20 Eylül'ün erken saatlerinde, Singapur merkezli kripto para borsası BingX, bir güvenlik ihlali olduğunu doğruladı. Olay, şirket yetkililerine göre "küçük varlık kaybına" neden oldu. Ancak uzmanlar, milyonlarca doların çalınmış olabileceğini belirtmişti. Bu, son yıllardaki ilk büyük kripto para borsası saldırısı değil.
Piyasa değer kazandıkça, buna bağlı riskler de arttı. Merkezileşmiş kripto para borsaları, siber suçlular için dijital varlıklara giriş kapısı oldukları için hedef haline geldiler. Bu platformlar, kullanıcı fonlarında milyar dolarlar tutuyor ve bu nedenle eski zamanların geleneksel bankaları kadar çekici hale geliyorlar. Kripto paralar merkeziyetsizdir ve farklı borsaların farklı güvenlik seviyeleri vardır. Bu durum, para tarihinin en büyük hırsızlıklarından bazılarına yol açtı.
Borsa saldırılarındaki artış, kripto paralar hakkında önemli bir gerçeği gösteriyor: blok zincir teknolojisi güvenli olarak övülürken, kullanıcıların varlıklarını sakladıkları ve ticaret yaptıkları yerler hala saldırıya açık. Bu saldırıların çoğu, güvenlik protokollerindeki zayıflıklardan, kod hatalarından veya çalışanların dikkatsizliğinden yararlandı. Sonuç olarak milyonlarca dolar çalındı, kamu güveni sarsıldı ve kriptonun daha iyi bir altyapı olmadan geniş çapta benimsenip benimsenmeyeceği konusunda sorular ortaya çıktı.
BingX skandalı yaşanırken, son birkaç yılın en büyük 10 kripto para borsası saldırısına ve bu saldırılarda yaşanan teknik hatalara, mali etkilerine ve çıkarılan derslere bakalım.
1. Mt. Gox (2014) – Dev’in Düşüşü
2010'ların başlarında, Japon Mt. Gox borsası Bitcoin ticaretinde egemendi. Kripto paralar tarihindeki en ünlü saldırının gerçekleştiği yerdi.
Borsa, en yoğun zamanlarında dünya çapındaki tüm Bitcoin işlemlerinin %70’inden fazlasını yönetiyordu. Mt. Gox, Şubat 2014'te aniden ticareti durdurduğunda birçok kişi panikledi. Kısa bir süre sonra borsa iflas etti ve o zamanın değeri 450 milyon dolar olan 850.000 BTC'nin çalındığını açıkladı. Bugünün parasıyla bu miktar milyarlarca eder. Bu nedenle hikaye 10 yıl sonra bile oldukça korkutucu gelmektedir.
Saldırı birkaç yıl içinde gerçekleşti. Hackerlar, Mt. Gox cüzdanlarından Bitcoin'i yavaşça çıkararak şirketin sıcak cüzdanlarındaki zayıflıklardan ve şirket içindeki kötü güvenlik uygulamalarından yararlandılar. Ana sorun, borsanın işlem doğrulama sistemindeki bir zayıflıktı. "İşlem değiştirilebilirliği" adı verilen bu zayıflık, hırsızların işlem kimliklerini değiştirmesine ve fark edilmeden para almasına izin verdi.
Mt. Gox'un CEO'su Mark Karpeles daha sonra hırsızlıkla suçlanıp yakalandı. Bu saldırı, kötü yönetim ve yetersiz güvenliğin ne kadar tehlikeli olabileceğinin bir ders olarak kripto dünyasında hatırlanmaktadır. Çalınan Bitcoin'lerin bir kısmı bulunmuştur.
2. Coincheck (2018) – $500 Milyon NEM Soygunu
Ocak 2018'de Japonya merkezli borsa Coincheck'ten 500 milyon dolardan fazla değerinde NEM (XEM) tokenleri çalındı.
NEM işlemleri, Bitcoin işlemlerinden daha karmaşıktır çünkü birden fazla kişi tarafından onaylanmaları gerekir. Ancak bu, yardımcı olmadı. Nasıl mı? Ne yazık ki, Coincheck NEM'lerinin çoğunu "sıcak cüzdanlarda" tutuyordu. İnternete bağlı ve nispeten kolayca hacklenebilir cüzdanlarda.
Hackerlar Coincheck'in sunucularına sızdılar ve borsanın sıcak cüzdanına erişim sağladılar. Borsanın büyük sayıda varlık için çok imzalı cüzdan kullanmaması, önemli bir güvenlik açığıydı. Hackerlar içeri girdikten sonra NEM'i farklı hesaplara taşıdılar. Blok zincir teknolojisi değiştirilemez olsa da, Coincheck işlemleri geri alamadı çünkü NEM merkeziyetsizdir.
NEM blok zincirinin açıklığı, polisin çalınan paranın bir kısmını bulmasına yardımcı oldu, ancak büyük bir kısmı hala kayıp. Çalma olayının ardından Coincheck, etkilenen kullanıcılara kendi cebinden ödeme yapmak zorunda kaldı. Bu, Japonya'da borsaların hükümet tarafından daha sıkı denetlenmesine yol açtı.
