Bitget’te 387,5 milyon dolarlık ihlal: Çekimler ne zaman açıldı, müşteri kayıpları nasıl karşılanacak?

Bitget, 24 Eylül’deki güvenlik ihlalinde saldırganların kontrolündeki adreslere aktarılan varlıkların değerini yaklaşık 387,5 milyon dolar olarak güncelledi. İlk tahmin 351,6 milyon dolardı. Borsa, müşteri kayıplarının Kullanıcı Koruma Fonu kapsamında karşılanacağını belirtiyor. Bu sırada izleme raporları, fonların THORChain ve başka hizmetler üzerinden hareket ettiğini aktarıyor. Saldırının tam olarak nasıl gerçekleştiği ise henüz kesinleşmiş değil: Bazı haberlerde arka uçtaki cüzdan sisteminin ele geçirildiği öne sürülürken, mevcut kaynaklarda bu süreci doğrulayan tamamlanmış bir teknik açıklama bulunmuyor.63342

Güvenlik ihlalinde ne oldu?

Bitget, 24 Eylül saat 18.31 UTC’de bazı sıcak cüzdanlardan yetkisiz transferler tespit ettiğini açıkladı. İlk duyuruda sıcak ve ılık cüzdan katmanlarının bir bölümünün etkilendiği, soğuk cüzdanların ise güvende olduğu belirtildi. Sonradan açıklanan yaklaşık 387,5 milyon dolarlık tutar, saldırganların kontrolündeki adreslere gönderilen varlıkların daha ayrıntılı izlenmesi ve sınıflandırılmasıyla ortaya çıktı.216

Bir haber, saldırganların arka uçtaki cüzdan sistemini ele geçirerek Bitget’in imzalama sürecine sahte transferler ilettiğini öne sürdü.33 Başka bir haber ise kapsamlı bir teknik açıklama yapılana kadar saldırı yönteminin tam olarak belirlenmediğini aktardı.42 Bitget, temel güvenlik açığını tespit edip giderdiğini söyledi; ancak bu açıklama, saldırı yöntemine ilişkin haberlerdeki her ayrıntıyı tek başına doğrulamıyor.618

Çekimler için açıklanan takvim

Bitget, çekim hizmetlerini UTC saatine göre aşamalı biçimde yeniden açmayı planladı. Bu takvim, hizmetlerin belirtilen saatlerde yeniden devreye alınmasına yönelik bir plandı; tüm çekimlerin o saatlerde kesin olarak kullanılabilir olacağı anlamına gelmiyordu. Bitcoin çekimlerinin 28 Eylül saat 08.00 UTC’de yeniden başladığı bildirildi.420

Planlanan zaman	Çekim hizmetleri
28 Eylül, 08.00	Bitcoin ve BSC ağlarında BTC
29 Eylül, 08.00	Ethereum, BSC, Arbitrum, Base ve Optimism ağlarında ETH
30 Eylül, 08.00	Ethereum, BSC, Solana ve Tron ağlarında USDT
2 Ekim, 08.00	Diğer tokenlar, itibari para ve P2P çekimleri

Borsa, çekimleri yeniden açmadan önce altyapıda ek güvenlik kontrolleri yaptığını açıkladı. Ayrı bir duyuruya göre Bitget’in Onchain işlem hizmeti de güvenlik incelemesi sırasında geçici olarak kullanılamadı; kaynakta hizmetin yeniden başlayacağına ilişkin kesin bir saat verilmedi.182017

Bitget müşteri kayıplarını nasıl karşılayacağını söylüyor?

Bitget, kaybın Kullanıcı Koruma Fonu kapsamına girdiğini belirtti. O sırada fonun değerinin yaklaşık 464 milyon dolar olduğu bildiriliyordu. Bu, borsanın açıkladığı bir karşılama taahhüdü; mevcut kaynaklar müşteri tazminatlarının tamamlandığını doğrulamıyor.46

Çalınan fonların izi nereye uzanıyor?

Haberlerde, saldırganın çalınan ETH’leri THORChain üzerinden Bitcoin’e çevirdiği aktarıldı. Bitget, zincirler arasında takas yapılmasını sağlayan bu protokolden ihlalle bağlantılı adreslere hizmet vermemesini istedi. THORChain bu talebi kabul etmedi; haberlerde fonların daha sonra da protokol üzerinden hareket ettiği belirtildi. Olay, şüpheli çalıntı varlıkların transferini durdurma çabasıyla THORChain’in izinsiz ve açık çalışma modeli arasındaki gerilimi gündeme getirdi.58

Circle ve Tether’ın olayla bağlantılı bazı stabilcoinleri dondurduğu bildirildi. Bir haberde tutar yaklaşık 318 bin dolar, başka bir haberde ise yaklaşık 339 bin dolar olarak verildi. Mevcut kaynaklar bu farkı açıklığa kavuşturmadığı için rakamları kesinleşmiş toplamlar değil, tahminler olarak değerlendirmek gerekiyor.23

Bitget ayrıca, uygun görülen fonları dondurmaya ve geri kazanmaya yardımcı olanlara ayrı ayrı yüzde 5 ödül teklif eden bir kurtarma programı başlattı.19 Başka bir haber, saldırganla ilişkilendirilen 4 BTC’nin bir gizlilik aracı olan Wasabi CoinJoin üzerinden aktarıldığını bildirdi.10 Bu gelişmeler fonları izleme çabasının bazı adımlarını anlatıyor; kaybın tamamının geri alındığını göstermiyor.

Hangi noktalar hâlâ belirsiz?

Bitget, güvenlik açığının giderildiğini; güvenlik doğrulama çalışmalarının ve fon takibinin sürdüğünü söylüyor. Soruşturmaya Mandiant ve SlowMist de destek veriyor.618 Mevcut haberler saldırının failini doğrulamıyor. Ayrıca çalınan toplam tutarın tamamının geri alındığına veya tüm müşteri tazminatlarının ödendiğine dair bir kanıt sunmuyor.