Dünyanın en büyük kripto para borsası Binance, 29 Ekim’de gerçekleştirilen siber saldırıda yaklaşık 6,3 milyar dolarlık dijital varlığını kaybetti. Saldırganların Ethereum cüzdanlarından birini boşaltmak için kullandığı yazılım yalnızca 130 satırdan oluşuyordu. Ancak asıl güvenlik ihlali, bu kodun Binance’in para transferlerini yetkilendiren sistemlerini kullanabilmesiydi.
Kripto para tarihinin en büyük hırsızlığı olarak kayıtlara geçen olay, siber güvenlik şirketlerinden blokzincir araştırmacılarına, kripto borsalarından finans kuruluşlarına kadar bütün sektörde tartışılmaya başlandı. Tartışmalar, özel anahtarların korunmasının neden yeterli olmadığı, milyarlarca dolarlık transferlerin nasıl engellenemediği, müşteri varlıklarının güvenliği ve sektörün ortak savunma mekanizmaları üzerinde yoğunlaşıyor.
Binance, müşterilerin zararını kendi kaynaklarıyla karşılayacağını açıkladı. 31 Ekim itibarıyla çalınan varlıkların yaklaşık 3 milyar dolarlık bölümü dondurulurken şirket, kaybın yüzde 90’ının karşılığını yeniden oluşturduğunu duyurdu. Saldırının kesin nedeni ise henüz açıklanmadı.
Sektörün önde gelen uzman ve kuruluşlarının değerlendirmeleri şöyle:
TRM Labs
Saldırganlar blokzincirleri değil, Binance’in para transferlerini imzalayan altyapısını ele geçirmiş olabilir.
Blokzincir analiz şirketi TRM Labs’e göre saldırının en dikkat çekici yönü, birbirinden farklı teknolojiler kullanan çok sayıda blokzincirde neredeyse eş zamanlı transferler gerçekleştirilebilmesi. Bitcoin, Ethereum, Tron ve diğer ağların işlem onaylama mekanizmaları farklı olmasına rağmen saldırganlar bu ağların tamamında geçerli transfer talimatları oluşturabildi.
TRM Labs, en olası açıklamanın Binance’in sıcak cüzdanları adına işlem imzalayan sisteminin saldırganlar tarafından kullanılabilir hâle getirilmesi olduğunu değerlendiriyor. Bu durumda saldırganların tek tek cüzdanların özel anahtarlarını çalması gerekmiyor. Birden fazla cüzdana işlem onayı verebilen altyapıya erişmeleri yeterli olabiliyor.
Bu bulgu, finans kuruluşlarında farklı sistemlerin ortak bir yetkilendirme altyapısına ne ölçüde bağımlı olması gerektiği sorusunu gündeme getiriyor. Birden fazla cüzdan ve blokzinciri yöneten ortak sistemler operasyonel kolaylık sağlarken, ele geçirilmeleri durumunda kaybın çok sayıda sisteme yayılmasına da neden olabiliyor.
Simone Imbrescia – Immunefi
130 satırlık basit bir yazılımı milyarlarca dolarlık silaha dönüştüren şey, erişilen sistemin yetkileriydi.
Kripto güvenlik şirketi Immunefi’nin Başkan Yardımcısı Simone Imbrescia, saldırıda kullanılan yazılımın basitliğiyle yol açtığı kayıp arasındaki çelişkiye dikkat çekiyor. Ethereum’daki sıcak cüzdanı boşaltmak için kullanılan ve sweeper olarak adlandırılan akıllı sözleşme yaklaşık 130 satır koddan oluşuyordu. Bu kod, 6,3 milyar dolarlık saldırının tamamını gerçekleştirmedi; ancak Ethereum tarafındaki büyük para çıkışının araçlarından biriydi.
Imbrescia’ya göre saldırının karmaşıklığı, bu yazılımın kendisinden çok onu çalıştırabilecek yetkinin elde edilmesinde yatıyor. Kripto güvenliğinde özel anahtarların saklanmasına ve akıllı sözleşmelerin incelenmesine büyük kaynak ayrılıyor. Oysa anahtarları kullanan çalışanlar, uygulamalar ve operasyonel iş akışları da aynı güvenlik zincirinin parçaları.
Bu nedenle özel anahtarların fiziksel veya yazılımsal olarak korunması tek başına yeterli değil. Anahtarı kullanabilen sistem yetkisiz bir talebi kabul ettiğinde, kriptografik olarak tamamen geçerli ama gerçekte saldırganın istediği bir transfer gerçekleşebiliyor.
Dmytro Zap – Hacken
Milyarlarca dolarlık transferlerin önünü kesmesi gereken bağımsız güvenlik katmanları sorgulanmalı.
