Binancein 6,3 milyar dolarlık güvenlik olayı, borsanın sıcak cüzdanlarını nasıl yönettiği ve saldırganların erişebileceği miktarı nasıl sınırladığı konusunda yanıtlanmamış sorular bıraktı.
Binance‘in eş CEO’su Richard Teng, 30 Ekimde saldırının borsanın kendi sıcak cüzdanını etkilediğini söyledi. Müşteri varlıklarının çoğu çevrimdışı soğuk depolamada tutuldu ve yalnızca kullanıcılar çekim talep ettiğinde sıcak cüzdanlara aktarıldı.
Cüzdan bakiyeleri, bir borsanın saldırıya maruz kalma durumunun yalnızca kısmi bir görünümünü sunar. CertiK analisti Jonathan Riss, Cointelegrapha yaptığı açıklamada halka açık blockchain kayıtlarının fonların hareket ettiğini gösterebildiğini, ancak bu transferleri yöneten dahili kontrolleri ortaya koyamadığını söyledi.
Binance, salı günü yayımladığı ilk raporda saldırganların fonları normal çekim sürecinin dışına taşımak için dahili bir cüzdan imzalama hizmetine eriştiğini söyledi. Binance, daha fazla saldırıyı önlemek amacıyla bazı teknik ayrıntıların gizli tutulacağını belirtti.
Borsa, cüzdan bakiyeleri ve güvenlik önlemleri hakkındaki Cointelegraph sorularına yanıt vermedi.
Coinbase, Gate ve Upbitin de aralarında bulunduğu rakipler saldırının ardından soğuk depolama oranlarını açıkladı.
Blockchain kayıtları neleri ortaya çıkarabilir
Riss, 6,3 milyar dolarlık rakamın 10 blockchain ağı genelinde etkilenen varlıkların kümülatif değerini temsil ettiğini söyledi. Ethereumda saldırganlar, yeni yatırımlar geldikçe sıcak bir cüzdanı tekrar tekrar boşalttı.
Saldırganların geçerli imzalar elde edebilmesi durumunda potansiyel erişimleri, imzalama sisteminin zaman içinde transfer etmelerine izin verdiği miktara bağlıdır, dedi. Tek bir andaki cüzdan bakiyesi bu maruziyeti yansıtmaz.
İlgili: EIP-7702 Binance saldırısına neden olmadı ancak kayıpları artırmış olabilir
Riss, imza isteyen uygulamanın güvenliğinin ihlal edilmesi durumunda, bu uygulamanın uyguladığı işlem limitlerinin aşılabileceğini söyledi. İmzalama sistemi tarafından bağımsız olarak uygulanan limitler ise transferleri hâlâ kısıtlayabilir.
Riss, “Diğer borsalarla dışarıdan gerçek anlamda bir karşılaştırma yapmak mümkün değil” diye ekledi. “Dahili imzalama mimarisine ilişkin kamuya açık bilgiler her yerde sınırlı ve rezerv dağılımı ile rezerv kanıtı doğrulamaları, bir şeyin nerede bulunduğunu gösterir; çekimin nasıl yetkilendirildiğini değil.”
BitGo baş ürün sorumlusu Eugene Hahr da Binancein dahili güvenlik önlemleri hakkında tahminde bulunmayı reddetti.
“Saklama düzenlemelerinin ayrıntıları, en doğru yanıtı verebilecek konumda olan Binancein yanıtlaması gereken bir soru” dedi.
Borsalar sıcak cüzdanlarda ne kadar tutmalı？
Fireblocksun kurucu ortağı ve baş ürün sorumlusu Idan Ofrat, borsaların genellikle beklenen birkaç günlük çekimleri karşılamaya yetecek kadar fonu sıcak cüzdanlarda tuttuğunu ve bunun çoğu zaman yönetilen varlıkların düşük tek haneli bir yüzdesine karşılık geldiğini söyledi.
Ofrat, borsaların müşteri varlıklarının büyük bölümünü genellikle soğuk depolamada tuttuğunu, bazılarının ise sıcak cüzdanlara transferler için manuel onay gerektiren ara cüzdanlar kullandığını söyledi.
İlgili: Binance, 6,3 milyar dolarlık saldırının izini sahte iş görüşmelerine ve güvenliği ihlal edilmiş bir yapay zeka aracına sürdü
Telegram tabanlı kripto cüzdanı Waltın baş teknoloji sorumlusu Alex Tobol, Binance büyüklüğündeki bir borsanın sıcak cüzdanlarında milyarlarca dolar tutmasının doğası gereği olağandışı olmadığını söyledi.
Tobol, sıcak cüzdanların genellikle çekimleri otomatik olarak işlediğini, ancak bu cüzdanların soğuk depolamadan yenilenmesinin ayrı bir hazine kararı ve manuel onay gerektirmesi gerektiğini söyledi.
Hahr, işlem limitleri, onaylı çekim adresleri ve ek yetkilendirme gereklilikleri de dahil olmak üzere imzalama öncesinde uygulanan kontrollerin, bir sistemin güvenliğinin ihlal edilmesi durumunda kayıpları sınırlamaya yardımcı olabileceğini söyledi.