Bitget, Ethereum (ETH) Ağında 387,5 Milyon Dolarlık Saldırının Ardından %5'lik Ödül Programı Başlattı

Donan Varlıklar İçin %5'lik Ödül

Bitget, kendi izleme çalışmalarıyla saldırganların kontrolündeki adreslere taşınan tutarı yaklaşık 387,5 milyon dolara yükselttiği 387,5 milyon dolarlık Ethereum (ETH) odaklı saldırının ardından iki kademeli bir geri kazanım ödül programı başlattı. Program, çalınan varlıkların dondurulmasına yardımcı olanlara etkilenen tutarın yüzde 5'ini, geri kazanılmasına yardımcı olanlara ise ilave yüzde 5'ini ödüllendiriyor. Şirketin CEO'su Gracy Chen, programı 26 Eylül'de X üzerinden duyurarak borsaları, güvenlik araştırmacılarını ve zincir üstü incelemecileri çıkış akışının peşine düşmeye çağırdı; hızlı davranıp dondurma uygulayan Circle ve Tether'e de alenen teşekkür etti.

Borsanın yayımladığı program koşullarına göre iki ödül ayrı sonuçları karşılıyor: uygun bir katılımcı, doğrudan dondurulmasına yardımcı olduğu fonlar üzerinden yüzde 5 ve doğrudan geri kazanılmasına yardımcı olduğu fonlar üzerinden bir başka yüzde 5 kazanıyor; gönüllü olarak tamamlanmış dondurmalar da gelecekteki çabalarla birlikte hak kazanma kapsamına giriyor. Kimin uygun sayılacağına, her katkının nasıl ölçüleceğine ve ne kadar ödeme yapılacağına Bitget tek başına karar veriyor; mahkeme kararı veya kolluk talebi doğrultusunda alınan işlemler ise kapsamın dışında tutuluyor.

Güncellenen toplam, onlarca orta ölçekli tokenin piyasa değerini aşan bir tutar olarak Bitget'in ilk 351,6 milyon dolarlık tahmininin yaklaşık 35,9 milyon dolar üzerinde. Şirket artışı, ilk hesaplamada yer almayan Zcash ve TRON üzerindeki etkilenen varlıkların da eklenmesiyle ortaya çıkan daha kapsamlı bir muhasebeye bağlıyor; taze bir yetkisiz transfer olmasına değil. Circle, olayla ilişkilendirilen adreslerde 99.990 USDC'yi, Tether ise 218.023 USDT'yi dondurdu; bu, yaklaşık 318.000 dolara denk gelen bir toplam olup dolarla bağlantılı tokenleri aktif dolaşımdaki arzdan fiilen çıkarmış durumda. Bitget, diğer etkilenen varlıkların da sektör ortaklıkları aracılığıyla dondurulduğunu söylüyor ancak toplu bir rakam açıklamıyor. Ödül baskısı, saldırı sırasında USDC akışlarının incelemeye tabi tutulmasının ardından geldi; güvenlik araştırmacısı Taylor Monahan, çalınan USDC'nin ara cüzdanlardan geçtiğini ve bir kısmının ETH'ye çevrildiğini anlatmıştı. Canlı izleme panosu dört ana alıcı adresi listeliyor — EVM ağları, XRP Ledger, Zcash ve TRON için birer tane — ve borsa, Bybit'in LazarusBounty girişiminin ek bir kanal olarak hizmet vereceğini, stablecoin ihraççıları, köprüler ve saklama servislerinin listelenen adresleri izlemesinin istendiğini belirtiyor.

Para Çekme İşlemleri 28 Eylül'de Başlıyor

Bitget, sistemlerinde ilave kontrolleri tamamlamasının ardından para çekme işlemlerini kademeli bir takvime göre yeniden başlatıyor; ayrıntılar 26 Eylül'de yayımlanan para çekme programında yer alıyor: Bitcoin çekimleri 28 Eylül'de 08:00 UTC'de, listelenen ağlarda Ethereum çekimleri aynı saatte 29 Eylül'de, USDT 30 Eylül'de, kalan tokenler, fiat kanalları ve cüzdanlar arası (peer-to-peer) servisler ise 2 Ekim'de yeniden açılıyor. Para yatırma ve işlem yapma hiç durmadı. Bitget, 24 Eylül'de 18:31 UTC'de sıcak ve ılık cüzdan sistemlerinin bir bölümünden yetkisiz transferler tespit etmesinin ardından yalnızca çekimleri duraklattı; ilk güvenlik duyurusu, iki cüzdan katmanının da kısmen etkilendiğini, soğuk cüzdanların ise güvende kaldığını belirtmişti. Araştırmacıların çalışma kurgusu, saldırganın bir arka uç cüzdan servisini ele geçirip Bitget'in iç sistemlerine sahte transfer bilgisi beslediğini ve varlıkları hareket ettirmek için borsanın kendi yetkilendirme sürecini tetiklediğini işaret ediyor. Ön inceleme özel anahtar sızıntısını elemiş durumda; Bitget'e göre saldırı yolu belirlendi, altta yatan güvenlik açığı kapatıldı ve artık ek yetkisiz transfer mümkün değil — incelemeye Mandiant ile SlowMist destek veriyor. Etkilenen varlıklar XRP, ETH, USDT, ZEC, USDC, USDT0 — LayerZero üzerine kurulu, Tether'ın çok zincirli USDT varyantı — tokenize altın XAUt, BNB, AVAX ve TRX'i kapsıyor. Müşteri bakiyeleri etkilenmedi ve finansal etki, ilk duyuruda 464 milyon doların üzerinde değerlenen Bitget'in Koruma Fonu tarafından karşılanıyor; ancak güncellenen zarar rakamıyla birlikte fonun yeni bir değerlemesi yayımlanmadı. Chen, olayı ve çekimlerin yeniden başlamasını ele alacak canlı bir soru-cevap oturumunu 28 Eylül'de 07:30 UTC'de düzenleyecek. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları Gate üzerinden canlı takip edebilir.

Zincir Üstü İz, Post-Mortemi Doğruluyor

Birincil kanıtlara baktığımızda, bu ihlalin boyutuna göre sıra dışı derecede izlenebilir olduğunu görüyoruz: dört alıcı adresi EVM ağları, XRP Ledger, Zcash ve TRON genelinde yayımlanmış durumda ve zincir üstü USDC ile USDT dondurmaları bağımsız olarak doğrulanabilir. Ekip post-mortem raporu da aynı derecede somut: kök neden, yetkilendirme akışına sahte veri beslemek için kullanılan ele geçirilmiş bir arka uç cüzdan servisiydi, düzeltme tamamlandı ve hiçbir özel anahtar sızmadı. Yüzde 5 artı yüzde 5 ödül yapısı, Bybit'in LazarusBounty modelini yansıtıyor ve çalınan fonların geri alınmasına yönelik bir sektör yaklaşımına dönüşüyor. Donanım cihazlarından bir yapay zeka kripto cüzdanına kadar kendi kendini yöneten seçenekleri tartan mevduat sahipleri için ders net: en büyük borsalar bile arka uç riski taşıyor.