Yazar: WhiteRunner

Son yıllarda borsaların büyük güvenlik olaylarıyla karşılaşması nadir değil; saldırı giriş noktaları sıcak cüzdanlardan ve imza sistemlerinden yavaş yavaş iç yetkilere ve üçüncü taraf hizmetlere kadar uzanıyor. Sistemler giderek karmaşıklaştıkça, borsaların savunması gereken sınırlar da giderek genişliyor.

25 Eylül'de Bitget bir güvenlik olayı yaşadı ve sonunda yaklaşık 388 milyon dolar değerinde varlığın etkilendiği doğrulandı. CEO Gracy Chen ardından canlı yayında bunun platformun sekiz yıllık faaliyeti boyunca yaşanan ilk bu tür güvenlik olayı olduğunu belirtti. SlowMist'in açıkladığı soruşturma sonuçlarına göre, ilk tespit edilen kötü niyetli faaliyet üçüncü taraf bir güvenlik ürününün düğümündeki bir sıfır gün açığını içeriyordu. Mandiant ve SlowMist'in soruşturmaları, saldırı yolunu üçüncü taraf güvenlik altyapısının ihlal edilmesine ve nihayetinde Bitget'in cüzdan ortamına girilmesine işaret ediyor.

Olayın ardından Bitget, kayıpların Kullanıcı Koruma Fonu tarafından karşılanacağını duyurdu. Olay sırasında 2022'de kurulan bu fon, değeri 464 milyon doları aşan 5.500 BTC tutuyordu. Gracy, koruma fonunun kullanıldıktan sonra bir hafta içinde 300 milyon dolara tamamlanarak 2022'de kuruluşunda belirlenen temel büyüklüğe geri döneceğini taahhüt etti. 30 Eylül'de bu taahhüt zamanında yerine getirildi.

Para çekme işlemleri de daha önce açıklanan takvime göre yeniden başladı. 28 Eylül saat 16:00'da önce BTC için para çekme açıldı; 29'unda ETH para çekme işlemleri yeniden başladıktan sonra ilgili sıcak cüzdanlar net çıkıştan hızla net girişe döndü ve kısa sürede bakiye, para çekme açılmadan önceki başlangıç seviyesini bile hafifçe aştı; kullanıcı güveni geri dönüyor. Bu makalenin yazıldığı sırada tüm coinler için para çekme işlemleri yeniden başlamış durumda.

Yaklaşık 400 milyon doların çalınmasından para çekme işlemlerinin yeniden başlamasına ve fonların yeniden akmasına kadar sadece birkaç gün geçti. Hackerlar özel anahtar sızdırılmadan varlıkları tam olarak nasıl transfer etti? Dört yıl boyunca hazırlanan bir koruma fonu gerçekten nasıl işe yaradı? Bitget olayın gidişatını değiştirmek için ne yaptı?

Bir: Hackerlar üçüncü taraf bir güvenlik ürününü kırmak için sıfır gün açığını kullandı

Bu saldırının oldukça özel bir yönü, Bitget'in özel anahtarının sızdırılmamış olması, soğuk cüzdanın da kırılmamış olması ve bunun bir akıllı sözleşme açığı da olmamasıdır. Hackerların bulduğu giriş noktası, platformun kullandığı üçüncü taraf bir güvenlik ürünüydü.

Bitget'in şu ana kadar açıkladığı soruşturma sonuçlarına göre, Pekin saatiyle 25 Eylül 02:31 civarında zincir üzerinde ilk doğrulanan ilgili küçük transferler görüldü ve ardından daha büyük ölçekli varlık transferleri başladı.

Gracy, The Block'e verdiği röportajda, 02:58 ile 04:09 arasında saldırganların Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism ve Avalanche gibi birden fazla ağ üzerinden 17 büyük işlem gerçekleştirdiğini belirtti. Sonraki istatistiksel eklemelerle birlikte Bitget, bu olayın yaklaşık 388 milyon dolar değerinde varlığı etkilediğini kesinleştirdi.

