Kripto para cüzdanlarında kullanılan bazı yazılımlarda tespit edilen bir güvenlik açığı, saldırganların milyonlarca dolarlık varlığı ele geçirmesine yol açtı. Bu zafiyet, cüzdanların kurtarma ifadesi (seed phrase) oluşturulurken yeterince rastgele sayı üretilmemesinden kaynaklanıyor. Zayıf rastgelelik sayesinde, kötü niyetli aktörler bu ifadeleri tahmin edebiliyor ve cüzdandaki tüm fonları boşaltabiliyor.
Saldırının Genel Detayları
Mayıs sonunda gerçekleşen koordineli bir operasyonda, 431 cüzdandan yaklaşık 3,1 milyon dolar değerinde kripto para çalındı. Ardından, açıkta kalan bir başka cüzdandan da 2,1 milyon dolarlık USDT tokeni ele geçirildi. Toplamda doğrulanmış kayıp 5 milyon doları geçti. Saldırının temelinde, kurtarma ifadelerinin oluşturulmasında kullanılan zayıf rastgele sayı üreteci bulunuyor. Bu durum, cüzdanların kontrolünü ele geçirmenin önünü açtı.
Hangi Cüzdanlar Risk Altında?
Donanım cüzdanları ve popüler, güncel yazılımlar bu açıdan etkilenmedi. Ancak 2018 ve öncesinden kalan ya da daha az bilinen mobil uygulamalar ve tarayıcı eklentileri risk taşıyor. Güvenliği sağlamak için kullanıcıların cüzdan adreslerini illbloom.org adresindeki ücretsiz kontrol aracına yapıştırmaları öneriliyor. Eğer eşleşme varsa, kurtarma ifadesi tehlikeye girmiş demektir ve varlıklar yeni bir cüzdana taşınmalı.
Zafiyetin Teknik Yönü
Her kripto cüzdan, genellikle 12 veya 24 kelimeden oluşan kurtarma ifadesiyle başlar. Bu kelimeler, tahmin edilmesi imkansız geniş bir havuzdan rastgele seçilmelidir. Ancak bu açık, cüzdan yazılımının zayıf bir rastgele sayı üreteci kullandığını gösteriyor. Böylece mümkün olan ifade sayısı astronomik seviyeden, saldırganların tarayabileceği makul bir aralığa düşüyor. Uzmanlar, bu zafiyetin kapsamını ortaya koymak için tüm olası ifadeleri ve bunların kontrol ettiği adresleri analiz etti.
Kaybın Boyutu ve Saldırı Dinamiği
Haziran sonu itibarıyla, Bitcoin, Ethereum, Tron gibi zincirlerde 2.114 açık cüzdan adresi tespit edildi. Mayıs saldırısı sırasında Bitcoin cüzdanları en fazla zarar gören grup oldu; tek bir Bitcoin adresinden 1,1 milyon doların üzerinde para çalındı. Araştırmacılar, yüzlerce farklı cüzdanın varlıklarını birkaç ortak toplayıcı adrese göndermesinden operasyonun koordineli olduğunu anladı. Ardından gerçekleşen 2,1 milyon dolarlık ek hırsızlık, bu açıkların hala kapatılmadığını ortaya koydu.
Ne Yapılmalı?
İlk olarak, illbloom.org sitesindeki kontrol aracı ile cüzdan adresinizi sorgulayın. Tek bir zayıf ifade, aynı seed’den türeyen tüm zincirlerdeki varlıkları riske atar. Eşleşme varsa, kurtarma ifadeniz ele geçirilmiş demektir; vakit kaybetmeden yeni bir cüzdan oluşturmalı ve fonlarınızı buraya aktarmalısınız. Eski cüzdan yazılımını yeniden kurmak ya da aynı ifadeyi başka bir yerde kullanmak çözüm olmaz. Ayrıca, düşük bakiye cüzdanlar bile saldırı için göz ardı edilmemeli çünkü bu seed ifadeleri hâlâ açıktır.
Siber Güvenlik Perspektifi
Bu tür zafiyetler, genellikle eski yazılım mimarilerindeki rastgele sayı üreticilerinin zayıflığından doğar. Kurumsal güvenlik ekipleri için, düzenli yazılım güncellemeleri, seed ifadelerinin güvenli şekilde üretilmesi ve donanım cüzdanlarının tercih edilmesi hayati önemde. Olay müdahale ekipleri ise blockchain üzerindeki anormal transferleri izleyerek benzer saldırıların önünü kesebilir. Ayrıca, e-posta güvenliği ve ağ segmentasyonu gibi temel savunma katmanları da toplam risk yönetiminde önemli rol oynar.
Geçmişten Bugüne Benzer Zafiyetler
Bu durum yeni değil; 2023 yılında benzer rastgele sayı zafiyetleri nedeniyle milyonlarca dolar kayıp yaşanmıştı. O dönemler “Milk Sad” ve “Randstorm” olarak adlandırılan açıklar, farklı cüzdan uygulamalarını hedef almıştı. Her seferinde çözüm, fonların güvenli yeni cüzdanlara taşınması oldu. Bu, kripto güvenliğinin temel gerçeği olarak öne çıkıyor: anahtarlar ne kadar karmaşık görünse de, onları oluşturan sistemlerin güvenliği kritik.