3. Bitfinex (2016) – Çoklu İmza Açmazı
Ağustos 2016'da, büyük kripto para borsalarından biri olan Bitfinex, 120.000 BTC (yaklaşık 72 milyon dolar) çalınmasıyla sonuçlanan bir saldırıya uğradı.
Bir blok zincir güvenlik firması olan BitGo, Bitfinex'e çok imzalı cüzdan sistemi sağladı. Ancak, bu yapı saldırı nedeniyle kırılgan olduğu ortaya çıktı.
Hackerlar, Bitfinex'in güvenliğini aşıp sıcak cüzdanlarına erişim sağladılar. Bitfinex'in anahtar yönetimindeki güvenlik açıkları ve çoklu imza uygulamasındaki kodlama hataları, hackerların erişim elde edebilmesinin nedenleri olarak belirlendi.
Hem finansal etkisi hem de Bitfinex saldırısının sonrasında gösterilen yaklaşım kayda değerdir. Kaybolan fonları temsil etmek amacıyla borsa, kullanıcıların ticaret yapabilecekleri veya borsanın mali durumu düzelene kadar saklayabilecekleri bir token (BFX) oluşturdu. Bitfinex etkilenen müşterilere tazminat ödemesine rağmen, olay merkezileşmiş borsaların güvenliği ve çok imzalı cüzdanların kullanışlılığı konusunda şüphe oluşturdu.
4. Binance (2019) – Başarısız Olmayacak Kadar Büyük Bir Hedef
Mayıs 2019'da, hacim açısından en büyük kripto para borsalarından biri olan Binance'de büyük bir saldırı meydana geldi. Saldırı sırasında 7.000 BTC—yaklaşık 40 milyon dolar—çalındı. Bu, kripto endüstrisinde büyük bir olaydı.
Hackerlar, kullanıcı API anahtarları, 2FA kodları ve potansiyel olarak diğer iç bilgilere ulaşmak için bir dizi phishing, virüs ve diğer sofistike teknikler kullandılar.
Kullanılan karmaşık yöntemler nedeniyle Binance saldırısı dikkat çekiyor. Saldırı, son derece organize bir şekilde gerçekleştirildi ve Bitcoin tek bir hızlı işlemle geri çekildi, bu da alarm verdi.
Çekim işlemleri hemen durduruldu ve Binance tarafından bir acil yanıt başlatıldı. Kullanıcılar için şanslı olarak kayıplar, acil durumlar için özel olarak kurulan Binance'nin SAFU (Secure Asset Fund for Users) fonu tarafından karşılandı.
Platformun güvenlik sistemleri ihlal edilmiş olmasına rağmen, Binance'in protokolleri zararı minimize etmelerini ve hızla toparlanmalarını sağladı, diye belirtti Binance CEO'su Changpeng Zhao, sonrasında olayı ele alırken.
İhlal, hiçbir platformun sürekli olarak gelişen siber saldırılardan tamamen güvende olmadığına işaret etti.
5. KuCoin (2020) – $275 Milyon Hırsızlık
Singapur merkezli borsada KuCoin, Eylül 2020'de bir saldırı gerçekleşti ve yaklaşık 275 milyon dolar değerinde Ethereum, Bitcoin ve ERC-20 tokenleri çalındı.
Bir kez daha, borsanın sıcak cüzdanları ihlal edildi ve bu, önemli varlıkları çevrimiçi olarak tutmanın tehlikelerini gösterdi.
Çalınan miktarın büyüklüğü ve KuCoin'in hızlı tepkisi saldırıyı kayda değer kıldı. Çalınan fonların büyük bir kısmı hızla borsa tarafından donduruldu ve proje ekipleri ve blok zinciri firmalarıyla iş birliği yapıldı. Sonunda, çalınan fonların 200 milyon dolarından fazlası geri alındı.
KuCoin'in yanıtı, kripto güvenlik önlemlerinin ne kadar ileriye gittiğini, özellikle çalınan paranın transferini durdurmak veya geri almak için blok zinciri projeleriyle birlikte çalışabilme kapasitesini göstermiştir.
Ancak bu durum, merkezileşmiş borsaların tehlikeleri hakkında daha geniş bir tartışma başlattı ve sıcak cüzdan güvenliğinin iyileştirilmesi gerekliliğine dikkat çekti.
6. NiceHash (2017) – $64 Milyon Madencilik Saldırısı
Aralık 2017'de, Slovenya'daki NiceHash kripto para madencilik pazarı bir saldırıya uğradı ve o zamanlar yaklaşık 64 milyon değerinde olan 4.700 BTC çalındı.
NiceHash'ten para çaldıktan sonra, failler muhtemelen şirketin iç sistemlerine erişmek için sosyal mühendislik kullandılar.
Daha tipik saldırılardan farklı olarak, bu bir madencilik platformunu hedef aldı.
