Coinbase’in 4 Kasım’daki açıklaması bir güvence mesajıydı, güvenlik garantisi değil. Şirket, 29 Ekim’deki Binance saldırısından etkilenmediğini ve sistemleriyle müşteri varlıklarının güvende olduğunu söyledi. Ayrıca müşteri varlıklarının yüzde 99’dan fazlasını soğuk depoda, yani çevrimdışı tuttuğunu bildirdi. Bu oran Coinbase’in kendi beyanı: mevcut haberler rakamı bağımsız biçimde doğrulamıyor veya arkasındaki kontrolleri sınamıyor.
18
19
20
Coinbase hangi güvenlik önlemlerinden söz etti?
Coinbase, müşteri varlıklarını katmanlı bir sistemle koruduğunu anlatıyor. Şirket, varlıkların büyük bölümünü çevrimdışı tuttuğunu; müşteri işlemlerini karşılamak için ise daha küçük bir miktarı internete bağlı sıcak cüzdanlarda bulundurduğunu belirtiyor. Haberlere göre sistemde dağıtık özel anahtarlar, para çekme limitleri ve olağan dışı hareketleri izleme mekanizmaları da var. Coinbase, acil durumda imza işlemlerini durdurabileceğini söylüyor.
20
22
24
Şirket ayrıca müşteri varlıklarının bire bir karşılığının bulunduğunu, müşterilerin mülkiyetinde kaldığını ve müşteri talimatı olmadan ödünç verilmediğini veya kullanılmadığını ifade ediyor. Bu açıklamalar saklama ve mülkiyet konularına ilişkin; ancak transferlerin onaylanma sürecindeki her adımın güvenli olduğunu tek başına kanıtlamıyor.
26
32
Buradaki önemli nokta şu: eldeki bilgiler ağırlıklı olarak şirketin açıklamalarına ve bu açıklamaları aktaran haberlere dayanıyor. Bu veriler, söz konusu kontrollerin benzer her saldırıyı önleyeceğini bağımsız olarak göstermiyor.
Binance saldırısında ne yaşandı?
Binance, 3 Kasım tarihli ilk güncellemesinde saldırıdan etkilenen varlıkların yaklaşık 6,34 milyar dolar olduğunu, yaklaşık 2,85 milyar doların ise dondurulduğunu veya transferinin engellendiğini bildirdi. Şirket, rakamların uzlaştırma çalışmaları ve piyasa fiyatlarındaki değişiklikler nedeniyle farklılaşabileceğini belirtti.
50 4 Kasım’da yayımlanan haberlerde Binance’in etkilenen varlıkların yaklaşık yüzde 98’ini yerine koyduğu aktarıldı. Ancak varlıkları yerine koymak, saldırganlardan geri almakla aynı şey değil.
20
Saldırıya ilişkin haberlerde sahte işe alım görüşmeleri, zararlı yazılım, ele geçirilmiş bir çalışan bilgisayarı ve şirket içindeki bir yapay zekâ aracından oluşan bir zincir anlatıldı. Sonraki haberlerde saldırganların işlem yetkilendirme mekanizmalarını kötüye kullandığı da aktarıldı.
7
47 Binance’in ilk açıklamasında, cüzdanların özel anahtarlarının sızdırıldığına dair kanıt bulunmadığı belirtildi.
40 FBI ise hırsızlığı Kuzey Kore bağlantılı TraderTraitor grubuna atfetti.
1
Bu ayrım önemli: Bir borsa özel anahtarlarını korusa bile, saldırganlar işlemleri onaylayan sistemlere veya süreçlere erişim sağlarsa risk devam edebilir. Haberlere göre Binance saldırısında müşterilerin bireysel hesapları değil, şirket varlıkları etkilendi. Buna rağmen BBC’nin aktardığına göre borsa yeniden açıldıktan sonra müşteriler 3,6 milyar dolarlık varlık çekti.
12
2
Soğuk depolama neden tek başına yeterli değil?
Soğuk depolama, müşteri kripto varlıklarının internete bağlı sistemlerden doğrudan erişilebilir kısmını azaltır. Ancak çevrimdışı tutulan varlıkların yüksek oranı, güvenliğin yalnızca bir katmanıdır. Borsaların imza hizmetlerini, iç sistemlere erişimi ve transferleri onaylayan kuralları da koruması gerekir.
Binance olayında ilk açıklama, cüzdan özel anahtarlarının çalındığına dair kanıt bulunmadığını söylerken, sonraki haberlerde işlem yetkilendirmesinin kötüye kullanıldığı aktarıldı. Bu, anahtarları saklamanın yanı sıra işlemlerin nasıl onaylandığını da güvenceye almanın önemini gösteriyor.
40
47
Dolayısıyla çıkarılacak sonuç “Coinbase benzer bir saldırıya karşı bağışık” değil. Coinbase, saldırıdan etkilenmediğini söyledi ve varlıkların saklanmasıyla para çekme işlemlerine ilişkin önlemlerini anlattı. Yüzde 99’dan fazla soğuk depolama iddiası şirketin açıkladığı saklama yaklaşımını anlamak açısından faydalı; fakat tüm işlem onay zincirinin aşılmaz olduğuna dair bağımsız kanıt değil.
19
20
24