Yazımızda DeFi platformları üzerinde oluşan sandwich saldırısı kavramının, nasıl yapıldığını ve bu saldırıya karşı alınması gereken güvenlik tedbirleri üzerinde konuşmaya çalışacağız.
Sandwich saldırısına karşı çok çeşitli güvenlik zırhının bulunmadığını belirtmekle beraber yine de var olan ama araştırılması gereken yöntemi de paylaşacağız. Başlayalım…
Sandwich Saldırısı Kimi Hedef Alır?
Akıllı sözleşmelerdeki güvenlik zafiyetleri ya da hata durumları, yatırımcılara endişe verir. Siber saldırganlar, akıllı sözleşmelerdeki güvenlik açıklarını değerlendirerek flash loan ve rug pull olmak üzere çeşitli eylemlere girişir.
Sandwich saldırısı kavramı, merkeziyetsiz finans dünyasında yalanan diğer siber saldırılar kadar yaygın olarak bilinmemek ile beraber kripto yatırımcılarının dikkatle yaklaşması gereken güvenlik konuları arasında bulunur.
Blokzincir üzerindeki saldırılara karşı, saldırı türünün tanımını, nedenini, vereceği sonuçları ve bu saldırılara karşı nasıl tedbir alınacağı konusunda bilgi edinmek ve ona göre hareket etmek, yatırımcılar için hayati önemdedir. Merkeziyetsiz finans protokol ve ortamlarını hedefleyen bir sandwich saldırısı daha çok piyasa manipülasyonu ile sonuçlanmasıyla bilinir.
Sandwich Saldırısı Nasıl Gerçekleşir?
Sandwich saldırısı, merkeziyetsiz finans yapılarını hedefine alır.
Sandviç saldırısı sırasında saldırgan, saldırı yapacağı ağ üzerinde bekleme halinde bulunan işlem aramasına girişir. Bu işlemin bulunmasından sonra ise saldırı, işlem öncesi ve sonrası bir emir verilmesinin ardından yapılır. Saldırgan, bekleyen işlem arasında sıkıştırılmış bir şekilde hem işlem önünde hem de arkasında bulunur.
Saldırgan, iki emri verdikten sonra bekleyen işlemlerin çevresinde de bulunarak varlığın fiyatında manipülasyon yapmayı amaçlar. Örneğin, saldırganın Ethereum’un fiyat artışı beklentisi ile birlikte UNI çiftini düşündüğünü varsayalım.
Saldırgan ilk önce ticaretini yaptığı varlığı satın almaya çalışır. Sonrasında diğer varlığın daha yüksek bir değer ile satın alınmasına izin vermek için daha düşük bir fiyat üzerinden Ethereum satın alır. Saldırgan en sonunda da Ethereum’u daha yüksek bir fiyata satmayı başarır. Verdiğimiz örnek üzerinden devam edersek sandwich saldırısı sonucunda kullanıcının almak istediği Ethereum miktarını etkilenir. Saldırgan, emri istediği fiyata getirdiği için bir sonraki ticaret maliyeti daha da yükselir. Bunun sonunda Ethereum fiyatında yaşanan artışla saldırganın kârına izin verilmiş olur.
Sandwich Saldırısının İncelikleri
Örneğimizdeki gibi bir sandwich saldırısı meydana getirmek kolay gibi algılanabilir. Ancak bu saldırı türü hiç de kolay değildir. Saldırgan, bir sandwich saldırısı yapabilmek için saldırı adımlarını tamamı ile pratiğe yansıtması gerekir.
Saldırganlar, sandwich saldırısı için merkeziyetsiz finans ortamlarında en çok neyi dikkate alır?
Sandwich saldırılarının büyük bir kısmı, Uniswap, PancakeSwap ve SushiSwap gibi ortamlar üzerinde yapılması ile bilinir. Bu merkeziyetsiz ortamlardaki algoritmalar ile mevcut likidite, yatırımcılar tarafından her zaman yüksek talep görmesi ile bilinir ve işlemlerde süreklilik sağlanır. Bunun yanında bu ortamlarda bir varlığın hacminde ve likiditesinde meydana gelen slipaj, yatırımcıları olumsuz etkiler.
Burada slipaj kavramını açıklamayı faydalı görüyoruz. Slipaj, devam eden kripto işlemini tamamlama sırasında verilen emrin fiyatı ile emrin sonucunda oluşan fiyat arasındaki fiyat kayması şeklinde tanımlanır.
Sandwich Saldırısı Senaryosu
Saldırgan, yazımızda bahsettiğimiz merkeziyetsiz finans ortamlarının birinde bekleme halindeki bir işlemi bulup seçerek saldırı hareketine girişir. Burada platformlarda bekleyen işlemlerin alacağı onay sırasını madencilerin kararlaştırdığını belirtmeliyiz. Saldırgan, diğer kişiden daha yüksek seviyede bir işlem ücreti verdiği için saldırıda başarının gelmesi mümkündür.
Konuyu açıklamak için bir örnek vermeye çalışalım. Saldırgan ve alıcı olarak iki yatırımcının bulunduğunu düşünelim. Alıcı, işlem yapmak istediği platformda dilediği iki kripto varlık çiftini seçerek swap işlemini yapmaya çalışır. Bu işlem tamamlanmadan önce saldırgan daha yüksek işlem ücreti ödemesi ile iki kripto varlık çiftinden birini satın alır.
Saldırgan, daha fazla işlem ücreti ödediğinden blokzincir üzerindeki madencileri tarafından işlem daha öne alınacaktır. Bu nedenle alıcının işlemi daha sonra gerçekleştirilir. Saldırganın alış ve satış işlemleri, alıcının öncesinde ve sonrasında bulunması nedeni ile saldırgan öncelikle aldığı kripto fiyatını artırmış, sonra da ortaya çıkan slipaj ile bu yüksek fiyatla alıcıya satma olanağı elde eder.
Sandwich Saldırılarından Korunmak İçin Ne Yapmalı?
Merkeziyetsiz finans ortamlarında yapılan işlemlerde yatırımcıların sandwich saldırılarından korunması için tedbirli olmaları gerekir. Bunun için bazı savunma mekanizmaları geliştirmeleri önemlidir.
1inch platformu sandwich ve benzer saldırılardan korunmak için flashbot transactions ismi ile bilinen ve bellek üzerinde bulunmadığı için görünmemesi ile öne çıkan yeni bir emir türü olanağı vadediyor.
Kripto yatırımcılarının sandwich saldırılarına karşı korumalarının yolu olarak 1inch platformunun sunduğu çözüm araştırılıp incelendikten sonra değerlendirmeye alınabilir. Diğer merkeziyetsiz platformların blokzincir madencileri ile işlemleri bellek üzerinde göstermeden blokzincir üzerine alması için anlaşma sağlanmasında bir mesafe kaydedilemedi. Sandwich saldırıları ve diğer saldırılar için başka güvenlik çözümlerine ihtiyaç ortadadır. Ancak bunun için biraz daha beklemek gerektiği görülüyor.