03:05'te, yani ilk büyük transferden yaklaşık 7 dakika sonra, Bitget'in mutabakat sistemi belirgin bir fon farkı tespit etti ve tüm platformda para çekme işlemlerini bloke etti; 03:14'te platform en üst düzey acil durum müdahalesini başlattı. O sırada özel anahtar sızıntısı henüz ekarte edilemediğinden, cüzdan ekibi varlıkları soğuk cüzdana taşıdı ve cüzdan para çekme ile imzalama hizmetlerini kapattı.

Ardından güvenlik ekibi olayın kök nedenini doğruladı. Şu ana kadar açıklanan saldırı zincirine göre, hackerlar bir üçüncü taraf güvenlik ürününde daha önce bilinmeyen bir sıfır gün açığını kullandı.

Sıfır gün açığı, üretici ve kullanıcı tarafından daha önce bilinmeyen ve önceden devreye alınabilecek hazır bir yaması bulunmayan güvenlik açığını ifade eder. Başka bir deyişle, bu daha önce bilinmeyen bir saldırı girişidir. Bundan sonra yaşananlar, bu yaklaşık 400 milyon dolarlık kaybı anlamanın anahtarıdır.

Bu açığı kullanan saldırganlar, üçüncü taraf güvenlik ürünündeki açık üzerinden iç ağ yetki kimlik bilgilerini çaldı, cüzdan sistemine sahte para çekme emirleri gönderdi ve cüzdanı risk doğrulamasını atlayan anormal transferler yapmaya kandırdı. Tüm süreçte özel anahtarlar sızmadı ve soğuk cüzdan da etkilenmedi.

Gracy ayrıca saldırganların işlemi tamamladıktan sonra ilgili izlerin bir kısmını sildiğini ve bunun soruşturma ile saldırı sürecinin yeniden canlandırılmasını zorlaştırdığını belirtti.

Bitget bunun ardından etkilenen üçüncü taraf işlevini devre dışı bıraktı, iç kimlik bilgilerini yeniden düzenledi, yüksek hassasiyetli yetkileri geri aldı ve yeniden böldü, ayrıca para çekme işlemlerine bağımsız doğrulama ekledi. Mandiant ve SlowMist halen bağımsız adli soruşturma ve fon takibine katılmaktadır.

Bu olayın sektöre bıraktığı doğrudan uyarı şudur: Borsaların güvenlik sınırı artık yalnızca özel anahtarlar ve soğuk cüzdanlardan ibaret değildir. Güvenlik yazılımları, cüzdan altyapısı ve çekirdek sistemlere erişebilen diğer üçüncü taraf hizmetler de saldırı girişi haline gelebilir.

II. Koruma fonu devreye alınmaya başladı, para çekme işlemleri zaman çizelgesine göre yeniden başlıyor

Olayın ardından bir borsayı gerçekten test eden şey, kaybın kim tarafından karşılanacağı ve yönetimin kullanıcılarla nasıl yüzleşip onları nasıl teselli edeceğidir.

Bitget öncelikle koruma fonunu devreye aldı.

Bu fon 2022 yılında kurulmuş ve uzun süre 300 milyon dolar baz büyüklüğünde tutulmuştur. Olay gerçekleştiğinde fon 5.500 BTC'ye sahipti ve değeri 464 milyon doları aşıyordu; bu da nihai olarak onaylanan yaklaşık 388 milyon dolarlık zararı karşılamaya yeterliydi.

Bitget daha sonra bu olayın yarattığı mali etkinin koruma fonu tarafından karşılanacağını ve kullanıcı hesap bakiyelerinin etkilenmeyeceğini açıkça belirtti.

28 Eylül'de BTC çekim işlemleri yeniden başlamadan önce, zincir üzerinde koruma fonunun sıcak cüzdanlara varlık aktarmaya başladığı görülebiliyordu. Zincir üstü analist Ai Yi, başlangıçta ilgili koruma fonu adresinden Bitget sıcak cüzdanına 2.042,28 BTC transfer edildiğini tespit etti (Bitget koruma fonu zincir üstü izleme).

Bu, Bitget'in bu süreçteki en dikkate değer endüstri referanslarından biridir.

Bu koruma fonu, olay gerçekleştikten sonra geçici olarak açıklanan bir tazminat planı değil, dört yıl önce kurulmuş bir yapıdır. Fon uzun vadeli olarak rezervde tutulmuş, cüzdan adresleri kamuya açık ve doğrulanabilir olmuş, ayrıca net bir büyüklük bazı belirlenmiştir; olay gerçekten gerçekleştikten sonra fiilen kullanılmış ve kullanım sonrasında orijinal standarda göre yeniden tamamlanmıştır.

