Binance'in hacklenme nedeni basit bir hata mıydı? Saldırı sürecinin gözden geçirilmesi toplulukta iki kutuplu tartışmalara yol açtı

Binance daha önce yaşanan hack olayına ilişkin resmi bir değerlendirme yayımlayarak saldırı yolunu, kayıp detaylarını ve zaman çizelgesini açıkladı. Yaklaşık 6,34 milyar dolarlık hack olayının saldırı zinciri yaklaşık 4 ila 5 ayı kapsıyor; haziran ayında cüzdan operasyon mühendisi yapay zeka programlama aracı ararken değiştirilmiş bir Homebrew kurulum paketi indirdi, eylül ayında ise başka bir mühendis işe alım platformunda sahte bir mülakat davetiyle karşılaştı ve terminal korumasını atlatarak indirdiği "ödev" dosyasıyla tuzağa düştü. Hackerlar daha sonra dahili yapay zeka araçları üzerinden yatay hareket ederek konteyner dağıtım token'ını ele geçirdi ve nihayetinde cüzdan imzalama hizmetine ulaştı.

Değerlendirme yayımlandıktan sonra kripto topluluğu hızla iki kampa ayrıldı. Bir taraf, Binance'in güvenlik mimarisi, anahtar yönetimi veya acil müdahale konularında belirgin hatalar yaptığını ve bunun önlenebilir bir ihmal olduğunu savunuyor; diğer taraf ise son derece karmaşık APT, tedarik zinciri zehirleme ve sosyal mühendislik karşısında bu tür olayların doğası gereği önlenmesinin neredeyse imkânsız olduğunu, sorumluluğun platformdan çok saldırganlarda olduğunu vurguluyor.

SlowMist kurucusu Cosine'un tutumu "önlenmesi imkânsız" görüşüne daha yakın; yaptığı açıklamada Binance'in ifşa ettiği hack sürecinin gelişmiş kalıcı tehdit (APT) saldırısı olduğunu ve bunun yalnızca mühendislerin operasyonel hataları veya aşırı yetkileri üzerinden anlaşılamayacağını belirtti. Bu tür saldırılar istihbarat keşfi, sosyal mühendislik, kötü amaçlı kodun tespitten kaçınması, güven zinciri istismarı, yatay zehirleme, bulut ortamı sızması ve risk kontrolünün atlatılması gibi birden çok halkayı birbirine bağlayabilir, ayrıca sıfır gün açıklarının kullanımını da içerebilir. Başlangıçtaki sosyal mühendislik saldırı zincirinin yalnızca bir halkasıdır; görünüşte basit bir yöntem belirli bir ortamda ciddi sonuçlara yol açabilir.

CoinEx kurucusu Yang Haipo ise "önlenebilirdi" yönünde üç teknik eleştiri sundu:

Birincisi, üretim ortamı izole edilmemiş: üretim yetkisine sahip makinelere üçüncü taraf yazılım, sohbet aracı kurulmamalı, bu makineler tarama ve mülakat ödevi indirme için kullanılmamalı, özel üretim makinesi olmalı; geliştirme ve operasyon ortamları kesin olarak ayrılmazsa saldırı giriş noktası haline gelir.

İkincisi, operasyon yığınında anlamlı 2FA eksik: tek anahtarla kritik işlemler tamamlanabiliyorsa bu, gerçek anlamda ikinci bir kapı olmadığı anlamına gelir; daha güvenli yaklaşım donanım anahtarı, Session Manager gibi zorunlu oturum kontrolleridir.

Üçüncüsü, MPC çoklu imza "sözde" kalmış: nominal olarak birden çok taraf imzalıyor ancak imzalayan taraflar orijinal işlem niyetini bağımsız olarak doğrulayamıyorsa tek bir düğümün ele geçirilmesi tüm mekanizmayı çökertebilir. Ona göre Binance ortam izolasyonu, yetki minimizasyonu ve bağımsız doğrulamayı sağlam şekilde uygulasaydı bu tür saldırı giriş noktaları büyük ölçüde daraltılabilirdi.