Siber güvenlik şirketi Hacken’in araştırmacısı Dmytro Zap, Binance’in Ethereum cüzdanında saldırganlara verilen yetkinin yaklaşık dört saat boyunca etkin kaldığını ortaya koyuyor. Bu sürede cüzdana yeni ulaşan varlıklar da saldırgan tarafından aktarılmaya devam etti. Binance’in söz konusu yetkiyi iptal etmesi, ilk büyük transferden yaklaşık üç saat 46 dakika sonra gerçekleşti.
Hacken, bu bulgulardan hareketle kripto borsalarının farklı blokzincir ve cüzdan grupları için ayrı imza sistemleri kullanmasını, cüzdan başına transfer tutarı ve işlem sıklığı sınırları koymasını, yeni alıcı adreslerine yapılan büyük transferlerde ikinci onay istemesini öneriyor. Ayrıca ele geçirilmiş olabilecek sistemden bağımsız çalışan bir acil yetki iptal mekanizmasının önemini vurguluyor.
Bununla birlikte Binance’in bu kontrollerin hangilerine sahip olduğu ve mevcut kontrollerin nasıl aşıldığı henüz bilinmiyor. Hacken’in incelemesi, güvenlik önlemlerinin tamamen bulunmadığını kanıtlamıyor; ancak saldırının neden bu ölçekte büyüyebildiğinin açıklanması için hangi soruların yanıtlanması gerektiğini gösteriyor.
Ido Ben-Natan – Blockaid
Güvenli imza sistemleri, kötü niyetli işlemleri geçerli kabul ettiklerinde koruma sağlamıyor.
Blokzincir güvenlik şirketi Blockaid’in kurucu ortağı ve CEO’su Ido Ben-Natan, saldırının Ethereum’un EIP-7702 adlı özelliğinden kaynaklandığı yönündeki yorumlara karşı çıkıyor. Bu özellik, bir cüzdanın belirli işlemleri bir akıllı sözleşmeye devretmesine izin veriyor. Saldırganlar bundan yararlanmış olsa da Ben-Natan’a göre yeterli imza yetkisine sahip olduklarında farklı yöntemlerle de para transferi gerçekleştirebilirlerdi.
Asıl sorun, saldırganların Binance’in imza altyapısına yetkisiz talimatlar kabul ettirebilmiş olması. Bir işlemin doğru anahtarla imzalanması, o işlemin gerçekten yapılması gerektiğini göstermiyor. Dolayısıyla yalnızca işlemin kim tarafından onaylandığını kontrol etmek yeterli bir güvenlik mekanizması oluşturmuyor.
Ben-Natan, işlemler onaylanmadan önce sonuçlarının simüle edilmesini öneriyor. Böylece örneğin normal bir ödeme talimatı gibi görünen işlemin gerçekte bir cüzdandaki bütün varlıkları başka adrese aktaracağı önceden tespit edilebilir. Bu yaklaşım, bankacılık ve diğer ödeme sistemlerinde de işlem içeriğinin bağımsız olarak doğrulanması açısından önem taşıyor.
Gaurav Agarwal – Bitquery
Binance’in para çekme işlemlerini durdurması, saldırganların para çıkarmasını tamamen engelleyemedi.
Blokzincir veri şirketi Bitquery’nin araştırmacısı Gaurav Agarwal, saldırıyı cüzdan hareketleri üzerinden yeniden inceledi. Araştırmaya göre 17 Binance sıcak cüzdanından dokuz blokzincirde yaklaşık 6,3 milyar dolarlık varlık çıktı. Transferlerin büyük bölümü kısa sürede gerçekleşse de Ethereum’daki kötü amaçlı yazılım yaklaşık dört saat boyunca etkili oldu.
Bitquery’nin en dikkat çekici tespitlerinden biri, Binance’in müşterilerin para çekmesini durdurmasının ardından da bazı varlıkların saldırganlara aktarılmaya devam etmesi. Ayrıca Tether’in dondurduğu 11 saldırgan cüzdanından altısının, dondurma işlemi gerçekleştiğinde zaten boşaltılmış olduğu belirlendi.
Bu bulgular, kriz anında müşterilere sunulan hizmetin durdurulması ile saldırganların sistemdeki yetkilerinin kaldırılmasının farklı işlemler olduğunu gösteriyor. Bir finans kuruluşunun şüpheli işlemleri durdurması, yalnızca yeni müşteri taleplerini engellemesine değil, ele geçirilmiş olabilecek bütün işlem yetkilerini geçersiz kılabilmesine de bağlı.
