Hacken: Tron’daki 91,3 milyar dolarlık USDT için iki anahtarlı yönetim riski

Hacken’in tespiti, USDT’nin saldırıya uğradığı anlamına gelmiyor. Uyarı; Tron ağında yaklaşık 91,3 milyar dolar değerindeki USDT’yi yöneten akıllı sözleşmenin idari kontrolüne ilişkin yüksek etkili bir riskle ilgili. Haberlere göre imza anahtarlarının ele geçirildiğine ya da bu kontrollerle bağlantılı bir güvenlik ihlali yaşandığına dair belirti bulunmuyor. 1824

Sorun ne?

Söz konusu yapı, idari işlemler için 3 anahtardan 2 imza gerektiren bir çoklu imza sistemi. Bu model, tek bir anahtarın kaybına veya ele geçirilmesine karşı koruma sağlar. Ancak iki anahtarın saldırganların eline geçmesi, imza sahiplerinin kötü niyetli davranması veya baskı altında kalması durumunda işlem eşiği de aşılmış olur.

Hacken’in değerlendirmesine göre iki geçerli imza, zorunlu bir bekleme süresi, iptal penceresi ya da güvenilir geri alma mekanizması olmadan sözleşmenin yönetimini devralmak için yeterli olabilir. Bu sözleşmenin, o tarihte dolaşımdaki USDT’nin yaklaşık yarısını, yani yaklaşık 91,3 milyar doları yönettiği bildirildi. 1822

Bu, bir yönetim katmanı riski. Başka bir deyişle, saldırganın her kullanıcının cüzdanındaki USDT’yi doğrudan boşaltabileceği anlamına gelmiyor. Risk, USDT akıllı sözleşmesinin ayrıcalıklı yönetici işlevlerinde yoğunlaşıyor. 2236

Ele geçirilen yönetici yetkileri neye izin verebilir?

Hacken’in bulgularını aktaran haberlerde, sözleşme yöneticisinin şu işlemleri yapabilen yetkilere sahip olduğu belirtiliyor:

• sözleşmenin sahipliğini veya idari kontrolünü değiştirmek;
• yeni USDT basmak;
• adresleri dondurmak;
• dondurulan bakiyeleri silmek veya temizlemek;
• transfer ücreti ayarlarını değiştirmek. 3537

Asıl kritik nokta, bu güçlü yetkilerin zorunlu bir zaman kilidi olmadan kullanılabilmesi. Zaman kilidi, şüpheli bir yönetim değişikliğinin fark edilmesi ve buna karşı adım atılması için süre tanır. Böyle bir gecikme mekanizması olmadığında, iki anahtarla gerçekleştirilen bir kontrol devri; kullanıcılar, borsalar veya ihraççının güvenlik ekibi anlamlı biçimde tepki veremeden yürürlüğe girebilir. 1822

Anahtarların ağlar arasında yeniden kullanılması neden önemli?

Hacken ayrıca altı imza anahtarının Ethereum, Avalanche ve Celo ağlarında da yeniden kullanıldığını bildirdi. Bu durum, bu ağlardaki sözleşmelerin aynı çoklu imza eşiğine sahip olduğunu veya Tron’daki bir olayın diğerlerini otomatik olarak tehlikeye atacağını göstermez. Ancak ortak anahtar materyali, riski tek bir ağla sınırlı kalmaktan çıkarıp birbiriyle bağlantılı bir riske dönüştürebilir. 41

Ayrı blokzincirlerde ayrı sözleşmeler bulunabilir; fakat yüksek yetkili anahtarlar aynı kişiler, cihazlar ve operasyonel süreçler tarafından korunuyorsa zafiyet ortaklaşır. Bu da anahtar güvenliğinin, kurtarma süreçlerinin ve yetki ayrımının önemini artırır.

USDT gerçekten ele geçirildi mi?

Hayır. Sağlanan haberlerde doğrulanmış bir anahtar sızıntısı, yetkisiz token basımı, kötü niyetli sahiplik devri veya tamamlanmış bir kontrol ele geçirme vakası yer almıyor. Bulgular, mevcut bir saldırının kanıtı değil; olası bir saldırı yolunun ve zayıf bir idari kontrol tasarımının işareti. 24

Bu nedenle olayı “91,3 milyar dolarlık USDT hack’i” diye tanımlamak doğru olmaz. Bu rakam, bildirilen kaybı değil, ilgili sözleşmenin yönettiği yaklaşık USDT miktarını ifade ediyor.

USDT’ye neden 3,3/10 siber güvenlik puanı verildi?

Hacken’in düşük puanı, riskin muhtemel etkisi ve uygulanabilirliğiyle ilgili. İki anahtarın çok büyük bir token dağıtımının kontrolünü potansiyel olarak devralabilmesi; sistemde zorunlu gecikme, iptal süreci veya güvenilir tersine çevirme yolu olmamasıyla birleşiyor. 1834

Bu puan, rezerv denetiminden farklı bir soruya yanıt veriyor: Teknik uygulama ve operasyonel kontroller, bir anahtar ele geçirilmesine dayanıklı mı? Puan; USDT rezervlerinin eksik olduğu ya da tokenın dolar sabitini kaybettiği anlamına gelmiyor.

