Kriptoda 320 milyon dolarlık saldırı

Kripto para piyasasında yaklaşık 320 milyon dolarlık yeni bir güvenlik olayı yaşandı. Bitcoin tabanlı ödeme ve mutabakat ağı Liquid Network, federasyon cüzdanında bulunan yaklaşık 4 bin Bitcoin’in sistemden çıkarılmasının ardından ağ faaliyetlerini geçici olarak durdurdu.

Olay 6 Eylül Pazar günü gerçekleşti. Yaklaşık 4 bin 200 Bitcoin bulunan federasyon cüzdanından 4 bine yakın Bitcoin çekildi. Böylece ağın bildirdiği Bitcoin rezervinin yaklaşık yüzde 95’i tek olayda cüzdandan çıktı.

Fonları çeken kişiler zincir üzerine bıraktıkları mesajda kendilerini “beyaz şapkalı” güvenlik araştırmacıları olarak tanımladı. Ancak varlıkların iade edilip edilmeyeceği ve olayın tamamen güvenlik araştırması amacıyla gerçekleştirilip gerçekleştirilmediği henüz kesinleşmedi.

4 bin Bitcoin tek işlem zinciriyle çıktı

Liquid Network, Bitcoin üzerinde çalışan bir yan zincir olarak faaliyet gösteriyor. Sistem, Bitcoin’in ana ağ üzerinde kilitlenmesi karşılığında Liquid tarafında L-BTC oluşturulmasına imkan sağlıyor.

Kullanıcı L-BTC’yi yeniden Bitcoin’e çevirmek istediğinde ise “peg-out” adı verilen işlemle Liquid tarafındaki varlık yakılıyor ve karşılığındaki Bitcoin federasyon cüzdanından kullanıcının Bitcoin adresine gönderiliyor.

Son olayda yaklaşık 4 bin L-BTC’nin SideSwap üzerinden geri dönüş işlemine sokulduğu, bunun ardından federasyon cüzdanından yaklaşık 4 bin Bitcoin’in başka bir Bitcoin adresine gönderildiği bildirildi.

İşlemin büyüklüğü dikkat çekici. Olay öncesinde federasyon rezervinde yaklaşık 4 bin 200 Bitcoin bulunurken, transfer sonrasında rezervin çok küçük bir bölümü cüzdanda kaldı.

Yeni işlemler durduruldu, borsalar bilgilendirildi

Olayın ardından Liquid Network yeni işlemlerin sisteme gönderilmesini durdurdu. Köprü düğümlerinin geçici olarak kapatılmasıyla yan zincir fiilen askıya alındı.

Kripto para borsaları da bilgilendirildi ve L-BTC yatırma ile çekme işlemleri durdurulmaya başlandı. Böylece olay çözülene kadar kullanıcıların Liquid ile Bitcoin ana ağı arasında yeni transfer gerçekleştirmesinin önüne geçildi.

Liquid yönetimi, ağdaki cüzdanların kesintiden etkilenebileceğini bildirirken federasyon üyelerinin normal faaliyetleri yeniden başlatmak için çalıştığını açıkladı.

USDT, DePix ve Liquid üzerinde çıkarılan bazı gerçek dünya varlığı tokenlerinin doğrudan güvenlik olayından etkilenmediği belirtildi. Bununla birlikte ağın durdurulması, bu varlıkların transfer edilebilirliği açısından geçici operasyonel sorun yaratabiliyor.

Anahtarların ele geçirilmediği açıklandı

Olayın en dikkat çekici taraflarından biri, işlemde kullanılan SideSwap Peg-out Authorization Key adı verilen yetki anahtarının ele geçirilmediğinin açıklanması oldu.

Liquid Network, söz konusu anahtarın veya diğer kriptografik anahtarların saldırganların eline geçmediğini bildirdi. Bu durum, olayın klasik anlamda bir özel anahtar hırsızlığından farklı olabileceğine işaret ediyor.

İlk teknik değerlendirmelerde sorun, Liquid altyapısında kullanılan Elements yazılımındaki olası bir açık üzerinde yoğunlaşıyor. SideSwap tarafı, sistemine gönderilen L-BTC’lerin normal varlıklardan ayırt edilemediğini ve işlemin standart prosedür üzerinden gerçekleştirildiğini belirtti.

Bu nedenle soruşturmanın merkezinde yalnızca fonların hangi adrese gönderildiği değil, yaklaşık 4 bin L-BTC’nin sistem tarafından nasıl geçerli kabul edildiği de bulunuyor.

“Beyaz şapkalı” iddiası sonucu belirleyecek

Fonları alan tarafın zincire “beyaz şapkalıyız” anlamına gelen bir mesaj bırakması, olayın seyrini daha da sıra dışı hale getirdi.

Beyaz şapkalı güvenlik araştırmacıları normalde sistemlerdeki açıkları tespit edip şirketlere bildiren ve çoğu durumda ele geçirilen varlıkları geri veren kişiler olarak tanımlanıyor. Ancak 320 milyon dolar büyüklüğündeki transferde bu kişilerin kimliği henüz bilinmiyor.

Liquid’in teknoloji sağlayıcısı Blockstream, fonları çeken kişilerle Bitcoin zinciri üzerinden imzalı mesaj kullanarak iletişim kurmaya çalışıyor.

Varlıkların geri gönderilmesi halinde olay dev bir güvenlik testi olarak sonuçlanabilir. Fonların iade edilmemesi durumunda ise Liquid Network, kripto para tarihinin en büyük güvenlik kayıplarından biriyle karşı karşıya kalabilir.

Olayın teknik nedeninin kesinleşmesi, ağın ne zaman yeniden açılacağı ve yaklaşık 4 bin Bitcoin’in geri dönüp dönmeyeceği kripto piyasasının önümüzdeki saatlerde takip edeceği üç temel başlık olacak.