Bitcoin (BTC) Güvenlik İncelemesinde 4.962 Bulguya Ulaşıldı

Bitcoin Haberleri

Bitcoin ekosistemindeki yazılımlara yönelik gönüllü bir güvenlik incelemesi, yaklaşık 30 saatlik yoğun bir çalışma sonucunda 390 projeyi kapsayan 4.962 rapor üreterek Bitcoin (BTC) ağı çevresinde bugüne kadar görülen en kapsamlı koordineli denetimlerden biri olarak kayda geçti. Kendini Bitcoin Red Team olarak adlandıran grup, dünya genelinde dağılmış 16 katılımcının gece gündüz çalışarak 391 kod tabanını incelediğini ve yalnızca bir tanesinin herhangi bir sorun bildirilmeden geçtiğini açıkladı. Toplam başvuruların 720'si yüksek veya kritik önem derecesinde sınıflandırıldı: 85'i kritik, 635'i yüksek. Bu ciddi bulgular, tüm başvuruların yaklaşık yüzde 14,5'ini oluştururken geri kalanlar orta, düşük veya bilgilendirici kategorilerde yer aldı. 246 bulgu ise herhangi bir önem derecesi etiketi taşımadı. Süreç hâlâ devam ediyor: güncelleme anında yalnızca 147 ciddi rapor, yama geliştirmekten sorumlu proje bakım ekiplerine ulaşmıştı. Kanıt kalitesi çeşitli olmakla birlikte önemliydi. Bulguların yaklaşık yüzde 21,4'ü çalıştırılabilir kavram kanıtı (proof-of-concept) koduyla desteklenirken, yaklaşık yüzde 91'i otomatik tarama araçlarından kaynaklandı; bu durum tespit hacminin büyük ölçüde otomasyon araçlarıyla sürüklendiğini gösteriyor. Yalnızca sekiz başvuru yanlış pozitif (false positive) olarak reddedildi. Saat başına 166,3 bulgu olarak duyurulan hız, tek bir saatlik veri taşıma işlemiyle ciddi biçimde çarpıtılmış olup ham toplamı yumuşatsa da güvenlik mesajını değiştirmiyor. Çalışma aynı zamanda finansal bir destek mekanizmasına da kavuştu. Bitcoin mühendisliğini destekleyen kâr amacı gütmeyen kuruluş OpenSats, güvenlik açıklarını ifşa eden araştırmacılara ödeme yapmak ve tarama işlemlerine bağlı yapay zekâ maliyetlerini karşılamak üzere Code RED hibe programını başlattı. 6 Ağustos tarihli rapor itibarıyla BTC yaklaşık 64.396 dolardan işlem görüyordu ve gün içinde yaklaşık yüzde 0,5 yükseliş kaydetmişti; bu da piyasanın ifşaları ağ fonlarına yönelik acil bir tehdit olarak değil, mühendislik meselesi olarak değerlendirdiğine işaret ediyor. Grubun takma adlı organizatörü ve Cashu ecash protokolünün yaratıcısı olarak tanınan Calle, proje sahiplerinin en kötü raporların çoğunu hızla doğruladığını belirterek denetimin gürültü değil gerçek zayıflıkları yakaladığını vurguladı. Bir sonraki aşama doğrulama, yama geliştirme ve koordineli ifşa olacak.

Daha derinlemesine yapılan kırılım, dikkati donanım cihazlarından uzaklaştırıp paylaşılan yazılım bağımlılıklarına yöneltiyor. Donanım cüzdanları ve ürün yazılımları (firmware), yüzde 9,6 ile en düşük ikinci ciddi sorun oranını kaydederken ASIC madenciliği havuzları yüzde 21,7, altyapı ve araçlar yüzde 21,5, atomic swap iş akışlarıyla ilişkili sistemler dâhil olmak üzere borsalar ve takas platformları yüzde 20,9 ciddi sorun oranı gösterdi. Gizlilik araçları ise yalnızca üç proje incelenmiş olmasına rağmen yüzde 24 ile en yüksek orana ulaştı. En yüksek hacim kripto para kütüphanelerinden geldi; 128 projede 1.385 bulgu üretilerek tüm külliyatın dörtte birinden fazlası bu kategoriden kaynaklandı. Kampanya resmen başlamadan önce AnchorWatch CEO'su Rob Hamilton, 100'den fazla Bitcoin bağlantılı kütüphaneyi taramak için 10.000 dolardan fazla harcama yaptığını açıklamıştı; bu da kullanıcıya dönük ürünlerin etrafındaki gizli bağımlılık riskinin boyutunu gözler önüne seriyor. Denetim, donanım güvenliğindeki belirli bir arızadan tetiklendi. Donanım üreticisinin 30 Temmuz tarihli uyarısına göre etkilenen Coldcard cihazları, tohum (seed) oluşturma sürecinde öngörülebilir bir yazılım yedek mekanizmasına dayanıyordu. Güvenli öğeden (secure element) yalnızca 32 bit entropi geliyordu ve bu da bir saldırganın arama alanını yaklaşık 4,3 milyar olasılıkla sınırlıyordu. 4 Ağustos itibarıyla zincir üstü analiz, yaklaşık 7.300 adresle bağlantılı 1.596 BTC tutarında doğrulanmış hırsızlık tespit etti; şüpheli bir dördüncü dalganın dâhil edilmesi durumunda tahmini toplam 130 milyon dolara ulaşabilir; ancak altta yatan adres listesi hâlâ eksik. Zincir üstü aktivite, şokun yayıldığını gösterdi; aktif adresler 20 ayın en yüksek seviyesine tırmandı. Koreli kullanıcılar, bu toplulukta zarla üretilen tohumların yaygın olması sayesinde nispeten korunaklı kaldı. Daha önceki rastgelelik hataları da ekibin aciliyetini şekillendirdi. 2023'teki Milk Sad açığı, Libbitcoin Explorer anahtarlarını yalnızca 32 bit saat zamanından türetiyordu. Mayıs ayındaki Ill Bloom istismarı ise kırılgan bir JavaScript rastgele sayı üretecine bağlı cüzdanlardan 5,7 milyon dolar kaldırdı. Şu ana kadar bulgular Bitcoin'in kendisinde bir ayı piyasası tepkisi üretmedi ancak güvenlik merceğini tek bir cihazdan daha geniş kod yığınına doğru genişletiyor.

COINOTAG'ın değerlendirmesine göre bu iki gelişme tek bir temada birleşiyor: Bitcoin'in anlık operasyonel riski, temel katmandan çevresindeki yazılım tedarik zincirine doğru kayıyor. Denetimin 4.962 bulgusu doğrulanmış istismarlar değil; ancak incelemeyi tetikleyen Coinkite'ın resmi ifşası, etkilenen Coldcard cihazlarının öngörülebilir bir tohum üretim yedek mekanizması kullandığını ve güvenli öğeden yalnızca 32 bit sağladığını açıkça belirtiyor. Bu birincil kaynak detayı, bir donanım kusurunun neden bu kadar hızlı bir şekilde zincir üstü hırsızlık sorununa dönüşebildiğini açıklıyor. OpenSats'ın Code RED hibelerini duyurması, bu tür hataları saldırganlardan önce bulmak için sürdürülebilir bir teşvik mekanizması ekliyor. BTC sahipleri açısından pratik sinyal panik değil; daha sıkı kod incelemesi, daha iyi entropi uygulamaları ve daha hızlı bakım ekibi yanıtı olmalı.