OKX CEO'su Star ise "çok katmanlı derinlemesine savunmanın adıyla gerçeği uyuşuyor mu" açısından yaklaşarak platform sorumluluğunun hafifletildiğini ve geleneksel bankaların güvenliğini küçümseyerek kendi hatalarının mazeret üretilmeye çalışıldığını düşünüyor. Star, Binance'in sürekli "fonların yalnızca %2'si çıktı" vurgusu yaptığını ancak bu rakamın platform güvenliğine ilişkin endişeleri yanıtlamadığını belirtti; ayrıca Binance'in kriz döneminde pazarlama faaliyetleriyle yeni mevduat çekmeye devam etmesini sorguladı ve kripto platformları ile geleneksel bankaların karşılaştığı tehditler, saldırı yüzeyleri ve olası sonuçların farklı olduğunu, bu bağlamdan kopuk şekilde ikisinin güvenliğini karşılaştırmanın yanıltıcı olduğunu ifade etti. Star'a göre olay, kripto sektörünün geleneksel sermaye piyasaları, kurumsal yatırımcılar ve düzenleyiciler nezdindeki itibarına zarar verebilir ve Binance'in iddia ettiği "çok katmanlı güvenlik savunması"nı da sorgulatıyor.

Güvenlik denetçisi pashov, Binance geliştiricilerinin saldırganların giriş noktasını kapatabileceğini, platformun operasyonel disiplininin geliştirilmesi gerektiğini düşünüyor. Belirttiğine göre. Mac'e kurulacak her yazılım resmi kaynaktan indirilmeli ve kaynak birkaç kez doğrulanmalı; iş bilgisayarı kesinlikle mülakat için kullanılmamalı; mülakat kodu çalıştırılması gerekiyorsa mutlaka sandbox ortamında yürütülmeli, doğrudan üretim yetkisi olan makinede değil. Basit ve sıkıcı disiplin bir kez titizlikle uygulandığında, saldırı başarı oranı büyük ölçüde azalabilir.

Kripto yatırımcısı blanker ise Binance'in olay sonrası analizini okuduktan sonra hâlâ "gerçekten biraz fazla amatörce" bulduğunu söyledi. Herkes için zorunlu bastion sunucusu, dinamik MFA, masadan ayrılırken ekran kilidi, bunlar bir borsa platformunun standart donanımı olmalı; Binance'in temel güvenlik hijyeni daha sıkı olabilirdi, bu olay önlenemez değildi.

Eski PayPal Başkanı David Marcus, Binance saldırı olayının bir operasyonel güvenlik sorunu olduğunu düşünüyor, kriptografi veya zincirin kendisinin başarısızlığı değil; platformun mutabakat hızı arttıkça eski güvenlik modeli mevcut ihtiyaçların gerisinde kalmış.

Dragonfly ortağı Haseeb Qureshi, kripto platformu altyapı tasarımının varsayılan olarak "ele geçirileceğini" kabul etmesi gerektiğini düşünüyor, yedi gün yirmi dört saat yapay zeka izleme ve gerçek bir "tek tuşla kapatma" acil durum anahtarı ile donatılmalı, olay anında panik yaşanmamalı.

Telaga Charity kurucusu ashen birden fazla soruyu sıraladı: mühendislerin iş bilgisayarıyla iş başvurusu mülakatına katılması, borsa platformu anahtarlarına ve yetkilerine erişebilen cihazlara gelişigüzel yazılım kurulması, saldırının yapay zeka ile doğrudan kırılmamış olması, sanal makine izolasyonunun görülmemesi ve şaka yollu "yapay zeka ile insanları değiştirsek, en azından daha az sosyal mühendislik olurdu" demesi. Ona göre, enfekte olmuş tek bir bilgisayar milyarlarca dolarlık sıcak cüzdanı etkileyebiliyorsa, bu yetki izolasyonu ve cihaz kontrolünün kendisinde kusur olduğunu gösterir; neden donanım anahtarı, özel makine veya kopyalamayı devre dışı bırakan uzak sanal makine olmadığı konusunda uyanık olunmalı.

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia