Unocoin: Dondurulmuş BitGo Cüzdanındaki Fonlar Yedek Anahtarla Çıkarıldı

BitGo Dondurmasına Rağmen Fonlar Hareket Etti

Hindistan merkezli kripto para borsası Unocoin, 6 Kasım'dan bu yana araştırdığı güvenlik olayının en çarpıcı gelişmesini Cuma günü duyurdu: BitGo hesabı dondurmuş olsa da cüzdanındaki fonlar yine de dışarı çıkmayı başardı. Şirket, X platformunda yayımladığı açıklamada, paranın BitGo'nun dondurmuş olduğunu teyit ettiği bir cüzdandan aktarıldığını ve BitGo'nun çok imzalı cüzdanlarındaki yedek kurtarma yolunun istismar edilmiş olabileceğini belirtti. New York Borsası'nda BTGO koduyla işlem gören BitGo bu iddiayı şimdiye kadar kamuoyunda çürütmüş değil. Unocoin ise anahtarı kimin kontrol ettiğini açıklamadı; ne kadar kripto para ele geçirildiği sorusuna da henüz cevap yok.

@Unocoin · X gönderisi

X platformunda yayımladığı açıklamada.

X'te görüntüle

Zaman çizelgesi burada belirleyici. Unocoin 6 Kasım'da şüpheli aktivite fark etti ve iki saklama hizmeti sağlayıcısından da kurumsal hesaplarını dondurmasını istedi. Dondurmalar Fireblocks için 11:24 UTC, BitGo için 11:29 UTC'de yürürlüğe girdi; iki firma da o noktada kayıp tespit etmedi. Bu türdeki çok imzalı cüzdanlar, saklayıcı erişilemez hale gelirse müşterinin varlıklarına ulaşabilmesi için tasarlanmış bir kurtarma rotası taşır. BitGo'nun kendi Wallet Recovery Wizard belgeleri, kullanıcının özel anahtarı ve yedek anahtarıyla varlıkların "BitGo olmadan" taşınabildiğini anlatıyor ve bu kurtarma işlemlerinin BitGo ile mutabık kalınan tüm politikaları geçersiz kıldığını belirtiyor. Sihirbaz aracı, yedek genel anahtarı, kullanıcı genel anahtarını, cüzdan parolasını ve BitGo genel anahtarı ya da cüzdan adresinden birini istiyor; ortaya çıkan işlem varlıkları yeni bir adrese gönderiyor. Unocoin bu yolun "istismar edilmiş olabileceğini" söylüyor ve yolun nasıl erişildiğini, nasıl kullanıldığını inceleyen çalışmaları sürüyor. Şirket, müşteri kripto para varlıklarının yüzde 90'dan fazlasının soğuk cüzdanda saklandığını doğruladı.

Operasyon Durduruldu, Sunucular Yeniden Kuruluyor

Operasyonlar hâlâ durdurulmuş durumda. Unocoin yetkisiz aktiviteyi ilk fark ettiği 6 Kasım'ın ardından, yeni hareketler görünce tüm hizmetleri 9 Kasım Pazartesi günü askıya aldı ve geçen Perşembe'ye kadar BitGo cüzdan altyapısındaki bir Ethereum adresinden çıkan işlemleri açıkladı. Şirkete göre sunucuları ele geçirilmişti. Aynı adresin ERC-20 token fonlamasında kullanıldığı ve incelenen işlemlerin BitGo platformu dışında imzalanıp yayınlandığı bildirildi. Unocoin kurtarma özelliğinin kötüye kullanıldığından şüpheleniyor; ancak transferlerin nasıl gerçekleştirildiğini ve dijital varlıklardan herhangi birinin eksik olup olmadığını henüz netleştiremedi. Şirket, tüm işlem geçmişini yeniden kurmayı zorlaştıran unsuru BitGo'nun değişim adresi (change-address) düzeninde görüyor ve tüm sunucu yığınını yeniden kurduğunu, bunun dört ila beş iş günü süreceğini tahmin ettiğini açıkladı. Para yatırma ve çekme işlemlerinin ne zaman açılacağına dair bir tarih paylaşılmadı.

Zincir üstü veriler, 12 Kasım itibarıyla Unocoin ile ilişkilendirilen yaklaşık 80.986 adresin toplam değerini sıfır olarak etiketledi. Aynı okuma, etiketlenen bu cüzdanların son bir ayda en fazla birkaç yüz dolar taşıdığını, üç aylık zirvenin ise 250 bin doların hemen üzerinde kaldığını gösteriyor; yani küme, borsanın toplam etkisinin yalnızca küçük bir dilimini yakalıyor. Hindistan'ın siber güvenlik kurumu, 5 Kasım'da kripto para borsaları ve diğer finans şirketlerini hedef alan yapay zeka destekli bir kampanya konusunda uyarmıştı; ancak bu olayla bağlantısı kurulamadı. BitGo ayrıca üçüncü çeyrekte 44,1 milyon dolar net kâr açıkladı; kazancın arkasında dijital varlık hazinesindeki 71,5 milyon dolarlık gerçekleşmemiş değer artışı yatıyordu. Olayın merkezindeki kurtarma sihirbazı, varlıkları saklayıcının onayı olmadan hareket ettiren cüzdan kurtarma yöntemlerinden yalnızca biri.

Olay, dondurmanın kendisinin aşılması değil, bir özelliğin başarısızlığı olarak okunuyor: fonlar, BitGo'nun aleniyetle belgelediği bir yoldan çıktı. Bu da güvenlik çevresinin artık, müşterinin saklayıcının kontrolü dışında tuttuğu yedek anahtarı ne kadar iyi koruduğuna bağlandığı anlamına geliyor. Bu belirsizlik, sektörün 2024 Temmuz'unda 234 milyon dolarlık WazirX saldırısından sonra yaşadığı sorumluluk kavgasını hatırlatıyor; o dönemde WazirX ile saklama ortağı Liminal aylarca birbirini suçlamıştı. Unocoin kayıp rakamını yayımlayana ve anahtarın sahibini açıklayana kadar, ERC-20 token fonlamasında kullanılan Ethereum adresi, paranın nereye gittiğine dair zincir üstündeki tek kanıt olarak duruyor.