Hoskinson, 50 EIP-7702 İmzası İçeren Binance Cüzdan Analizini Paylaştı

Hoskinson'un Süpürme Uyarısı

Cardano kurucusu Charles Hoskinson, Ethereum'un (ETH) EIP-7702 yetki devri özelliği üzerine çıkan tartışmaya katıldı ve bu özelliği, bir saldırganın Binance'in sıcak cüzdanını hızla boşaltmasına yardım etmekle suyan bir analiz paylaştı; mesajında "ciddi biçimde tehlikeli kod" olduğuna dikkat çekti. Ethereum'un teknik belirtimi ise bambaşka bir okuma sunuyor: yetki devri, geçerli bir kriptografik imza olmadan bir hesaba bağlanamaz ve belge, imza bilgilerinin nasıl ele geçirildiğini açıklamıyor. Hoskinson, Cuma günü attığı bir X gönderisinde, pseudonim analistle CyberSatoshi'nin kırılımını paylaşarak "Dikkatli olun, orada ciddi biçimde tehlikeli bir kod var" yazdı. Gönderi, iddia edilen EIP-7702 süpürücüsünün (sweeper) bayt kodunu yeniden inşa ediyor ve sözleşmenin özellikle Binance'in cüzdan altyapısı için inşa edildiğini ileri sürüyor. Hoskinson'ın mesajı somut bir kusur admadı ve analizin hangi kısmını sahiplendiğini de söylemedi. CyberSatoshi'nin inşası daha ayrıntılı. İddia edilen süpürücü, ana bakiyeyi toplarken cüzdanda tam olarak 1 ETH bıraktı; analiste göre bu tercih, Binance'in otomatik sıcak cüzdan kuyruğunun gaz yetersizliğinden takılip alarm vermesini önlüyordu. Token işleme döngüsü bakiyeleri düşük seviyeli çağrılarla kontrol etti ve tek tek transferler başarısız olsa bile çalışmaya devam etti; böylece kara listeye alınmış bir token bir işlemi engellese bile sözleşme varlıkları taşıyabildi. Analizin en geniş iddiası erişimle ilgili: özel bir yürütme fonksiyonunun, Binance 14 olarak tanımlanan ele geçirilmiş cüzdandan, 823 milyon dolarlık USDC tutan harici bir kasaya erişim sağladığı, yani borsanın kendi bakiyesinin ötesindeki Ethereum hazine fonlarına uzanabildiği öne sürülüyor. Related kapsamımız, Binance hack sonrası bir Aave oracle boşluğunu ve bir arbitrajcının buradan 3,47 milyon dolar kazandığını kaydediyor; Binance'in sıcak cüzdanları ayrıca 2 milyar dolarlık kripto varlığı Tornado Cash kaynaklı bir adrese taşıdıklarında da gündeme gelmişti. Gönderiyi yayımlayan kişi sözleşmeyi Binance mimarisi için özel üretim olarak niteliyor; iç alarmlar ve hazine savunmalarına dair anlatısı ise kendi açıklaması olmaya devam ediyor. Şimdiye dek yayımlanan malzemede Ethereum geliştiricilerinden ya da Binance'den bir yanıt yer almıyor.

50 Yetkilendirme ve Nonce Kuralları

EIP-7702 uyarınca, normalde özel anahtar imzalarıyla çalışan harici olarak sahiplenilen bir hesap, yürütmesini başka bir adresteki koda devredebiliyor. Tasarım, birden fazla işlemi tek katman 2 ağlarında ve cüzdan sağlayıcılarında kullanılan desenlerle tek işlemde toplamaya ve ücreti başka bir hesaba ödettmeye izin veriyor. Her yetkilendirme bir zinciri, bir temsilci adresi ve bir nonce'u kriptografik imzayla birlikte tanımlıyor; protokol, yetki veren hesabı bu imzadan geri kazanıyor ve devri uygulamadan önce nonce'u kontrol ediyor. CyberSatoshi bu eşiği kabul ediyor: iddia edilen saldırının ya ham özel anahtarı ya da Binance 14'ün güvenlik altyapısına sınırsız imzalama erişimi gerektirdiğini söylüyor. Kör imzalama yapan, yani verinin tam içeriğini görmeden onay veren cüzdanlar, tam da bu denetim riskinin içinde duruyor. İddia edilen seri, nonce aritmetiğine dayanıyor: 50 önceden imzalanmış yetkilendirme, ardışık nonce'ları kapsıyordu ve saldırgan, Binance 14'ün işlem sayısı değişirken onu yakalayabildi. Belirtim, yetkilendirmeleri sırayla işliyor, kontrolü geçemeyeni atlıyor ve her geçerli kayıtta hesabın nonce'unu bir artırıyor; böylece nonce ilerledikçe sonraki yetkilendirmeler geçerli hâle gelebiliyor ve birden fazla kayıt varsa son geçerli devir, kullanılacak kod adresini belirliyor. CyberSatoshi'ye göre yetki devri, varlık transferlerini tek bir işleme sıkıştırarak müdahale penceresini daralttı; borsanın savunmaları aksi hâlde üç işlemden sonra hırsızlığı durdurabilirdi, ancak bu karşıolgusal yayımcının kendi değerlendirmesi olarak sunuluyor. Belirtimin güvenlik bölümü açık konuşuyor: yetkilendirilmiş kod, hesaba sınırsız erişim kazanır ve cüzdan tarafından yakından denetlenmelidir; korumalar arasında tekrar oynatmanın önlenmesi ve değeri, gazı, hedefi ve çağrı verisini kapsayan imzalar sayılıyor. Yetki devri, onu kuran işlemin ötesinde kalıcı oluyor, başarısız yürütmeler önceden işlenmiş devir göstergelerini geri almıyor ve yalnızca sıfır adresine işaret eden geçerli bir yetkilendirme temizleyebiliyor. Kırılım ve zincir üstü yetkilendirme izi doğrudan kontrol edilebilir; Ethereum blok zincirini profesyoneller gibi okuma rehberimiz süreci adım adım anlatıyor.

Kayıt, iki okumanın birden ayakta kalmasına izin veriyor. Hoskinson'ın gönderisi yetki devri özelliğini tehlikeli unsur olarak görürken, belirtimin kendi metni bu özelliğin geçerli bir imza olmadan bir hesaba bağlanamayacağını gösteriyor ve CyberSatoshi'nin anlatısı da bu noktayı zaten kabul ediyor. Meseleyi kapatacak şey, Binance 14'e imzalama erişiminin nasıl elde edildiğinin açıklanması; ne EIP belgesi ne de yeniden inşa edilen analiz bu bilgiyi sağlıyor. Bu teyit gelene kadar uyarı ile belirtim arasındaki tartışma çözümsüz kalıyor ve iki tarafın özetlerinden hiçbiri meseleyi kapatmıyor.