Hacken uyardı: Kayıpların yüzde 77'si denetim kapsamı dışındaki sistemlerden geldi

Kripto yatırımcılarının "denetlendi" rozetine gösterdiği güven yanıltıcı olabilir: Blockchain güvenlik firması Hacken, üçüncü çeyrekte çalınan 1,18 milyar dolarlık varlığın yüzde 77'sinin, güvenlik denetimlerinin incelemediği ya da inceleme sonrasında değişen bileşenlerden kaynaklandığını tespit etti. Şirket, perşembe günü yayımladığı çeyreklik raporunda bu tabloyu merkeze aldı.

Denetim rozeti neden güvenlik vermiyor?

Hacken'e göre müşteriler çoğu zaman bir denetimin tüm platformu kapsadığını varsayıyor; oysa inceleme yalnızca belirli akıllı sözleşmelere odaklanabiliyor. Cüzdanlar, imza sistemleri ve saldırganların asıl hedefi olan üçüncü taraf yazılımlar bu kapsamın dışında kalıyor.

İlgili: Hong Kong, Solana Company'yi stratejik işletme ilan etti: Ne değişecek?

Şirketin kurucu ortağı ve yönetim kurulu üyesi Andrii Matiukhin, CoinDesk'e verdiği demeçte sorunun daima kapsam olduğunu belirterek, "Müşteriler denetim rozetini görüp tüm sistemin kapsandığını varsayıyor; ama para bir anahtar, bir tedarikçi ya da hiç test edilmemiş bir ayar üzerinden kaybediliyor" dedi. Matiukhin, fonlarla etkileşen tüm bileşenleri denetletmenin maliyetli olduğunu ve ekiplerin yalnızca kritik parçaları incelettiğini ekledi.

Anahtar düzenlemeleri ve yama gecikmeleri

Rapor, borsalara yönelik saldırıların ötesinde yapısal risklere de dikkat çekiyor. Hacken, 12 türev borsası ve tahmin piyasasını inceledi; iki büyük platformda 700 milyon doları aşan güvenli varlık, üç imza gerektiren dört anahtarlı bir düzene ya da sahipleri kamuya açık olmayan yönetici anahtarlarına bağlıydı. Matiukhin platform adlarını açıklamaktan kaçındı ama incelediği hiçbir sistemde aktif bir açık bulunmadığını, bazı düzenlemelerin ise ölçekleri düşünüldüğünde yeterince güvenli olmadığını söyledi.

Bilinen açıkların giderilmesindeki gecikmeler de ayrı bir başlık: Matiukhin'e göre kritik bir açık bazen ekip tarafından düşük riskli olarak sınıflandırılabiliyor ve düzeltme erteleniyor hatta reddediliyor; bu risk, aynı yazılıma bağlı birden çok blockchain'in güncellemeleri farklı zamanlarda yapmasıyla büyüyor.

Kayıplar hangi olaylarda yaşandı?

Üçüncü çeyrekte 107 olayda kaybedilen toplam 1,18 milyar dolar, bir önceki çeyreğe göre yüzde 55 artış anlamına geliyor. Bu tutarın 906,8 milyon doları üç başlıkta toplanıyor: ele geçirilen tedarikçiler veya geliştirici araçları, kamuya açık hâle gelen güvenlik yamalarının kurulmaması ve son denetim kapsam dışı bırakılan bileşenler.

• Dönemin en büyük olayı Eylül'deki Bitget saldırısıydı: Saldırganlar üçüncü taraf bir güvenlik ürünündeki açığı kullanarak çekim altyapısına erişti ve borsa en az 352 milyon dolar kaybetti.
• Bu haft donanım cüzdan üreticisi Ledger, Güneydoğu Asya'daki bayisi CryptoBilis'in sattığı bir cihazda izinsiz donanım implantı bulunduğunu ve yaklaşık 93 milyon dolarlık kayıp yaşandığını bildirdi.
• Temmuz'da altı saat süren bir istismar sırasında üç köprü ve çapraz zincir protokolü 35 milyon dolardan fazla kaybetti; saldırganlar validator anahtarlarını ele geçirdiği AFX Trade'de kayıp 24 milyon dolar oldu.
• Rapora göre ayrıca Liquid Network'te 319 milyon dolar, Tectonic'te en az 75 milyon dolar ve Coldcard cüzdan yazılımında yaklaşık 114 milyon dolar ele geçirildi.

Hacken, sorumluluğun son tahlilde müşteri fonlarını tutan şirketlerde olduğuna vurgu yapıyor: Aylar ya da yıllar önce tamamlanmış bir denetime güvenmek yerine açıkları takip etmek ve yamaları hızla kurmak gerekiyor.