Koruma fonu zararın karşılanması sorununu çözdü. Bu sefer yaklaşık 400 milyon dolarlık zarar nihayetinde kullanıcılara yansıtılmadı. Gracy, Bitget'in koruma fonunu bir hafta içinde en az 300 milyon dolara yeniden tamamlayacağını belirtti ve zincir üstü izleme verilerine göre bu taahhüt zamanında yerine getirildi.

Bitget ayrıca 30 Eylül'de 47. rezerv kanıtını (PoR) yayınladı; toplam rezerv oranı %131 olup 19 varlık türünü kapsamaktadır. Bunlar arasında BTC, ETH, USDT ve USDC rezerv oranları sırasıyla %142, %110, %107 ve %154'tür.

Mali konuların ötesinde, Bitget'in bu günlerdeki iletişim yaklaşımı da dikkate değerdir.

Gracy topluluğa yönelik canlı yayında yaklaşık üç saat boyunca kesintisiz yanıt verdi; Xie Jiayin de sosyal medya ve topluluk üzerinden gelişmeleri güncellemeye devam etti. Üç saatlik canlı yayın tek başına önemli değil; daha da önemlisi, olayın en kaotik günlerinde yönetimin her zaman ön planda durarak soruları yanıtlamasıydı.

Ayrıca birkaç kritik açıklamada temel olarak net bilgiler veya bir sonraki adım planı verildi.

Kaybın kim tarafından karşılanacağı kısa sürede netleşti ve koruma fonu tarafından karşılanacağı belirtildi; etkilenen tutar 351,6 milyon dolardan 388 milyon dolara revize edildikten sonra rakamdaki değişimin nedeni açıklandı; saldırı giriş noktası doğrulanmadan önce saldırganın kimliği ve saldırı yöntemi hakkında aceleyle sonuç çıkarılmadı; soruşturmada ilerleme kaydedildikten sonra üçüncü taraf güvenlik ürünleri, sıfır gün açığı, yüksek yetkili kimlik bilgileri ve sahte çekim talimatları gibi ayrıntılar kademeli olarak açıklandı.

Çekim işlemlerinin yeniden başlatılması da aynı şekildeydi.

Bu olay birden fazla kripto para birimini ve birden fazla ağı kapsıyordu ve inceleme kapsamı tek bir cüzdanla sınırlı değildi. Bitget tüm çekim işlemlerini tek seferde yeniden başlatmadı; ilgili cüzdanlar, ağlar ve riskler tek tek doğrulanıp ortadan kaldırıldıktan sonra kademeli olarak açtı.

26 Eylül'de platform kesin yeniden başlatma takvimini duyurdu: 28 Eylül'de BTC, 29 Eylül'de ETH ve ilgili ağlar, 30 Eylül'de USDT ve ilgili ağlar, diğer tokenlar, itibari para ve C2C hizmetleri ise 2 Ekim'de yeniden başlatılacaktı. Yayın öncesinde tümünün planlandığı gibi yeniden başlatıldığı doğrulandı.

Birden fazla kripto para birimi, birden fazla ağ, üçüncü taraf yazılımı ve iç yetkileri kapsayan büyük bir güvenlik olayı olduğu düşünüldüğünde, önce tarih ve saate kadar spesifik bir yeniden başlatma planı sunulması ve ardından bunun adım adım yerine getirilmesi takdire değerdir.

Koruma fonu dört yıl önceden hazırlandı ve gerçekten bir sorun çıktığında kullanılmak üzere devreye alındı; yönetim toplulukla sürekli iletişim halinde kaldı; kesinleşen bilgiler zamanında paylaşıldı, kesinleşmeyen bilgiler için aceleyle sonuç çıkarılmadı; kurtarma planı net bir zaman çizelgesi sundu ve bu çizelgeye göre uygulandı.

Bu dizi temiz ve kararlı eylem, birçok kişinin Bitget'e daha olumlu bakmasını sağladı.

