Binance CEO’su 6,3 milyar dolarlık siber saldırıda yeni bulguları açıkladı

Soruşturma Dizüstü Bilgisayarın Ötesine Genişledi

Binance'in eş CEO'su Richard Teng, 6,3 milyar dolarlık siber saldırıyı soruştururken, başlangıçta şüpheli görülen mühendisin dizüstü bilgisayarının ötesinde ek güvenlik ihlali noktaları tespit ettiklerini söyledi.

30 Ekim'de paylaşılan bir videoda Teng şunları söyledi: "Bu saldırı tek bir kişi tarafından gerçekleştirilmedi. İlk soruşturmamız, güvenlik olayının ele geçirilmiş bir dizüstü bilgisayarla ilgili olabileceğini gösteriyordu, ancak sonraki soruşturmamızda başka güvenlik ihlali noktaları da ortaya çıktı."

Teng, kanıtların yok edilmesini şöyle anlattı:

"Bu karmaşık bir saldırıydı. Saldırgan, işleyişi sırasında araçları ve izleri yok eden bir kendini imha mekanizması da kullandı; bu da bizim iz sürmemizi ve soruşturmamızı daha da zorlaştırdı."

Saldırı sürecini açıklayan önceki açıklamasında şunları vurguladı: “Açıkça belirtmek gerekirse: Saldırgan sadece bir mühendisin izinlerini kullanmadı ve bu tek bir ‘tek tıklama’ eylemiyle gerçekleşmedi. Daha karmaşık bir saldırı süreci söz konusuydu. Soruşturmamız sonucunda sorumluluk herhangi bir kişiye atfedilmedi.”

İmza Kontrolleri Mercek Altında

Onay hatasını açıklayan Teng, şunları söyledi: "Saldırgan, bir sıcak cüzdan üzerinden zincir üzerinde yürütme onayı almak için bilinen bir çoklu imza protokolü olan EIP-7702'yi kullandı. Bu yetki devri, normal onay kontrollerimizden geçmedi." Yönetici sözlerine şöyle devam etti:

"Bu nedenle, tüm altyapı sistemini araştırmak, yeniden kurmak ve yeniden test etmek için para çekme hizmetini askıya almamız gerekiyor."

Ethereum’un EIP-7702 özelliği, bir cüzdanın varlıkların taşınması da dahil olmak üzere akıllı sözleşme koduna kendi adına hareket etme yetkisi vermesine olanak tanır. Kötü amaçlı kodun yetkilendirilmesi, saldırgana bu varlıklar üzerinde kontrol sağlayabilir; buna karşın çoklu imza onayı, birden fazla imza gerektiren ayrı bir kontrol mekanizmasıdır.

Binance’in imza sistemlerine ilişkin bağımsız TRM Labs analizi, blok zincirleri genelinde imza altyapısının güvenliğinin ihlal edildiğine işaret etti. Şirket, saldırganların Binance sistemlerini transferlere yetki vermeye zorlayabildiğinin kanıtı olarak, farklı anahtarlar ve imza şemaları kullanan cüzdanlardan gelen geçerli imzaları gösterdi. Bu bulgu, işlem imza süreci üzerindeki kontrolü ilgilendirirken, Teng ise özel anahtar sızıntısına dair herhangi bir kanıt bulunmadığını bildirmişti.

Bunun dışında, Elliptic’in ihlale ilişkin zincir üstü değerlendirmesi, Ethereum’da 50 adet önceden imzalanmış yetkilendirme tespit etti. Bunlardan biri, saldırganın kontrolündeki koda yetki devrini mümkün kılıyordu ve bu kod, yeni fonlar geldikçe etkilenen cüzdanı defalarca boşaltıyordu.

Şirket Fonları Tazminat Taahhüdünü Destekliyor

Teng, kayıpları karşılamak için ayrılan kurumsal fonların 6,34 milyar doları aştığını söyledi. Bu tutarın 5 milyar doları, USDC, USDT, BTC, ETH ve BNB dahil olmak üzere etkilenen tokenlerde zaten tutuluyordu. Kalan token alımları, saldırıdan etkilenen varlıkların yerine konması amacıyla piyasa ve tezgah üstü kanallar aracılığıyla devam ediyordu.

Videoda Binance CEO'su, tüm kayıpları karşılamak için şirket fonlarını taahhüt ederken, daha önceki açıklamalarda "Kullanıcılar için Güvenli Varlık Fonu" (SAFU) da belirtilmişti. Teng, müşterilere şu güvenceyi vermişti:

"Sonuç olarak, paranız güvende ve her türlü zararı karşılayacağız."

Teng, bu telafiyi mümkün kılanın şirketin elinde tuttuğu kripto kazançları olduğunu belirtti ve iş ile güvenliğe yönelik uzun vadeli yeniden yatırımlardan bahsetti.

Borsa tarafından saklanan varlıklar konusunda ise şunları söyledi: "Müşteri fonlarını ASLA kullanmıyoruz, bu nedenle bu fonlar etkilenmez. Bu olayda etkilenen, Binance'in kendi sıcak cüzdanıydı. Kullanıcı varlıkları, Binance’in yerleşik güvenlik mimarisi kapsamında tutulmaktadır. Bunların büyük çoğunluğu soğuk cüzdanlarda bulunur ve yalnızca bir kullanıcı para çekme işlemi yaptığında sıcak cüzdana aktarılır.”

Para Çekme Hizmetinin Yeniden Başlatılması Test Sonuçlarını Bekliyor

Teng, para çekme işlemlerinin yeniden başlatılması için gerekli koşulları şöyle özetledi: "Para çekme hizmetini yeniden kuruyoruz ve hizmet, titiz testlerden geçene kadar yeniden devreye almayacağız." Ayrıca şunları da paylaştı:

"Kullanıcıların, 40 saat içinde tamamlanması planlanan Pazar günkü son tarihten önce para çekebileceklerini umuyoruz."

Şirket çapında yürütülen güvenlik incelemesi, müdahale kapsamında uç noktaları, bulut altyapısını, anahtar yönetimini ve imza sistemlerini inceliyordu.

Daha önceki güncellemelerde, para yatırma işlemlerinin normal seyrettiği, etkilenen adreslerin yetkilendirmelerinin iptal edildiği ve ortaklardan gelen yaklaşık 3 milyar dolarlık varlığın dondurulduğu bildirilmişti. Kolluk kuvvetleri, blok zinciri istihbarat firmaları, token ihraççıları ve diğer borsalar, varlıkların geri kazanılması ve sorumluların belirlenmesi için çalışmalar yürütüyordu. Teng, kullanıcılara sabırları için, ortaklara ise hızlı yardımları için teşekkür ederek, Binance’in kullanıcıları zararsız bırakmak için aralıksız çalıştığını belirtti.

Teng, soruşturmacıların bulguları doğrulamasının ardından teknik bir değerlendirme yapılması planlarının yanı sıra, endişeli kullanıcılara bakiyelerini kontrol etmelerini ve destek ekibiyle iletişime geçmelerini tavsiye etti. Teng, 2 Kasım Pazartesi gününe kadar tam bir rezerv kanıtı raporu sunacağını taahhüt ederken, raporun ilk versiyonunun daha erken bir tarihte yayınlanabileceğini belirtti.