Bluechip not artışı ile Hacken uyarısı çelişiyor mu?

Zorunlu olarak hayır. Bluechip, Tether’in kurumsal notunu D’den C’ye yükseltirken Hacken’in teknik siber güvenlik değerlendirmesi düşük kaldı. Çünkü iki değerlendirme farklı risk katmanlarına bakıyor. Haberlere göre Bluechip’in güncellenen metodolojisi finansal, yönetişim ve siber güvenlik unsurlarını içeriyor; KPMG US denetimi ise Tether International’ın 2025 finansal tablolarını kapsıyor. 1824

KPMG US, bu tablolar için şartsız görüş verdi. Tether de 31 Aralık 2025 itibarıyla rezervlerin yükümlülükleri yaklaşık 6,814 milyar dolar aştığını açıkladı. Reuters, denetimin kendisinin kamuya açıklanmadığını bildirdi. 1

Özetle:

• Rezerv ve finansal tablo incelemesi, ihraççının varlıklarının ve yükümlülüklerinin belirli bir tarihte nasıl sunulduğuna odaklanır.
• Akıllı sözleşme ve anahtar yönetimi incelemesi, zincir üzerindeki ayrıcalıklı yetkilerin suistimal edilip edilemeyeceğine bakar.

Güçlü görünen finansal destek, zayıf yönetici kontrollerinden doğan teknik riski ortadan kaldırmaz. Aynı şekilde anahtar yönetimindeki bir zafiyet de tek başına rezervlerin bulunmadığını kanıtlamaz.

Bu, USDT ile USDC arasında doğrudan teknik karşılaştırma değil

Hacken’in USDT için verdiği puan, Circle’ın USDC’siyle bire bir bir teknik güvenlik sıralaması olarak okunmamalı. Bu habere dayanak olan bilgiler, Hacken’in USDC için aynı yöntemle eşdeğer bir siber güvenlik değerlendirmesi yayımladığını göstermiyor. Aynı metodoloji iki sisteme de uygulanmadan kesin bir göreli güvenlik sonucu çıkarmak mümkün değil.

Sabit coin değerlendirmeleri; rezerv kalitesi, hukuki yapı, itfa süreçleri, ihraççı yönetişimi, akıllı sözleşme yetkileri veya siber güvenlik kontrolleri gibi farklı başlıkları ölçebilir. Sağlıklı bir karşılaştırma için notun hangi boyutu kapsadığını bilmek gerekir.

Yetkisiz basım neden daha geniş sonuçlar doğurabilir?

USDT’nin temel vaadi, dolaşımdaki tokenların ihraççı rezervleriyle desteklenmesidir. Kötü niyetli bir yönetici, rezerv havuzuna karşılık gelen varlık girmeden önemli miktarda yeni token basarsa, itfa talep edilebilecek toplam token miktarı mevcut desteği aşabilir. Bu durum, dolar sabitine yönelik güveni zedeleyebilir.

Ölçeğin büyüklüğü riski artırıyor: KPMG’nin bildirilen 2025 denetimi, yaklaşık 180 milyar dolarlık USDT yükümlülüğü bulunan bir ihraççıyı kapsıyordu; Tron’daki tek sözleşmenin yönettiği tutar ise yaklaşık 91,3 milyar dolar olarak bildirildi. 118

Stres senaryosunda karşılıksız tokenlar piyasada satılabilir, dolar sabiti üzerinde baskı oluşabilir ve kullanıcılar ile işlem platformları USDT maruziyetini yeniden değerlendirebilir. Sonuç; ihraççının müdahale hızı, basılan miktar, piyasa likiditesi ve kontrolün ne kadar çabuk güvenli şekilde geri alınabildiğine bağlı olur.

Sonuç: Rezervler kadar yönetim kontrolleri de önemli

Hacken’in raporu, merkezileşmiş idari gücün taşıdığı riske dikkat çekiyor. 2/3 çoklu imza yapısı başlı başına geçersiz bir güvenlik yöntemi değil. Fakat çok büyük bir token dağıtımını yönetiyorsa, zaman kilidi veya kurtarma penceresi yoksa ve anahtarlar ağlar arasında yeniden kullanılıyorsa riskin etkisi ciddi biçimde büyür.

Şu aşamada aktif bir ihlale dair bildirilmiş kanıt yok. Yine de değerlendirme, sabit coin incelemelerinin yalnızca rezerv açıklamalarıyla sınırlı kalmaması gerektiğini gösteriyor: Token basma ve yükseltme yetkilerinin kimde olduğu, imza anahtarlarının nasıl korunduğu, kritik işlemlerin geciktirilip geciktirilmediği ve bir ihlal halinde sistemin ne kadar hızlı sınırlandırılabileceği de değerlendirilmelidir. 1824