Oliver Knight – CoinDesk
Binance’in kendi cüzdanları olarak tanımladığı varlıklar, müşterilerin bakiyelerini karşılayan rezervlerin içindeydi.
CoinDesk muhabiri Oliver Knight, Binance’in rezerv kanıtı verilerini inceleyerek saldırıya uğrayan cüzdanların müşteri bakiyelerini karşılamak üzere bildirilen varlıklar arasında bulunduğunu ortaya koydu. Binance, saldırının ardından müşterilerin varlıklarının güvende olduğunu açıklamıştı. Ancak CoinDesk’in incelemesi, şirketin müşteri hesaplarının arkasındaki varlıklarda önemli bir kayıp oluştuğunu gösterdi.
CoinDesk’in 1 Ekim rezerv verilerinden hareketle yaptığı hesaplamaya göre, çalınan yaklaşık 204 bin 500 ETH yerine konmadığı takdirde Binance’in Ethereum yükümlülüklerini karşılama oranı yüzde 100’den yaklaşık yüzde 94’e düşebilirdi. Bu hesaplama, saldırının hemen ardından oluşabilecek duruma ilişkin bir tahmin; Binance’in güncel rezervlerinde yüzde 6 açık bulunduğunun kanıtı değil.
Bu ayrım, dijital varlık saklama hizmetlerinde müşteri hesap bakiyeleri ile bu bakiyeleri karşılayan gerçek rezervlerin birbirinden farklı olduğunu hatırlatıyor. Binance 31 Ekim’de çalınan varlıkların yüzde 90’ının karşılığını yerine koyduğunu açıkladı. Ancak rezervlerin güncel durumu, şirketin yayımlayacağı yeni verilerle bağımsız olarak değerlendirilebilecek.
Mark Karpelès – Karpeles Lab
Özel anahtarların çalınmadığı açıklaması, saldırının bütün teknik olasılıklarını ortadan kaldırmıyor.
2014 yılında büyük bir kripto para kaybının ardından çöken Mt. Gox borsasının eski yöneticisi ve Karpeles Lab CEO’su Mark Karpelès, saldırganların en az iki Binance cüzdanı üzerinde geçerli yetki elde etmiş olmasına dikkat çekiyor. Karpelès, bu durumun ilgili özel anahtarlara erişilmiş olabileceğini düşündürdüğünü belirtiyor.
Binance ise ilk incelemelerinde herhangi bir cüzdanın özel anahtarının sızdırıldığına ilişkin kanıt bulunmadığını açıkladı. İki değerlendirme arasındaki fark kritik. Çünkü saldırganların özel anahtarları doğrudan ele geçirmesi ile anahtarları saklayan sistemlere yetkisiz işlem imzalatması, farklı güvenlik açıklarına işaret ediyor.
Karpelès ayrıca Binance’in varlıklarını farklı sistemlere dağıtarak tek bir saldırının etkisini sınırlandırmaya çalıştığını, ancak buna rağmen ortaya çıkan kaybın son derece büyük olduğunu vurguluyor. Saldırının kesin teknik nedeni belirlenmeden özel anahtar hırsızlığı veya imza altyapısının ele geçirilmesi ihtimallerinden birini kesin sonuç olarak kabul etmek mümkün değil.
Elliptic ve Chainalysis
Kuzey Kore bağlantısı ve otomatik para aklama yöntemleri, saldırının organize bir operasyona işaret ettiğini gösteriyor.
Blokzincir araştırma şirketleri Elliptic ve Chainalysis, Binance saldırısının Kuzey Kore bağlantılı TraderTraitor grubuyla ilişkili olabileceğini değerlendiriyor. Chainalysis, Binance’ten çalınan varlıkların bir bölümünün daha önce Kuzey Kore bağlantılı olduğu değerlendirilen Bitget saldırısının gelirleriyle aynı adreslerde birleşmesini önemli bir delil olarak gösteriyor. Elliptic ise bu bağlantının sınırlı olduğunu ve aynı para aklama ağının farklı saldırganlar tarafından da kullanılabileceğini hatırlatıyor.
Şirketlerin incelemeleri, çalınan varlıkların binlerce işlemle farklı adresler arasında dolaştırıldığını ortaya koyuyor. Saldırganların, merkezi ihraççılar tarafından dondurulabilen stablecoin’leri hızla Ethereum ve diğer varlıklara dönüştürmeye çalıştığı görülüyor. Chainalysis ve Elliptic, bu işlemlerin önemli bölümünde otomasyon kullanıldığına ilişkin bulgulara ulaştı. Ancak otomasyonun yapay zeka ajanlarıyla mı yoksa geleneksel yazılımlarla mı gerçekleştirildiği belirlenebilmiş değil.
