raiko SGX muhafaza (enclave) imzalama anahtarı olarak kullanılan bir RSA özel anahtarının GitHub'a sızdırılmasıydı . Bu anahtar, Raiko doğrulayıcısının (prover) blok doğrulamasının doğru olduğunu kriptografik olarak imzalamak için kullandığı bir anahtardı ve yaklaşık iki yıldır taikoxyz/raiko deposunda herkese açık olarak duruyordu .

Saldırgan, bu sızdırılan anahtarı kullanarak:

• Sahte provalar (rogue provers) kaydettirdi .
• Taiko'nun zincirler arası köprüsünde sahte çekim kanıtları oluşturdu .
• Kaynak zincirde hiçbir işlem olmamasına rağmen, Ethereum L1 üzerinde kabul edilen sahte bir mesaj kanıtı oluşturarak ERC-20 Vault'tan varlıkları çekti .

Saldırı ilk olarak güvenlik firması BlockSec tarafından tespit edildi ve temel nedenin GitHub'daki sızdırılan Raiko imzalama anahtarı olduğu belirtildi . Çalınan varlıkların çoğunluğu USDC ve ETH'ydi .

Dört Adımlı Yeniden Başlatma Planı

Bağımsız güvenlik incelemeleri, saldırı yolunun kapatıldığını doğruladıktan sonra Taiko aşamalı bir yeniden başlatma planı açıkladı :

Adım 1 — Zincir faaliyetini geri yükleme. Güvenlik yaması uygulandıktan sonra Taiko L2 ağını tekrar çevrimiçi hale getirmek ve normal blok üretimine devam etmek .

Adım 2 — Köprü varlıklarının birebir teminatlandırılması. Köprü yeniden açılmadan önce, eksik teminat tamamen doldurulacak ve tüm kullanıcı bakiyeleri %100 oranında desteklenecek .

Adım 3 — L2 etkinliğini tamamen açma. Düzeltilmiş altyapı ile normal L2 işlemlerine izin vermek .

Adım 4 — Kontrollü kotalarla köprü çekimlerini başlatma. Köprüden çekimler, başlangıç döneminde güvenliği sağlamak için kademeli olarak ve kotalarla yeniden başlatılacak .

Kullanıcı Fonlarının Korunması ve Teminatın Yenilenmesi

Taiko, "bu olayın kullanıcı fonlarında herhangi bir kayba yol açmayacağını" açıkça belirtti . Saldırı, köprüyü geçici olarak eksik teminatlı (undercollateralized) bıraktı. Taiko, köprüyü yeniden açmadan önce eksik teminatı tamamen tamamlayacağını ve tüm kullanıcı bakiyelerinin birebir destekleneceğini taahhüt etti . Ekip, toparlanmayı koordine etmek için Taiko DAO Konseyi ve Güvenlik Konseyi ile işbirliği yapıyor . Sürecin bir parçası olarak Singapur yetkililerine resmi bir rapor sunuldu .

Yasal Süreçler ve Oltalama Dolandırıcılığına Karşı Uyarılar

Taiko, soruşturma için Güvenlik Konseyi ve ekosistem ortaklarıyla yakın çalışıyor ve önlem olarak merkezi borsalardan TAIKO yatırmalarının durdurulmasını istedi . Ekip, kullanıcıları Taiko ağındaki tüm köprülerden fonlarını derhal çekmeye çağırdı ve bu köprülerin güvenlik varsayımlarının artık geçerli olmadığı konusunda uyardı . Taiko, topluluğu büyük saldırıların ardından sıkça görülen oltalama (phishing) ve kimlik avı girişimlerine karşı dikkatli olmaları konusunda uyardı ve yalnızca Taiko'nun resmi sosyal medya kanallarındaki duyurulara güvenmelerini tavsiye etti . Proje, çalınan fonları takip etmek ve kurtarmak için kolluk kuvvetleri ve güvenlik ortaklarıyla yasal ve adli yolları kullanıyor, ancak dava detayları henüz kamuya açıklanmadı .