79AU token sözleşmesindeki ayrıcalıklı fonksiyon PancakeSwap havuzundan 14,35 milyon dolar boşalttı

Boşaltma nasıl gerçekleşti

Ekim 2026'nın başlarında, 79thVault adlı projenin çıkardığı 79AU token'ı için kurulmuş bir PancakeSwap likidite havuzu 14,35 milyon dolarlık USDT kaybetti. dev.to'da yayımlanan bir olay analizine göre hırsızlıkta flash loan ya da borsanın router'ındaki bir kusur rol oynamadı. Bunun yerine saldırı, 79AU token sözleşmesinin yapısına yerleştirilmiş idari bir yetkiye dayanıyordu.

dev.to analizinde zaman çizelgesi şu şekilde aktarılıyor: 7 Ekim'de saat yaklaşık 07:25 UTC'de, 79thVault ile ilişkili operasyonel bir cüzdan, 79AU sözleşmesindeki ayrıcalıklı bir fonksiyonu çağırarak token'ları ödeme yapmadan doğrudan havuzdan çekti. Seller A olarak etiketlenen bir cüzdan bu token'ları aşamalar halinde aynı havuza geri sattı; yaklaşık 12,6 milyon dolarlık USDT elde edildi ve havuzun stablecoin rezervi 15,2 milyon dolardan 3,89 milyon dolara düştü. Saat 07:41 UTC'de ayrı bir grup halinde 500.000 79AU token'ı ikinci bir cüzdana gönderildi; bu cüzdan yaklaşık 12:48 UTC'ye kadar bekledikten sonra token'ları satıp ek olarak 1,75 milyon dolar daha kazandı. Dokuz ayrıcalıklı çekim ve üç alıcı cüzdan dahil olmak üzere toplam kayıp 14,35 milyon dolara ulaştı.

Yakmanın ardındaki arka kapı

Proje, DeFi katılımcılarının araması söylenen şeyi yapmıştı: havuzun LP token'larının yüzde 79'u bir burn adresine gönderilmişti; PancakeSwap V2'de bu, söz konusu makbuzların arkasındaki likiditenin hiç kimse tarafından geri alınmasını engellemeliydi. Ancak dev.to analizinin açıkladığı gibi, LP token'larının yakılması yalnızca standart geri ödeme yolunu kapatır. Özel olarak yazılmış token'ın içindeki yetkilendirmelerde hiçbir şeyi değiştirmez.

79AU sözleşmesi, sahibine herhangi bir seçilen adresten token taşıma ve havuzun rezervlerini senkronize etme imkânı veren bir OPERATOR_ROLE içeriyordu; bu da LP makbuzlarını geri ödeme ihtiyacını tamamen ortadan kaldırıyordu. Yazıda atıf yapılan güvenlik firmaları, bu fonksiyonun hazirandan bu yana görünüşe göre projenin ödül sistemini çalıştırmak için yüz binlerce kez çağrıldığını belirtti; bu durum kötü niyetli çekimlerin rutin aktiviteye karışmasını kolaylaştırdı. Rol, ne bir multisignature cüzdanının ne de bir timelock'un arkasında değildi ve sözleşmenin kaynak kodu BscScan'de doğrulanmamıştı; dolayısıyla bu yetenek yüzeysel bir due diligence yapan herkes için görünmezdi.

Ayrıcalık bir kez mevcut olduğunda mekanizma basitti. Havuzun pair sözleşmesi, 79AU token'ının bildirdiği bakiyelere güveniyordu. Operatör token'ları taşıyıp rezervler senkronize edildiğinde, saldırgan hiç ödenmemiş token'ları havuzdaki gerçek USDT karşılığında swap edebiliyordu.

Sonrası, müzakereler ve sürmeye devam eden risk

Elde edilen gelirler BNB'ye dönüştürüldü. dev.to'nun aktardığı on-chain takip verileri, tek bir adreste yaklaşık 14.395 BNB, yani 11 milyon dolar civarında bir miktarın bulunduğunu gösterirken, daha önceki uyarılar dış adreslere taşınan yaklaşık 16.200 BNB'yi işaret etmişti.

Geri ödeme görüşmeleri on-chain'e taşındı. Proje, fonların iadesi karşılığında yüzde 10 ödül teklif etti; saldırgan ise yüzde 25'i elinde tutma ve hukuki takibin düşürülmesi talebiyle karşılık verdi. Görüşme mesajının ele geçirilmiş ayrıcalıklı adresin kendisinden geldiği için, yazının belirttiğine göre araştırmacılar anahtarın dışarıdaki biri tarafından mı çalındığı yoksa içerideki biri tarafından mı kötüye kullanıldığı konusunda ikiye bölünmüş durumda.

Tehlike tamamen geçmiş de değildi. Blockchain analitik firması Bitquery'nin 8 Ekim saat 12:53 UTC'de yaptığı simülasyonlar, hâlâ token çekme yetkisine sahip iki adres tespit ettiğini bildirdi: orijinal sözleşme deployer'ı ve yeni onaylanmış bir cüzdan; ikisi birlikte havuzdaki kalan 79AU bakiyesinin yaklaşık yüzde 95'ini boşaltabilirdi.

Neden önemli

Olay, DeFi'nin en güvenilen sinyallerinden birini delip geçiyor. Yakılan LP token'ları yalnızca likiditenin normal yoldan çekilemeyeceğini garanti eder; token'ın içine gömülü mint fonksiyonları, transfer hook'ları veya ayrıcalıklı roller hakkında hiçbir şey söylemez. Bir token'ı değerlendiren herkesin ve bir token'ı inceleyen her denetçinin, yalnızca çevresindeki borsa altyapısına değil, token sözleşmesinin kendi yetkilendirmelerine de bakması gerekiyor. İdari rollere gerçekten ihtiyaç duyulan yerlerde, dev.to yazısının savunduğuna göre bunlar multisignature kontrollerinin, timelock'ların veya merkeziyetsiz yönetişimin arkasında olmalı ve sözleşmeler topluluğun inceleyebilmesi için block explorer'larda doğrulanmalıdır. Özel olarak yazılmış bir token'daki tek bir korumasız anahtar, likidite üzerindeki diğer tüm kilitleri anlamsız hale getirebilir.