Üç, Olayın Dönüm Noktası Görüldü, Fonlar Yeniden Net Girişe Geçti

29 Eylül'de ETH çekim işlemleri yeniden açıldıktan sonra zincir üzerinde dikkate değer bir değişiklik hızla ortaya çıktı.

Zincir üstü analist Ai Yi'nin izlemelerine göre, Bitget'in ETH çekimlerini karşılamak için hazırladığı ilgili sıcak cüzdanların bakiyesi, çekimler açıldıktan sonraki yarım saat içinde yeniden 30 bin ETH'nin üzerine çıkarak başlangıç değerini aştı.

Bitget'in ardından açıkladığı veriler, çekimlerin yeniden açılmasından sonraki ilk saatte yaklaşık 9.674 ETH girişi ve yaklaşık 9.023 ETH çıkışı olduğunu, net girişin yaklaşık 651 ETH olduğunu gösterdi. 30 Eylül verilerine göre, 24 saatlik platform fon girişi 231 milyon dolara ulaştı; bu, bu yıl Ağustos ayındaki günlük ortalama 245 milyon dolarlık fon girişine yakın bir seviyeydi. Piyasanın daha önce endişe ettiği tek yönlü fon çıkışı yaşanmadı; aksine piyasa güveninin toparlandığı görüldü.

Aynı zamanda Bitget, kullanıcıların güvenini geri kazanmak için birçok teşvik etkinliği başlatmaya başladı.

ETH PoolX, 500 bin USDT ödül havuzu sunuyor; kullanıcılar ETH kilitleyerek dağıtıma katılabiliyor. Etkinliğin erken dönem sayfasında tahmini APR bir ara yaklaşık %37,11'e ulaştı, ardından katılan fon arttıkça dinamik olarak geriledi.

BTC PoolX daha sonra devreye alındı; 100 bin BGB ödül havuzu sunuyor ve kullanıcıların önceki 15 günlük BTC varlıklarına göre ek bonus sağlıyor.

Stablecoin tarafında Bitget, aynı dönemde USDT ve USDGO vadeli olmayan finansman etkinlikleri başlattı; bu ürünler dilediğiniz zaman yatırma ve çekme imkânı sunuyor ve sınırlı süreli APR oranları sırasıyla %10 ve %12'ye ulaşıyor. "Hemşehri Planı" ise etkinlik döneminde uygun koşulları taşıyan işlem ücreti gelirinin %30'unu kullanıcı ödül havuzuna dahil ediyor; bunun %60'ı işlem hacmine göre, %40'ı varlık miktarına göre dağıtılıyor. 2 Ekim'de Bitget'in resmi verileri ilk ödül grubunun dağıtıldığını gösterdi; toplamda 763.543 kullanıcıya 1.907.455 USDT ödendi.

Bu etkinliklerin amacını anlamak zor değil. Çekim işlemlerinin yeniden başlaması kullanıcıların "gidip gidemeyeceği" sorununu çözerken, ardından başlatılan bir dizi etkinlik ise işlem, finansman ve fon birikimini yeniden harekete geçirmeyi amaçlıyor.

Kısa süre sonra birçok kullanıcı parasıyla oy vererek Bitget'e duyduğu güveni ve etkinliklere gösterdiği ilgiyi ortaya koydu.

Birkaç gün önce piyasanın en çok merak ettiği şey hâlâ "para ne zaman çekilebilecek"ti; çekim işlemlerinin yeniden başlamasıyla birlikte soru "hangi etkinliğe katılırsam daha yüksek APR elde ederim"e dönüştü.

Olayın dönüm noktasına işaret eden sinyaller.

Bir borsa için kullanıcı güveninin yeniden tesis edildiğinin en doğrudan kanıtı, serbestçe girip çıkabildikleri hâlde paralarını borsada tutmaya istekli olmalarıdır.

Dört: Bir güvenlik olayı borsa sektörüne ne bıraktı

Bitget'te yaşanan bu olayın ardından neredeyse sektörün "yarısı" destek verdi.

Bunların içinde en dikkat çekeni Bybit.

