Coinex Kurucusu: Binance saldırısı, tamamen önlenebilir 3 açığı gösterdi

Sektörün Deneyimli İsimlerinden Yorumlar

Rakip borsa Coinex'in kurucusu, kripto tarihinin en büyük hırsızlığı hakkında görüş bildirerek, Binance'deki güvenlik ihlalinin "tamamen önlenebilir en az üç kritik hatayı" ortaya çıkardığını belirtti. Yang ayrıca, bunun gelişmiş teknoloji eksikliğinden ziyade operasyonel disiplin eksikliğinden kaynaklanan bir başarısızlık olduğunu ekledi.

Yang'ın bu yorumları, Binance'in 29 Ekim'de sıcak cüzdanlarından yaklaşık 6,34 milyar dolarlık varlığın çalındığını açıkladığı güvenlik ihlalinin yarattığı sarsıntıyla uğraştığı bir dönemde geldi. FBI, saldırıyı Kuzey Kore'nin Tradertraitor grubuna atfetti.

Üç Hata

Yang'ın listesi şu şekildedir:

• İş ve kişisel bilgisayar kullanımı birbirinden ayrılmamıştı: Yang, geliştirme ve operasyon ortamlarının "tamamen izole edilmediğini" söyledi. Üretim sistemlerine erişimi olan personelin, özel cihazlar kullanması gerektiğini savundu (tüm kodlama, sohbet ve web tarama işlemlerinin ayrı bir makinede yürütülmesi). Bu nokta, Binance'in en son olay sonrası analizinde açıkladıklarıyla doğrudan örtüşüyor.
• Tek bir kimlik bilgisi üretim hizmetlerini çalıştırabiliyordu: Yang, üretim hizmetlerini çalıştırmak için tek bir kimlik bilgisinin yeterli olduğunu, yani tek bir sızıntının saldırganlara tam erişim sağladığını belirtti. Tek bir çalınan kimlik bilgisinin bir güvenlik ihlaline yol açmaması için, Amazon Web Services'in (AWS) Session Manager'ına benzer, donanım güvenlik anahtarlarını ikinci faktör olarak kullanan tarayıcı tabanlı bir oturum yöneticisi önerdi.
• Çoklu imza sadece kağıt üzerinde. Yang’ın üçüncü noktası, imza yetkisini birkaç taraf arasında bölen bir yöntem olan Binance’in çok taraflı hesaplama (MPC) kurulumunu hedef aldı. İmzalayanların işlemleri anlamlı bir şekilde doğrulamadığını, bu nedenle tek bir düğümün ele geçirilmesinin tek bir imzayla aynı etkiye sahip olduğunu söyledi. Çoklu imzanın, ancak her bir imzalayanın yukarıdan gelen talebe güvenmek yerine işlemi bağımsız olarak kontrol etmesi durumunda işe yaradığını savundu.

Binance’in Olaylara İlişkin Açıklaması

Binance'in kendi açıklaması, Yang'ın eleştirisinin ana hatlarını destekliyor. Ortak CEO Richard Teng, CNBC'ye verdiği demeçte, sahte iş görüşmelerinin ardından saldırganların "iç yapay zeka araçlarımızda şiddetli bir şekilde ilerlediklerini" ve "cüzdan işlemlerimizi onaylayan sisteme" erişim sağladıklarını söyledi. Bitcoin.com News’in bildirdiği gibi, olay sonrası analiz, bu güvenlik ihlalini sahte bir iş görüşmesi ve ele geçirilen yapay zeka (AI) araçlarıyla ilişkilendirdi.

Borsa, o zamandan beri etkilenen cüzdan sistemini yeniden kurdu, cihazları değiştirdi, kimlik bilgilerini iptal etti ve cüzdan hizmeti risk kontrollerini güçlendirdi. Teng ayrıca Fox Business'a "şirketin tüm sorumluluğu üstlendiğini" söylerken, etkilenen varlıkların %98'inin telafi edildiğini de belirtti.

Bu saldırıyı bir risk yönetimi başarısızlığı olarak değerlendiren tek ses Yang değil. Zero Knowledge Group kurucusu Austin Campbell, kripto medyasına "kripto, teknoloji sektörü dışında güvenlik için hiçbir zaman tasarlanmadı" dedi ve ardından milyar dolarlık transferlerin 24 saat süreyle askıya alınmasını talep etti.

Kendi Cebinden Zarar Gören Bir Eleştirmen

Yang’ın eleştirisi alışılmadık bir arka plana sahip; zira Eylül ayında Coinex’in düzenli bir şekilde faaliyetlerini sonlandıracağını ve para çekme işlemlerinin 22 Aralık 2026’ya kadar açık kalacağını duyurmuştu. O zamanlar, bir borsa işletmenin getirdiği güvenlik ve uyum risklerinin kontrol edilmesinin giderek zorlaştığını belirterek, "sınırlı gelir karşılığında sınırsız risk üstlenmek artık rasyonel bir seçim değil" demişti.

Diğer bir deyişle, Binance'in başarısızlıklarını mercek altına alan kurucu, aynı riskleri kendi şirketinde üstlenmeye değmeyeceğine karar verdi.

Son olarak, Yang’ın önerdiği çözümlerin hiçbirinin sıra dışı olmadığını belirtmek gerekir; yani cihaz ayrımı, donanım anahtarları ve bağımsız imza kontrolü, tüm büyük şirketler için standart tavsiyelerdir. Binance gibi kaynaklara sahip bir şirketin bu açıklar yüzünden mağlup olması, onun paylaşımını daha da acı kılan unsurdur.

Her halükarda bedeli ağır oldu; bir analize göre Binance, para cezaları ve siber saldırılar nedeniyle beş yıllık kârının yaklaşık yarısını kaybetmiş olabilir. Hackerların çaldıkları fonları 12.000 cüzdana dağıttığı göz önüne alındığında, diğer borsalar da muhtemelen Yang’ın az önce sorduğu soruyla karşı karşıya kalacak: Temel güvenlik önlemleri gerçekten yerinde mi?