Bybit'in Ethereum soğuk cüzdanı hacklendi: 1.46 milyar dolar çalındı

Global blok zinciri güvenlik şirketi CertiK Research, son raporunda Bybit’in Ethereum(ETH) soğuk cüzdanının kötü amaçlı bir akıllı sözleşme yükseltmesi nedeniyle hacklendiğini ve yaklaşık 1.46 milyar dolar değerinde fonun çalındığını açıkladı. Bu olay, kimlik avı saldırıları yoluyla çoklu imza cüzdanlarının güvenlik açıklarını hedef alan bir saldırı olarak değerlendiriliyor ve Web3 tarihindeki en büyük güvenlik ihlallerinden biri olarak kaydedilmesi bekleniyor.

21 Şubat 2025'te (UTC) Bybit’in soğuk cüzdanı (0x1db92e...) hackerların hedefi oldu. CertiK Research, saldırganın Safe cüzdan arayüzünü kullanarak işlem sürecini meşru bir işlem gibi gösterdiğini ve imzalayıcıları kandırdığını belirtti. Saldırgan, bu yöntemle üç geçerli imza elde etmeyi başardı ve Safe çoklu imza cüzdanının akıllı sözleşmesini kötü amaçlı bir versiyon ile değiştirerek fonları ele geçirdi.

Hackerlar, saldırı sırasında işlem geçmişini manipüle etmek için gelişmiş teknikler kullandı. Özellikle Safe cüzdanının ‘delegatecall’ özelliğini kullanarak ana sözleşme adresini değiştirmeleri, cüzdandaki tüm varlıkları transfer edebilmelerini sağladı. Bu işlemler, normal bir transfer isteği gibi görünüyordu, ancak aslında imza Ledger donanım cüzdanına gönderildiğinde kötü amaçlı kod devreye giriyordu.

Şu ana kadar çalınan fonların 401,346 ETH, 15,000 cmETH ve 90,375 stETH olduğu tespit edildi. CertiK Research, bu saldırının bireysel hackerlar yerine büyük ölçekli bir siber suç örgütü tarafından gerçekleştirilmiş olabileceğini değerlendiriyor. Zincir üstü analiz uzmanı @zachxbt, olayın Kuzey Kore bağlantılı Lazarus Group ile bağlantılı olabileceğini iddia ederek, belirli adres kalıplarının ve geçmiş saldırı yöntemlerinin benzerliğine dikkat çekti.

Bybit, olayın hemen ardından hızlı bir müdahale başlattı. CEO Ben Zhou, X (eski adıyla Twitter) üzerinden yaptığı açıklamada, “İşlem imzalama sürecinde şüpheli bir durum tespit edemedik” diyerek, “Ledger donanım cüzdanlarıyla yapılan imza doğrulama sürecini daha da güçlendireceğiz” ifadelerini kullandı. Ancak bazı uzmanlar, Safe cüzdan arayüzünün saldırganlar tarafından değiştirilmiş olabileceğini öne sürerek, bu saldırının yalnızca iç güvenlik ihmalinden değil, daha sofistike bir siber saldırıdan kaynaklandığını savunuyor.

Bu olay, Web3 güvenlik ekosistemine önemli dersler sundu. Kör imzalama (blind signing) yöntemi kullanıldığında, işlem detaylarının tam olarak doğrulanamaması nedeniyle büyük zararlar yaşanabileceği bir kez daha ortaya çıktı. Uzmanlar, donanım cüzdanlarıyla işlem yaparken ekrana yansıyan işlem detaylarını dikkatle incelemeyi ve çok cihazlı doğrulama süreçlerini zorunlu hale getirmeyi tavsiye ediyor.

Web3 güvenlik uzmanları, siber saldırı tekniklerinin giderek daha sofistike hale geldiğine dikkat çekerek, kripto para borsaları ve finansal kurumların büyük ölçekli saldırılara karşı güvenlik sistemlerini kapsamlı şekilde gözden geçirmesi gerektiğini belirtti. CertiK Research, “Bu olay, DeFi ve merkezi borsalara (CEX) yönelik benzer saldırıların devam edebileceğini gösteriyor. Büyük ölçekli hack saldırılarını önlemek için güvenlik eğitimlerinin artırılması ve çoklu kimlik doğrulama süreçlerinin geliştirilmesi gerekiyor” değerlendirmesinde bulundu.