Şubat 2025'te Bybit yaklaşık 1,4 milyar dolarlık bir güvenlik olayı yaşadı. Saldırıdan yaklaşık 5 saat sonra Bitget, Bybit'e 40.000 ETH sağladı; bu o dönemde 100 milyon doların üzerinde bir değere sahipti. Bu 40.000 ETH için faiz yoktu, teminat yoktu ve sabit bir geri ödeme süresi de kararlaştırılmamıştı. Bybit daha sonra üç gün içinde tamamını geri ödedi.

Bir yıldan fazla süre sonra tarafların konumu değişti. Bitget'te olay yaşandıktan sonra Bybit CEO'su Ben Zhou kısa süre içinde yardım sağlamaya hazır olduğunu açıkça belirtti ve özellikle şunu söyledi: "Biz hacker saldırısına uğradığımızda Bitget bize yardım etmişti." Ardından Bybit, ilgili çalınan fonları LazarusBounty sistemiyle takip etmeye başladı.

Ortaya çıkanlar yalnızca Bybit değildi. CZ olayın ardından kamuoyu önünde destek verdi; Binance güvenlik ekibi daha sonra Bitget ile işbirliği yaptı; buna tehdit istihbaratı paylaşımı, çalınan fonların takibi ve varlık kurtarma desteği dahildi. MEXC CEO'su Vugar Usi de inisiyatif alarak Bitget'e destek mesajı gönderdi. Borsaların dışında Mandiant ve SlowMist soruşturma ve adli bilişim süreçlerine katıldı; Circle ve Tether ilgili varlıkların dondurulmasında yer aldı.

Bu haberleri gördüğümde gerçekten biraz heyecanlandım.

Kripto sektöründe rekabet hiç eksik olmaz. Borsalar kullanıcılar için, likidite için, pazar payı için yarışır; ancak gerçekten yüz milyonlarca dolarlık bir güvenlik kriziyle karşılaşıldığında, aynı sektörün oyuncuları bir araya gelir.

Bitget'in bir platform olarak sektörde gerçekten güven ve saygı kazanıp kazanmadığı ise en çok kriz anlarında belli olur.

Ancak bu olayı yalnızca "zor günde dost belli olur" sözüyle sınırlamak, taşıdığı anlamı hafife almak olur.

Kripto sektöründe her şeyi arkasında toplayan bir merkezi kurum yok; ancak koruma fonları, sektör içi iş birliği, güvenlik kurumları ve zincir üstü takip, kendi risk yönetim ağını oluşturuyor. Aynı zamanda sıcak cüzdanlardan imza sistemlerine, üçüncü taraf yazılımlardan iç yetkilere kadar borsaların savunması gereken sınırlar da giderek genişliyor: saldırılar giderek karmaşıklaşıyor ve sektörün birlikte hareket etmesi gerekiyor.

Koruma fonu kurmak, olay sonrasında açıklık ve şeffaflığı koruyup verilen sözleri tutmak ve sektör iş birliği yapmak artık kriz yönetiminde üstün bir model olarak kabul ediliyor; Bitget bunu şimdiden ciddiyetle ortaya koydu.

Son iki yılda kripto sektörü sürekli Mass Adoption'dan bahsediyor. ETF'ler, stablecoin'ler, RWA ve tokenize menkul kıymetler daha fazla geleneksel finans sermayesini içeri getirirken, ABD'de düzenleyici çerçeve de adım adım oluşturuluyor. Bu noktaya gelindiğinde sektörün kanıtlaması gereken şey artık yalnızca inovasyon ve büyüme değil; aynı zamanda riskleri yönetme kabiliyeti.

Bitget bu kez 400 milyon dolar ile bir platformun kriz karşısındaki sorumluluk duygusunu test etti. Kriz bir platformu bitirmez, sorumluluk bir platformu yeniden tanımlayabilir.

Ana akım finansa doğru ilerleyen kripto sektörü için bu da kaçınılmaz bir sınav. Hiçbir finansal sistem "asla bir şey ters gitmez" varsayımı üzerine kurulamaz. Gerçekten bir şey ters gittiğinde ödeyip ödeyemeyeceğiniz, açıklayıp açıklayamayacağınız ve toparlanıp toparlanamayacağınız ise sorumluluğu ve sınırları test eder.

Finans dünyasının kripto sektörünü nihayetinde nasıl değerlendireceği, belki de onun kötü bir günle nasıl doğru şekilde başa çıktığına bağlı olacak.

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia