PancakeSwap BCE-USDT Havuzu 679 Bin Dolarlık Saldırıda Kullanıldı
BNB Smart Chain (BSC) üzerindeki PancakeSwap BCE-USDT likidite havuzu, bir saldırgan tarafından hedef alındı. Saldırgan, havuzdan yaklaşık 679 bin dolar değerinde varlık çıkardı. Güvenlik firması BlockSec Phalcon, saldırıyı tespit ederken olayın temel nedeninin BCE tokeninin yakma mekanizmasındaki (burn mechanism) bir açık olduğunu belirledi .
Saldırı Nasıl Gerçekleşti?
BlockSec Phalcon’un izleme sistemine göre, saldırgan tokenin alım-satım kısıtlamalarını aşmak için iki kötü amaçlı akıllı sözleşme dağıttı. Saldırı, BCE tokeninin yakma mekanizmasındaki bir güvenlik açığından yararlanarak saldırganın likidite havuzu içinde kontrollü token yakma işlemleri gerçekleştirmesine olanak tanıdı .
Yakma fonksiyonunu manipüle eden saldırgan, havuzun rezerv oranlarını bozmayı başardı. Bu manipülasyon, saldırganın yararlandığı arbitraj fırsatları yarattı ve BCE-USDT havuzundan yaklaşık 679 bin dolar değerinde varlık çekilmesine yol açtı. Saldırı, tipik flash loan (anlık kredi) saldırılarında görülen şekilde tek bir işlem veya hızlı bir işlem serisi halinde gerçekleştirildi .
Teknik Analiz: Yakma Mekanizmasındaki Açık
Token yakma mekanizmaları, genellikle arzı yönetmek veya token sahiplerini ödüllendirmek için tokenleri dolaşımdan kalıcı olarak çıkarmak üzere tasarlanır. Ancak yakma fonksiyonu, havuz rezervlerini doğru şekilde hesaba katmayan koşullar altında veya dış taraflarca tetiklenebildiğinde bir güvenlik açığı oluşturur .
Bu vakada saldırgan, BCE token sözleşmesini PancakeSwap havuzunda tutulan tokenleri yakmaya zorladı. Bu işlem, havuzun BCE bakiyesini USDT’de karşılık gelen bir azalma olmadan düşürdü ve havuzun fiyatlama eğrisini bozdu. Saldırgan daha sonra manipüle edilen orandan USDT karşılığında BCE satın alarak havuz yeniden dengelenmeden önce değer çıkardı .
BlockSec Phalcon, saldırganın operasyonu gerçekleştirmek için iki kötü amaçlı sözleşme kullandığını belirtti. Bu sözleşmelerden biri yakma mekanizmasıyla etkileşime geçerken diğeri arbitraj takaslarını yönetti. Bu ayrım, saldırganın aksi halde saldırıyı engelleyebilecek standart alım-satım kısıtlamalarını aşmasına olanak sağladı .
Tepki ve Kurtarma Süreci
Son güncelleme itibarıyla PancakeSwap, saldırıyla ilgili resmi bir açıklama yapmadı. Ancak BCE-USDT havuzu aktif durumda ve likidite sağlayıcılarının durumu yakından izlemesi öneriliyor. Güvenlik araştırmacıları, özel yakma mekanizmaları içeren tokenlerle etkileşime giren protokollerin benzer güvenlik açıklarını tespit etmek için kapsamlı denetimler yapmasını tavsiye ediyor .
Saldırganın adresi BlockSec tarafından takip ediliyor ve çalınan fonlar—yaklaşık 679 bin dolar—bu yazı hazırlanırken saldırganın cüzdanında bulunuyor. Herhangi bir kurtarma çalışmasının olup olmadığı henüz bilinmiyor .
Bağlam: DeFi Saldırıları Kalıcı Bir Tehdit
PancakeSwap saldırısı, 2026’da yaşanan DeFi saldırıları listesine ekleniyor. Önceki yıllara kıyasla DeFi saldırılarında kaybedilen toplam değer azalmış olsa da, token ekonomisindeki (tokenomics) açıkları hedef alan sofistike saldırılar önemli bir risk olmaya devam ediyor. Özellikle yakma mekanizması güvenlik açıkları, güvenlik firmaları tarafından yeni bir saldırı vektörü olarak vurgulanıyor .
BSC üzerindeki en büyük merkeziyetsiz borsalardan biri olan PancakeSwap, geçmişte birden fazla saldırının hedefi olmuştu. Ancak platform, güvenlik araştırmacılarıyla sürekli iş birliği içinde çalışarak güvenlik açıklarını tespit etmiş ve etkilenen kullanıcıları telafi etmişti. BCE-USDT havuzunun likidite sağlayıcılarının telafi edilip edilmeyeceği henüz netlik kazanmış değil .
Likidite Sağlayıcılar ve Projeler İçin Çıkarımlar
Bu saldırı, DeFi ekosistemi için birkaç önemli noktayı gözler önüne seriyor:
Likidite Sağlayıcılar İçin: Yakma, yeniden bazlama (rebasing) veya komisyon gibi özel mekanizmalar içeren tokenlerle oluşturulan havuzlar ek risk taşır. Likidite sağlayıcılar, karmaşık token ekonomisine sahip havuzlara likidite sağlarken dikkatli olmalıdır .
Projeler İçin: Yakma mekanizması içeren tokenler, yakma fonksiyonlarının likidite havuzlarını etkileyecek şekilde yetkisiz taraflarca tetiklenemeyeceğinden emin olmalıdır. Kapsamlı denetimler ve sürekli izleme esastır .
Güvenlik Ekipleri İçin: Saldırı, gerçek zamanlı izlemenin önemini vurguluyor. BlockSec Phalcon’un saldırıyı saatler içinde tespit etmesi, zincir üstü gözetimin kötü niyetli faaliyetleri tanımlama ve takip etmedeki değerini gösteriyor .
Sırada Ne Var?
Güvenlik araştırmacıları, yakma mekanizmasındaki açığın teknik detaylarını tam olarak anlamak için saldırıyı analiz etmeye devam edecek. PancakeSwap ekibinin önümüzdeki günlerde bir analiz raporu yayınlaması ve etkilenen likidite sağlayıcılar için olası telafi mekanizmalarının tartışılması bekleniyor .
Şimdilik, 679 bin dolarlık saldırı, köklü DeFi protokollerinin bile yeni saldırı vektörlerine karşı savunmasız kalabileceğini hatırlatıyor. Sektör olgunlaştıkça, token ekonomisi ve akıllı sözleşme mantığının güvenliğine odaklanmak en önemli öncelik olmaya devam edecek .
Kaynaklar: BlockSec Phalcon, PancakeSwap, BSC Scan.
Feragatname: Bu içerik yalnızca piyasa bilgilendirme amacı taşır ve yatırım tavsiyesi değildir. DeFi protokolleri doğal riskler içerir ve likidite sağlayıcıları katılım öncesinde kapsamlı durum tespiti yapmalıdır.