NiceHash kullanıcıları, hesaplama güçlerini Bitcoin karşılığında başkalarına kiralayan kişiler, büyük kayıplar yaşadılar. Yanıt olarak firma tüm işlemleri dondurdu ve kapsamlı bir soruşturma başlattı.
NiceHash, etkilenen kullanıcılara sonunda ödeme yapmış olsa da, olay tüm kripto para ekosisteminin, madencilik platformları da dahil olmak üzere, ne kadar savunmasız olduğunu gösterdi.
7. Liquid (2021) – $94 Milyon İstismar
Japonya borsası Liquid, Ağustos 2021'de gerçekleşen bir saldırıda 94 milyon doların üzerinde Bitcoin, Ethereum ve diğer kripto paralar kaybetti.
Hackerlar, Liquid'in sıcak cüzdanlarına erişim sağladıktan sonra varlıklar çeşitli adreslere taşındı. Daha fazla kayıp riski olduğunu fark edince, borsa parayı soğuk cüzdanlara aktardı.
Bunun ardından Liquid, hırsızları tespit etmek ve çalınan fonları geri almak amacıyla diğer borsalarla iş birliği yaptı. Fonların bir kısmı geri alınmış olsa da, olay sıcak cüzdanların savunmasızlığı ve dijital varlıkların anlık güvenliği konusundaki kalıcı endişeleri ortaya çıkardı.
8. Cryptopia (2019) – Küçük Bir Dev'in Düşüşü
Küçük boyutuna rağmen, Yeni Zelanda merkezli kripto para borsası Cryptopia kullanıcıları arasında büyük saygı görüyordu.
Ocak 2019'da gerçekleşen bir saldırı, borsanın yaklaşık 16 milyon değerinde kripto para kaybetmesine neden oldu. Cryptopia, saldırının ardından tüm işlemleri durdurdu ve borsa iflas etti.
Cryptopia'nın mağdurlarına ödeme yapacak çok az parası olduğu için saldırı, mağdurlar için özellikle kötüydü. Bazı kullanıcılar tüm varlıklarını kaybetti. Soruşturmalar, borsanın iç prosedürleri ve risk yönetimi konusundaki birçok güvenlik açığını ortaya çıkardı.
9. Zaif (2018) – $60 Milyon Saldırı
Eylül 2018'de Japon kripto para borsası Zaif'te gerçekleşen saldırı, yaklaşık 60 milyon dolar değerinde Bitcoin, Bitcoin Cash ve MonaCoin'in çalınmasına neden oldu.
Hackerlar, borsanın sıcak cüzdanlarına erişim sağladıktan sonra parayı taşımayı başardılar. Bir süre kimsenin fark etmediği bir durumdu.
Zararı telafi etmek için, Zaif'in ana şirketi Tech Bureau, işin kontrol hissesini başka bir Japon finansal hizmet sağlayıcısı olan Fisco'ya sattı. Hack sonucu Zaif geçici olarak operasyonları durdurmak zorunda kaldı ve Japon hükümeti kripto para borsaları üzerinde daha sıkı önlemler almaya başladı.
10. Bitmart (2021) – 150 Milyon Dolarlık Sıcak Cüzdan İhlali
Aralık 2021'de, dünya çapında bilinen bir bitcoin borsası olan Bitmart'ta büyük bir hack olayı yaşandı. Kullanıcıların yaklaşık 150 milyon dolar değerindeki parası saldırıda çalındı.
Borsadaki Binance Smart Chain (BSC) ve Ethereum (ETH) token'ları için kullanılan sıcak cüzdanlar, hackin gerçekleşmesine izin veren zayıf noktalardı. Hackerlar, Bitmart'ın cüzdan anahtarlarına eriştikten sonra borsanın cüzdanlarındaki kripto parayla istedikleri her şeyi yapabilme yeteneğine sahip oldular.
Saldırganların en karmaşık numaralarından biri, Safemoon, Shiba Inu (SHIB) ve diğerleri gibi birçok token için otomatik çekimler kurmuş olmalarıydı.
Güvenlik şirketi PeckShield, tuhaf işlemleri ilk fark eden ve herkesle paylaşan oldu. Kısa bir süre sonra, Bitmart CEO'su Sheldon Xia saldırıyı doğruladı ve zararları değerlendirebilmeleri için sitede yapılan para çekme ve para yatırma işlemlerini durdurdu.
Bitmart, kullanıcılarına kayıplarını kendi ceplerinden karşılayacaklarını hızlıca bildirdi.
Diğer hackler gibi, Bitmart hack'i de sıcak cüzdan depolama ile ilgili büyük güvenlik sorunlarına dikkat çekti. İnternete sürekli bağlı olan her şey saldırıya açık durumdadır.
Ancak, bundan daha fazlası var.
Bu tür saldırılar, merkezi borsaların ne kadar güvenilir olduğu ve kullanıcı paralarını ne kadar iyi koruyabildiklerini sorgulamaya neden olur.
Olay nedeniyle, birçok kişi güvenliğin sıkılaştırılması ve soğuk cüzdan depolamanın yaygınlaştırılması gerektiği sonucuna vardı, böylece benzer sorunlar tekrar yaşanmaz.