GMX 4200 milyon dolar zarar gördü! "Reentrancy açığı" felakete yol açtı, resmi rapor tazminat planını açıkladı.

Eski merkeziyetsiz vadeli işlem borsa GMX'in Arbitrum üzerindeki V1 dağıtımı 9 Temmuz'da siber saldırıya uğradı ve 42 milyon dolara kadar kayıplara neden oldu. Bu olay, Merkezi Olmayan Finans alanında güvenlik alarmını bir kez daha çaldı. Tayvan saatiyle 10 Temmuz akşamı, GMX X platformunda bu saldırının temel nedenini, ilk yanıt önlemlerini ve sonraki planlarını açıklayan ayrıntılı bir rapor yayınladı ve etkilenen kullanıcılara nasıl tazminat ödeneceğini açıkladı.

GMX'in Saldırı Sebebi: "Yeniden Giriş Açığı" Kullanıldı

GMX'in resmi raporuna göre, bu saldırı 2025 yılının 9 Temmuz'unda saat 12:30 (UTC) gerçekleşti. Saldırganlar, Arbitrum üzerindeki GMX V1'in "yeniden giriş saldırısı" (re-entrancy attack) açığını kullandılar. Hack'ler, Vault sözleşmesindeki increasePosition fonksiyonunu doğrudan çağırarak, normal süreçte PositionRouter ve PositionManager sözleşmeleri tarafından ortalama kısa pozisyon fiyatının hesaplandığı mekanizmayı atladılar.

Saldırgan, Bitcoin'in ortalama açığa satış fiyatını 109,505.77 dolardan 1,913.70 dolara manipüle etti ve 1.45 dolardan GLP (GMX likidite tokeni) satın almak için flaş kredi kullandı. 15,380,000 dolarlık bir pozisyon açarak, nihayetinde GLP fiyatını 27 dolardan yukarıya iterek büyük kar elde etti.

Rapor, saldırı giriş noktasının OrderBook sözleşmesinin belirli bir fonksiyonu olduğunu belirtiyor. Bu fonksiyon nonReentrant modifikatörüne sahip olmasına rağmen, yalnızca aynı sözleşme içindeki tekrar girişleri önleyebiliyor ve çapraz sözleşme saldırılarını engelleyemiyor. Bu, DeFi protokollerinin karmaşık etkileşimlerde potansiyel güvenlik açıkları barındırabileceğini gösteriyor.

GMX'in ilk yanıt önlemleri ve sonraki planları

Bu bağlamda, GMX, açığı keşfettikten sonra hızla harekete geçti, Avalanche üzerindeki işlemleri durdurdu, kayıpların büyümesini engelledi ve Arbitrum, borsa, köprü protokolleri ve stablecoin ihraççıları (örneğin Circle, Tether, Frax) ile çalınan fonları izlemek için iletişime geçti. Aynı zamanda, zincir üzerindeki mesajlar aracılığıyla saldırganlarla bağlantı kurdu. GMX, GMX V2'nin benzer bir açığa sahip olmadığını daha da doğruladı, çünkü kısa pozisyonların ortalama fiyat hesaplaması ve emir yürütme aynı akıma içinde gerçekleştiriliyor.

Saldırı sonrası etkileri yönetmek ve kullanıcı haklarını korumak için GMX aşağıdaki somut planı önerdi:

Fon Dağılımı ve Tazminat Hazırlığı: Şu anda GLP havuzunda yaklaşık 3.6 milyon dolar değerinde token bulunmaktadır ve açık pozisyonlar nedeniyle tutulmaktadır. Arbitrum üzerindeki GLP'nin V1 ücreti yaklaşık 500 bin dolardır (GMX'e otomatik dönüşüm için alınan %30 ücret düşüldükten sonra) ve bu miktar GMX DAO hazinesine aktarılacak, etkilenen GLP sahiplerine tazminat için kullanılacaktır. Arbitrum üzerindeki GLP kalan fonları, etkilenen GLP sahiplerinin başvurabileceği tazminat havuzuna dağıtılacaktır.

GLP Mintleme ve İade Etme Devre Dışı Bırakıldı: Arbitrum üzerindeki GLP mintleme ve iade etme devre dışı bırakılacaktır. Avalanche üzerindeki GLP mintleme devre dışı bırakılacak, ancak iade etme işlevi açık kalacak ve kullanıcılara esnek bir şekilde işlem yapma imkanı sunacaktır.

Pozisyon ve Sipariş Yönetimi: Arbitrum üzerinde GLP'nin geri alınması devre dışı bırakıldıktan sonra, Arbitrum ve Avalanche üzerindeki V1 pozisyon kapama işlevi etkinleştirilecektir ve kullanıcıların mevcut pozisyonları kapatmalarına izin verilecektir. Ancak, V1 için pozisyon açma işlevi etkinleştirilmeyecek, böylece benzer saldırıların tekrar yaşanması önlenecektir. Arbitrum ve Avalanche üzerindeki mevcut V1 siparişleri artık yürütülmeyecek, kullanıcıların tüm V1 siparişlerini kendilerinin iptal etmesi gerekecektir.

Sonrası yönetişim tartışması: GMX DAO, kalan fonların adil dağıtımını sağlamak ve uzun vadeli önleme stratejileri geliştirmek amacıyla ek tazminat önlemleriyle ilgili bir yönetişim tartışması başlatacaktır.

esGMX staking desteği: Arbitrum ve Avalanche üzerinde, GLP kullanarak esGMX staking yapan kullanıcılar staking işlemine devam edebilir. Avalanche üzerindeki kullanıcılar istedikleri zaman GLP'yi geri alabilir, ancak GLP staking için kullanılmadıysa, geri almaları önerilir.

GMX V1 çatalları için öneriler: GMX, tüm V1 çatallı projelerin benzer saldırılara karşı iki önlem almasını önerir:

1. Kaldıraç işlevini devre dışı bırakın;

2. GLP üretimi kısıtlandı.

GMX'nin hack olayı, DeFi protokollerinin hızlı gelişim sırasında karşılaştığı karmaşık güvenlik zorluklarını bir kez daha gözler önüne serdi. GMX, hızlı bir şekilde yanıt vererek ayrıntılı bir rapor ve tazminat planı yayınladı, ancak bu olay, tüm DeFi katılımcılarına merkeziyetsizlik finansının sunduğu kolaylıkların tadını çıkarırken potansiyel akıllı sözleşme açıklarına karşı son derece dikkatli olmaları gerektiğini hatırlatmaktadır. Bu durum, tüm DeFi ekosistemini protokol güvenliği ve risk yönetimi konusunda daha derin bir düşünmeye sevk etmiştir.