Mercado Bitcoin Hack: Bitcoin (BTC) Ağında 36.042 Adres Dört Saat İçinde Boşaltıldı

36.042 Adres Dört Saat Boyunca Boşaltıldı

Brezilyalı borsa Mercado Bitcoin (BTC), müşterilerine hack olayının kontrol altına alındığını duyurduktan sonra bile fon çıkışları yaklaşık dört saat boyunca akmaya devam etti. Bu arada piyasa da sarsıldı: Bitcoin (BTC) fiyatı son 24 saatte yüzde 5,5 geriledi. Zincir üstü (on-chain) araştırma, Perşembe günü yayımlanan bulgularla zaman çizelgesini netleştirdi: Blok zincir analitiği firması Bitquery'nin incelemesine göre saldırganlar, 2 Kasım Pazartesi günü, Brezilya saatiyle 09.27 ile 13.56 arasında borsaya bağlı 36.042 Ethereum para yatırma adresini boşalttı. Borsa, olaya ilişkin kontrol altına alma duyurusunu aynı gün 09.56'da yaptı. Yani çıkışlar, borsa olayı kapattığını ilan etmeden 29 dakika önce başlamıştı ve açıklamadan sonra da yaklaşık dört saat daha sürdü. Boşaltılan 36.042 adreste toplamda yaklaşık 266 bin dolar bulunuyordu; bu, çalınan toplam tutarın küçük bir dilimi, ancak saldırgan açıklamanın üzerinden uzun saatler geçmişken bile bu adreslerin içeriğini hareket ettirebildi. Para yatırma adresi, borsanın her müşteriye tahsis ettiği bireysel alıcı hesabı gibi çalışır ve oradan fon çekmek, o adresin özel anahtarını (private key) gerektirir. Bitquery'nin güncel tahmini, 11 farklı blok zincirine yayılan toplam çalıncak varlık tutarını 48,6 milyon dolara işaret ediyor; bu rakam, Mercado Bitcoin'in 4 Kasım'da resmi X hesabından açıkladığı 36,3 milyon doların üzerinde. Aynı saldırgan adresi, ana soygun öncesinde Base, Arbitrum ve Optimism cüzdanlarından yaklaşık 391 bin dolar almıştı; araştırmacılar bu tutarın büyük kısmını BitMart'a izledi, ancak şirket tutarı doğrulamadı. BitMart kurucusu Sheldon Xia, borsasının 2 Kasım'da saldırıya uğradığını ve ön incelemenin Mercado Bitcoin (BTC) ihlalının arkasındaki gruba işaret ettiğini söyledi.

Toplamlarda 12,3 Milyon Dolarlık Açık

Tartışmalı rakamlar arasında resmi bir uzlaşı henüz yok. İlk değerlendirmeler etkilenen varlıkları 40 milyon doların üzerinde gösteriyordu; borsanın güncellenmiş sıkça sorulan sorular sayfası yaklaşık 36,3 milyon dolar listeleyen güncellenmiş sıkça sorulan sorular sayfası, zincir üstü sayım ise 11 ağa yayılmış 48,6 milyon dolar veriyor. Yan yana duran bu üç rakam arasında resmi bir bağlantı açıklaması yok. Şirketin kamuya açık güncellemeleri, kontrol altına alma iddiasından sonra transferlerin neden sürdüğünü ne de kendi rakamı ile zincir verisi arasındaki farkı açıklamıyor; yalnızca kullanıcı kayıplarını kendi kaynaklarıyla karşılayacağı güvencesini veriyor. Hırsızlığın arkasındaki mekanizma, sorunun neden açık kaldığını da açıklıyor. Müşteri para yatırma adresi, kişisel bir alıcı hesabına benzer: borsa her kullanıcıya bir adres tahsis eder, sonra bu coinleri günlük işlemleri yürüten ortak bir sıcak cüzdan (hot wallet) içinde toplar. Böyle bir adresten çıkış yetkilendirmek o adresin özel anahtarını gerektirir ve bu olaydaki çekimler doğrudan para yatırma adresleri tarafından imzalandı. Bitquery araştırmacıları, bunun mümkün olması için her adres için ayrı bir anahtar ya da imzalama sistemine sızma yolu gerektiğini yazdı. Ek olarak yapısal bir riski de işaret ettiler: borsalar genellikle para yatırma anahtarlarını tek bir ana anahtardan türetir, yani bu ana materyali ele geçiren bir saldırgan başka müşteri adreslerine de erişebiliyor olabilir. Yaklaşık 12,3 milyon dolarlık bu açık, boşaltılan Ethereum adreslerinin toplam bakiyesinden bile büyük ve Mercado Bitcoin (BTC), bireysel adreslerin güvenli olduğunu doğrulayana kadar öneri net: eski para yatırma adresleri yeniden kullanılmamalı. Borsanın 4 Kasım'da yayımladığı yeniden açılış planı, 9 Kasım Pazartesi günü yalnızca bakiye görüntüleme ile başlıyor; para yatırma, çekme ve işlem için bir yeniden başlama tarihi yok. Bu da müşterileri, çekimler geri dönene kadar eski bir adresteki fonları hareket ettiremez biçimde bekletiyor.

Zincir kaydıyla birlikte okunduğunda olay, tekrar oynatma saldırısı (replay attack) gibi bir protokol kusurundan çok anahtar saklama (key-custody) hatasına benziyor: saldırgan, dört saatlik pencere boyunca on binlerce bireysel adresin imzalama yetkisini tek tek kullanmış. Canlı çıkışlar ile kontrol altına alma açıklaması arasındaki 29 dakikalık örtüşme, borsanın olay müdahalesinin en sıkı denetleneceği nokta olacak; sıkça sorulan sorular sayfasındaki rakam ile zincir üstü sayım arasındaki fark da muhasebesinin zincirin gerisinde kaldığını gösteriyor. Riskin gerçekten kapandığıysa ana anahtar sorusuna bağlı: 9 Kasım'daki yalnızca görüntülemeli açılış ve olası para yatırma adresi yenilemesi bir sonraki kontrol noktası. İhlal ayrıca zaten yumuşak seyreden bir piyasaya denk geldi; yüzde 5,5'lik düşüşle bazar, 76.155 dolarlık destek testi ile karşı karşıya kaldı.