Bybit, 1,5 milyar dolara çalındı ve bu, şifreleme tarihinin en büyük hırsızlığı olabilir ve 2022'de Axie hırsızlık rekorunu kırdı. Hırsızlık piyasada büyük paniğe yol açmış ve ETH'nin fiyatı kısa bir süre içerisinde sert dalgalanmalara maruz kalmış olsa da o yıl FTX seviyesinde henüz bir yükseliş yaşanmamıştı.

İronik olan şu ki, birçok yatırımcı FTX'in iflas tasfiyesinden elde ettikleri tazminatın bir kısmını yeni aldı. "2,5 yıl sonra sonunda FTX'ten tazminatımı aldım ve Bybit'e yatırdım. Sonuç olarak, Bybit'in sıcak cüzdanı ertesi gün çalındı." Bu, bugün gecenin bir vakti en çok dolaşan cehennem şakası. Ancak, şakanın ardında, kripto endüstrisini kara bir bulut kapladı.

Gece geç saatlerde ani hırsızlık

Kripto KOL Finish, 21 Şubat saat 23:00'te, zincir üstü verilere göre Bybit'in çoklu imzalı bir adresinin 1,5 milyar ABD doları değerinde ETH'yi yeni bir adrese aktardığını duyurdu.

Paralar 0x47666fab8bd0ac7003bce3f5c3585383f09486e2 yeni adresine ulaştı ve ardından 0xa4b2fd68593b6f34e51cb9edb66e71c1b4ab449e adresine aktarıldı. 0xa4 şu anda ETH karşılığında stETH ve mETH satıyor.

“Bu adres şu anda 4 farklı DEX kullanıyor ve eğer LSD'yi yerel ETH ile değiştirirlerse, işlem yürütme çok kötü olur (daha fazla aşınma ve yıpranma). Bu ölçek genellikle OTC işlemleri aracılığıyla yapılır, bu nedenle bu alışılmadık bir durumdur.”

Yarım saat sonra, Bybit CEO'su Ben Zhou, ETH çoklu imzalı soğuk cüzdanının gizli bir saldırı ile saldırıya uğradığını ve akıllı sözleşme mantığının kurcalandığını, bunun da bilgisayar korsanlarının belirli bir cüzdanı kontrol etmesine ve tüm ETH'yi transfer etmesine neden olduğunu belirtti. Diğer soğuk cüzdanların güvenli olduğunu ve çekimlerin normal olduğunu söyledi ve çalınan fonların takibi konusunda yardım istedi ve "Canlı yayın yakında başlayacak ve tüm soruları yanıtlayacak!! Lütfen bizi izlemeye devam edin." dedi.

İlgili okuma: "Zaman Çizelgesi | Bybit 500.000'den fazla ETH çalındı, 1,5 milyar ABD doları kayıp"

Tarihin en büyük para çalınması mı?

EmberCN izleme verilerine göre, Bybit'in ETH çoklu imzalı soğuk cüzdanından 1,429 milyar ABD doları değerinde 514.000 ETH çalındı. Hacker, 49 adrese (her adrese 10.000 ETH) 490.000 ETH dağıttı. “Ek olarak, hackerlar tarafından 15.000 cmETH'nin hissesi kaldırılıyor (8 saatlik bir bekleme süresi var, bunun ele geçirilip geçirilemeyeceğini bilmiyorum).”

CoinMarketCap verilerine göre, Bybit'in saldırıdan önce 16,2 milyar dolarlık rezerv varlığı vardı ve çalınan 1,4 milyar dolarlık varlıklar bunun %8,64'ünü oluşturuyordu. Bu, kripto para tarihinde çalınan en büyük para miktarı olabilir ve tüm kripto saldırılarının %16'sını oluşturuyor. Tarihin en büyük kripto para hırsızlığı 29 Mart 2022'de Ronin Network (Axie Infinity) saldırısıydı. Bilgisayar korsanları, 173.600 ETH ve 25,5 milyon dolar USDC olmak üzere yaklaşık 620-625 milyon dolar değerinde kripto para çaldı.