Elliptic’in 31 Ekim verilerine göre yaklaşık 2,85 milyar dolarlık varlık donduruldu veya saldırganın erişiminden çıkarıldı. Buna karşılık saldırganların kontrolünde, merkezi bir ihraççı tarafından dondurulamayan milyarlarca dolarlık varlık bulunuyordu. Bu tablo, kripto para ekosisteminde çalınan varlıkların izlenmesi ile geri alınmasının birbirinden farklı sorunlar olduğunu gösteriyor.
Star Xu – OKX
Kripto borsaları saldırıları durdurmak için gerçek zamanlı ortak bir erken uyarı sistemi kurmalı.
Binance’in rakiplerinden OKX’in CEO’su Star Xu, saldırının ardından sektör çapında ortak bir güvenlik mekanizması oluşturulmasını önerdi. Xu’ya göre bir kripto borsasında saldırı tespit edildiğinde diğer borsaların, stablecoin ihraççılarının ve ilgili kuruluşların hızla bilgilendirilmesini sağlayan gerçek zamanlı bir sistem gerekli.
Böyle bir mekanizma, saldırganların çaldıkları varlıkları farklı platformlara taşımasını veya başka kripto paralara dönüştürmesini zorlaştırabilir. Şüpheli adreslere ilişkin bilgilerin paylaşılması, ortak müdahale edilmesi ve gerekli durumlarda varlıkların geçici olarak dondurulması, Xu’nun öne çıkardığı önlemler arasında yer alıyor.
Bu öneri aynı zamanda sektörün merkezi koordinasyon konusundaki yaklaşımını da tartışmaya açıyor. Merkezi olmayan finansal sistemler geliştirmeyi hedefleyen kripto sektöründe büyük çaplı saldırıların engellenmesi, borsalar, token ihraççıları ve kolluk kuvvetlerinin koordineli hareket etmesine giderek daha fazla bağımlı hâle geliyor.
Tim Sun – HashKey Group
Dünyanın en büyük kripto borsasında yaşanan operasyonel kesinti, diğer platformlarda da likidite sorunlarına yol açabilir.
HashKey Group Kıdemli Araştırmacısı Tim Sun, Binance saldırısının etkilerinin çalınan varlıkların tutarıyla sınırlı kalmayabileceği uyarısında bulunuyor. Binance’in para yatırma ve çekme işlemlerini durdurması, farklı borsalarda aynı anda faaliyet gösteren piyasa yapıcıların sermayelerini platformlar arasında hareket ettirmesini güçleştirebilir.
Bu durum, alış ve satış fiyatları arasındaki farkların açılmasına, işlem maliyetlerinin yükselmesine ve piyasalardaki likiditenin azalmasına neden olabilir. Nitekim GSR’nin piyasa analisti Aravind Srinivasan, saldırının ardından Binance’in spot Bitcoin piyasasında alış ve satış fiyatları arasındaki farkın bir noktada normal düzeyin beş katına çıktığını bildirdi.
Sun’a göre saldırı, yatırımcıların merkezi kripto borsalarında tuttukları varlıkların güvenliğini, karşı taraf riskini ve likidite koşullarını yeniden değerlendirmesine neden olabilir. Bu değerlendirme, tek bir finansal kuruluşun operasyonel güvenlik sorununun diğer kuruluşların faaliyetlerini de etkileyebilecek bir risk hâline gelebileceğini gösteriyor.
Derinlemesine analiz için
Teknik incelemeler ve blokzincir araştırmaları
- TRM Labs – Binance saldırısının teknik incelemesi ve imza altyapısına ilişkin bulgular
- Hacken – Dmytro Zap’ın saldırı analizi ve güvenlik kontrol önerileri
- Bitquery – Gaurav Agarwal’ın cüzdan hareketlerine dayanan araştırması
- Elliptic – Dr. Tom Robinson’ın saldırı, varlık hareketleri ve Kuzey Kore bağlantısı araştırması
- Chainalysis – Binance saldırısı, TraderTraitor bağlantısı ve otomatik para aklama işlemleri
Uzman görüşleri ve sektörel değerlendirmeler
- The Block – Simone Imbrescia’nın 130 satırlık kod değerlendirmesi
- Cointelegraph – Ido Ben-Natan’ın imza sistemi ve EIP-7702 değerlendirmesi
- CoinDesk – Oliver Knight’ın Binance rezervlerine ilişkin incelemesi
- Reuters – Mark Karpelès, Tim Sun ve diğer analistlerin açıklamaları
- Reuters – Star Xu’nun ortak erken uyarı sistemi önerisi ve sektörün tepkileri
- Reuters – Binance’in 31 Ekim tarihli varlıkların yerine konmasına ilişkin açıklaması
