Optimism bu hafta, saldırganların ağda sahte iade yükleri oluşturmasına olanak tanıyabilecek kritik bir güvenlik açığını açıkladı. Hata, SDM doğrulama yolunda — özellikle Lagoon öncesi iade mantığında — bulunuyordu ve durumu yeniden hesaplamadan sahte iade taleplerini kabul ediyordu. Ekip, sorunu herhangi bir üretim zinciri etkilenmeden önce yamaladığını ve hiçbir fon kaybı yaşanmadığını belirtti.
Hatanın yaptığı
Güvenlik açığı, Optimism'in SDM doğrulama yolu olarak adlandırdığı, iade işlemlerini kontrol eden hassas bir altyapı parçasında bulunuyordu. Normalde sistem, iade tutarının orijinal yatırma işlemiyle eşleştiğinden emin olmak için yeniden hesaplama yapar. Ancak bu hata, yeniden hesaplamayı atlıyordu, bu nedenle sahte bir yük doğrulamayı geçebiliyordu. Bu boşluğu keşfeden herkes, en azından teoride, köprü sözleşmesinden fonları çekebilirdi.
Nasıl düzeltildi
Düzeltme, Lagoon yükseltmesi üretime geçmeden önce yapıldı. Bu önemli: Lagoon, Optimism'in bir sonraki büyük protokol güncellemesi ve güvenlik açığı içeren kod, Lagoon'un yerini aldığı eski iade yolunun bir parçasıydı. Ekip, sorunu dahili olarak tespit etti, yamaladı ve ardından tam açıklamayı Optimism yönetişim forumunda yayınladı. Düzeltmeyi tetikleyen herhangi bir dış araştırmacı veya istismar girişimi olmadı — bu proaktif bir yakalamaydı.
Açıklamanın önemi
Yamalandıktan sonra ciddi bir güvenlik açığını kamuya detaylı bir şekilde açıklamak kripto dünyasında hâlâ nadirdir. Çoğu ekip sessizce bir düzeltme yayınlar ve yoluna devam eder. Optimism'in teknik ayrıntıları — doğrulama yolu, iade mantığı, Lagoon öncesi bağlam — ortaya koyma kararı, diğer geliştiricilere nelerin yanlış gidebileceğine dair somut bir vaka çalışması sunuyor. Zamanlama mükemmel değil: açıklanan bir güvenlik açığı her zaman kaç tane benzer kör noktanın var olduğu sorusunu gündeme getirir. Ancak ekip, istismar penceresinin sıfır olduğunu açıkça belirtti.
Lagoon yükseltmesinin önümüzdeki haftalarda kullanıma sunulması bekleniyor ve etkilenen kodu tamamen ortadan kaldıracak. Şimdilik, bu açıklama, savaşta test edilmiş rollup'ların bile mantık boşluklarına sahip olabileceğini ve bunları istismar edilmeden yakalamanın asıl mesele olduğunu hatırlatıyor.
