Hacken’ın üçüncü çeyrek raporu, kripto saldırılarında 1,18 milyar dolar çalındığını ortaya koyarken yatırımcıların güvendiği güvenlik denetimlerinin platformun tüm sistemlerini kapsamayabileceğine dikkat çekti.
Blokzincir güvenlik şirketinin perşembe günü yayımladığı rapora göre temmuz–eylül döneminde 107 saldırı olayında yaşanan kayıplar, önceki çeyreğe kıyasla yüzde 55 arttı. Toplamın 906,8 milyon dolarlık kısmı; ele geçirilen tedarikçi veya geliştirici araçları, uygulanmayan güvenlik yamaları ve son incelemenin dışında bırakılan bileşenlerle ilişkilendirildi.
Denetim Rozetinin Arkasında Ne Var?
Hacken kurucu ortağı Andrii Matiukhin, temel sorunun denetimin kapsamı olduğunu söyledi. Fonlarla etkileşime giren bütün bileşenleri inceletmek maliyetli olduğundan bazı ekipler yalnızca kritik gördükleri bölümleri denetletiyor.
Bir projedeki belirli akıllı sözleşmeler incelenmiş olsa bile cüzdanlar, işlem imzalama sistemleri ve üçüncü taraf yazılımlar bu çalışmanın dışında kalabiliyor. Böylece yatırımcının gördüğü denetim rozetiyle kontrol edildiğini düşündüğü alan arasında önemli bir fark oluşuyor; saldırganlar da hiç test edilmemiş bir anahtar, tedarikçi ya da ayar üzerinden fonlara ulaşabiliyor.
Bitget Saldırısında Hedef Para Çekme Altyapısıydı
Rapor, dönemin en büyük olayı olarak eylüldeki Bitget saldırısını gösterdi. Hacken’ın bulgularına göre saldırganlar, üçüncü taraf bir güvenlik ürünündeki açıktan yararlanarak borsanın para çekme altyapısına erişti ve en az 352 milyon dolar çaldı.
Temmuz ayında ise üç kripto köprüsü ve zincirler arası protokol, altı saatlik bir saldırı sürecinde toplam 35 milyon dolardan fazla kayıp yaşadı. Bunun 24 milyon doları, saldırganların doğrulayıcı anahtarlarını ele geçirdiği AFX Trade’de gerçekleşti.
700 Milyon Dolarlık Varlıkta Anahtar Yönetimi Uyarısı
Hacken ayrıca 12 türev işlem platformu ve tahmin piyasasını inceledi. İki büyük platformdaki 700 milyon doları aşkın varlığın, dört anahtardan üçünün imzasını gerektiren bir düzene veya sahipleri kamuya açıklanmayan yönetici anahtarlarına bağlı olduğunu bildirdi.
Matiukhin, platformların adlarını paylaşmazken inceledikleri sistemlerde aktif bir güvenlik açığına dair kanıt bulmadıklarını vurguladı. Eleştiri, kullanılan anahtar yönetimi düzenlerinin korudukları varlıkların büyüklüğüne kıyasla yetersiz görülmesine dayanıyor.
Şirketin dikkat çektiği bir diğer sorun da bilinen açıkların zamanında kapatılmaması. Aynı yazılımı kullanan blokzincirler güncellemeleri farklı zamanlarda uygulayabiliyor; bazı ekipler kritik bir açığı düşük riskli sayarak düzeltmeyi geciktirebiliyor. Hacken, müşteri fonlarını tutan şirketlerin aylar veya yıllar önce tamamlanmış bir denetime güvenmek yerine güvenlik açıklarını sürekli takip edip yamaları zamanında uygulaması gerektiğini belirtiyor.
Yatırım tavsiyesi değildir.