Bybit'in hırsızlık haberinin yayılmasının ardından ETH kısa süreliğine 2.600 dolar aralığına düştü.

Hacker'ın saldırdığı tek şey ETH soğuk cüzdanıydı, Bybit'in sıcak cüzdanı, sıcak cüzdanı ve diğer soğuk cüzdanların hiçbiri etkilenmedi. Topluluktan gelen geri bildirimlere göre, tüm çekimler normal şartlarda 20 dakika içinde gerçekleştirilebiliyor.

Topluluk üyeleri ayrıca ChatGPT ve Grok'a Bybit'in yıllık gelir ve kar tahminlerini sordular. Her ikisinin de hesaplamaları benzerdir: Yıllık gelir yaklaşık 2 milyar ABD doları, yıllık kâr ise yaklaşık 600 milyon ABD dolarıdır.

“Bybit hala ödeme gücüne sahip. Bu hacker saldırısının neden olduğu kayıplar kurtarılamasa bile, tüm müşteri varlıkları 1:1 oranında desteklenecek ve kaybı karşılayabiliriz.” Bybit'in kurucu ortağının sözleri de bir miktar güvenilirlik kazandı.

Hırsızlığın sebebi çoklu imzalı cüzdanın güvenli olması mı?

22 Şubat'ta SlowMist'in kurucusu Yu Xian, Bybit hacker saldırı yönteminin Kuzey Koreli hackerlarınkine benzediğini söyleyen bir mesaj yayınladı. "Şu anda net bir kanıt olmasa da, Güvenli çoklu imza yöntemi ve mevcut kara para aklama yöntemine bakılırsa, Kuzey Koreli hackerlar gibi görünüyor."

Aynı zamanda DefiLlama'nın kurucusu, saldırı vektörünün Kuzey Kore ile ilgili WazirX hacker saldırısına benzediğini belirtti. Dikkatli olun.

Bybit'in kurucu ortağı ve CEO'su Ben Zhou'nun 23:44'teki duyurusu şunları gösterdi: "Bybit'in ETH çoklu imzalı soğuk cüzdanı yaklaşık 1 saat önce sıcak cüzdanımıza aktarıldı. Bu işlemin gizlenmiş gibi görünüyor. Tüm imzalayanlar doğru adresi gösteren gizlenmiş bir arayüz gördü ve URL Güvenli'den geldi."

Ancak imza bilgisi, ETH soğuk cüzdanlarının akıllı sözleşme mantığını değiştirmek içindi. Bu, bilgisayar korsanının imzaladığı belirli bir ETH soğuk cüzdanının kontrolünü ele geçirmesi ve cüzdandaki tüm ETH'yi bu doğrulanmamış adrese aktarmasıyla sonuçlandı.

SlowMist tarafından yapılan daha detaylı araştırma, güvenlik açığı hakkında daha fazla ayrıntıyı ortaya çıkardı:

1) Kötü amaçlı bir uygulama sözleşmesi UTC 2025-02-19 7:15:23'te dağıtıldı:
https://etherscan.io/address/0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516…
2) UTC 2025-02-21 14:13:35'te saldırgan, Safe'in uygulama sözleşmesini kötü amaçlı bir sözleşmeyle değiştirmek için bir işlem imzalamak üzere üç sahibi kullandı:
https://etherscan.io/tx/0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882…
3) Saldırgan daha sonra kötü amaçlı sözleşmedeki “sweepETH” ve “sweepERC20” arka kapı işlevlerini kullanarak sıcak cüzdanı çaldı.

Bu yöntemin, Ekim 2024'teki Radiant Capital hırsızlığıyla da bazı benzerlikleri var:

O dönemde Radiant Capital, yaklaşık 50 milyon dolarlık fonun çalınmasıyla sonuçlanan bir güvenlik ihlali yaşadı. Saldırganlar, en az üç çekirdek geliştiricinin cihazlarını enfekte etmek için kötü amaçlı yazılım kullandı. Bu geliştiricilerin hepsi uzun süredir DAO'ya katkıda bulunan ve işlemleri gerçekleştirmek için donanım cüzdanları kullanan güvenilir kişilerdi. Bilgisayar korsanı, kurbanın işlemi imzalarken işlemin meşru bir işlem olduğuna yanlışlıkla inanmasını sağlamak için Safe{Wallet}'ın (yani Gnosis Safe) ön uç arayüzünü bozdu, ancak aslında arka planda kötü amaçlı işlemler yürütülüyordu.

