110 milyon dolarlık hack: Temmuz'da hata bildirimleri yüzde 18 arttı

Kripto para sektörü Temmuz ayında hack saldırıları nedeniyle yaklaşık 110 milyon dolarlık kayıp yaşadı. Aynı dönemde doğrulanıp ödüllendirilen bug bounty (hata ödülü) bildirimleri bir önceki aya göre yüzde 18 arttı.

Siber güvenlik platformu Immunefi, 10'unda (yerel saatle) yayımladığı açıklamada bu verileri paylaştı; The Block konuyu haberleştirdi. Immunefi, Temmuz ayında doğrulanan hata bildirimleri için araştırmacılara toplam 2,32 milyon dolar ödeme yaptığını belirtti.

Bug bounty programları aracılığıyla önceden engellenen tehdit sayısı 374 olarak kayıtlara geçti. Bu rakam, Mayıs ayındaki 339 ve Haziran ayındaki 317 tehdidin üzerinde.

Araştırmacılara ödenen kümülatif tutar Haziran'daki 140,8 milyon dolardan Temmuz'da 143,1 milyon dolara yükseldi. Bir aylık artış 2,3 milyon dolar oldu.

Bug bounty, güvenlik araştırmacılarının bir hizmet veya kod tabanındaki açıkları bulup ilgili ekibe bildirmesi, bildirimin geçerli çıkması halinde ödül alması esasına dayanan bir sistem. Amaç, kötü niyetli aktörler açığı istismar etmeden önce dışarıdan araştırmacıların bu açıkları tespit etmesini sağlamak.

Immunefi, denetim yöntemine göre açık bulma performansını da karşılaştırdı. 'Tier 1' olarak adlandırılan 1178 birinci sınıf denetim incelendiğinde, kritik veya yüksek önem derecesine sahip açıkların medyan (ortanca) değeri sıfır çıktı.

Immunefi'nin düzenlediği 58 denetim yarışmasında (audit contest) ise denetim başına ortalama 6,2 ciddi açık bulundu. Bu, birinci sınıf denetimlerdeki denetim başına ortalama 1,5 açığın dört kattan fazlası.

Ancak birinci sınıf denetim sonuçları hem medyan hem ortalama olarak paylaşılırken, denetim yarışması sonuçları yalnızca ortalama üzerinden açıklandı. İki yöntemin performansı karşılaştırılırken örneklem büyüklüğü ve istatistik ölçütlerinin farklı olduğu göz önünde bulundurulmalı.

Denetim yarışması, belirli bir süre boyunca birden fazla güvenlik araştırmacısının kodu incelediği ve bulunan açıkların niteliğine göre ödül havuzunun paylaştırıldığı bir yöntem. Sınırlı sürede çok sayıda araştırmacının eş zamanlı katılımı, bu yöntemi bireysel denetimlerden yapısal olarak ayırıyor.

Bir açığı bulmanın maliyeti de yönteme göre değişti. Immunefi, denetim yarışmalarında kritik bir açığın bulunma maliyetinin ortalama 6.548 dolar olduğunu açıkladı.

Özel birinci sınıf denetimlerde kritik bir açığın bulunma maliyeti yaklaşık 66 bin dolar olarak hesaplandı. Bir saldırganın açığı ilk kez kendisinin keşfetmesi durumunda ortaya çıkan maliyet ise 24,5 milyon dolar olarak belirtildi.

Bu rapor, hack kayıplarının yanı sıra açık bulunmadan önce ödenen ödülleri ve önlenen saldırı sayısını da ortaya koyması bakımından önemli. Güvenlik maliyeti, yalnızca saldırı sonrası kayıp değil, saldırı öncesi tespit maliyetiyle birlikte kıyaslanmış oldu.

Temmuz ayındaki hack kayıplarına ilişkin rakamlar kurumdan kuruma farklılık gösteriyor. TokenPost daha önce, güvenlik firması PeckShield'in 30 büyük hack saldırısındaki toplam kaybı 210,3 milyon dolar olarak hesapladığını aktarmıştı. Bu rakam, Immunefi'nin bu kez açıkladığı 110 milyon dolarlık tutardan 100,3 milyon dolar daha yüksek.

Yıllık verilerde ise kayıp tutarı ve saldırı sayısı birbirinden ayrışıyor. TRM Labs, yılın ilk yarısındaki hack kayıplarını 972 milyon dolar, saldırı sayısını ise tüm zamanların en yükseği olan 207 olarak açıklamıştı. Immunefi'nin Temmuz verilerinde ise bug bounty ödemelerindeki artış ve önlenen 374 tehdit öne çıkıyor.

Doğrulama kaynakları: The Block, Immunefi.