Saldırı süreci, geliştiricinin cihazına son derece karmaşık bir kötü amaçlı yazılım yerleştirilmesi ve işlemleri imzalarken bilgisayar korsanının kötü amaçlı işlemlerini istemeden onaylamasına neden olmaktır. Safe{Wallet}'ın ön yüzünde herhangi bir anormallik görülmedi ve bu durum, mağdurların işlemin kurcalandığını tespit etmesini imkansız hale getirdi. Bilgisayar korsanları, işlem başarısızlıklarının yaygın olgularından (örneğin gaz ücreti dalgalanmaları, senkronizasyon gecikmeleri, vb.) yararlanarak geliştiricilerin birden fazla kez yeniden imzalamasını sağlar ve bu sayede birden fazla geçerli kötü amaçlı imza elde ederler. İşlemler Tenderly gibi araçlarla simüle edilip denetlenmesine rağmen, zararlı yazılımın geliştiricinin cihazını manipüle etmesi ve saldırının zamanında fark edilememesi nedeniyle tüm kontrol sonuçları hala normal çıktı.

İlgili okuma: "Radiant Capital Otopsi Raporu"

Tüm suçlamalar Güvenli çoklu imzalı cüzdana yöneltilmiş gibi görünüyor.

Safe, Ethereum ekosistemindeki en çok tekrar kullanılan çoklu imzalı cüzdandır ve aynı zamanda büyük yatırımcılara özel bir cüzdandır. Safe'in bu yıl token'ını piyasaya sürmesiyle birlikte en çok airdrop yapılan 100 adresin listesi neredeyse tamamen proje partilerinden veya kurumlardan oluşuyordu. OP, Polymarket, Drukula, Worldcoin, Lido vb. dahil. İlgili okumalar: "Safe işlem görmeye başlıyor, token ekonomisi ve ekolojisine genel bakış"

Başlangıçta Safe'in hedef kitlesi daha çok DAO ve kripto para birimi projeleriydi. Ancak kripto sektörü bir sonraki aşamaya geçerken, geleneksel finans, geleneksel kurumlar, aile fonları ve eski paralar birbiri ardına piyasaya girdi ve Trump ailesi gibi daha fazla geleneksel kurum, çoklu imzalı cüzdan Safe'i kullanmaya başladı.

Kasanın tasarımı, fon yönetiminin güvenliğini büyük ölçüde artırır. Çoklu imza mekanizması sayesinde fonlar akıllı sözleşme adresinde saklanır ve işlemler yalnızca önceden belirlenmiş sayıda imzaya (örneğin 3/10) ulaşıldıktan sonra yürütülebilir. Bu mekanizma tek nokta hatalarının riskini etkili bir şekilde azaltır. Bir imza adresi özel anahtarı sızdırılsa bile, bir saldırganın işlemi tamamlamak için yeterli imzayı elde etmesi zordur.

Şu anda Safe güvenlik ekibi şunları söyledi: "Resmi Safe ön ucunun hacklendiğine dair hiçbir kanıt bulunamadı. Ancak tedbir amaçlı olarak Safe{Wallet} belirli işlevleri geçici olarak askıya aldı." Bybit ile yakın bir şekilde çalışıyor ve devam eden bir soruşturma yürütüyor.

Bazı topluluk üyeleri Güvenli'yi alay konusu yapmaya başladı: çoklu imza, gerçeği örtbas etmek için kullanılan bir dekorasyondan başka bir şey değil. Aynı zamanda, birçok sektör uygulayıcısı da sektör hakkında düşüncelerini ve endişelerini dile getirdi: "Çoklu imzalı cüzdanlar güvenli değilse, o zaman bu sektörü kim ciddiye alacak?"｜

Olayla ilgili soruşturma hala devam ediyor ve BlockBeats dikkatli olmaya devam edecek.

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia