Basit şifreli Ethereum cüzdanındaki fonlar 12 saniyede taşındı

Şifre anahtarı olarak “6969” kullanan bir Ethereum cüzdanına yaklaşık 1 dolar yatırıldıktan 12 saniye sonra fonlar başka bir adrese aktarıldı. Yatırmanın hemen ardından üç farklı adresten bu cüzdanı hedefleyen işlemler gerçekleşti; bunların ikisi başarısız oldu.

Ethereum Vakfı geliştirici destek sorumlusu Austin Griffith, 21’inde kaydedilen Unchained’in “Uneasy Money” programında, “1 dolar gelir gelmez onu çalmaya çalışan üç işlem bekliyordu” dedi. Griffith, basit bir şifre anahtarı kullanan cüzdana fon yatırarak deney yaptığını anlattı.

Unchained’in doğruladığı zincir üstü kayıtlara göre 0,0004 ETH, 22’sinde Türkiye saatiyle 05.35’te cüzdana ulaştı. Aynı şifre anahtarıyla imzalanan işlem, fonları sonraki blokta taşıdı; yatırılan miktarın büyük bölümü ağ ücretine gitti.

Yatırmanın hemen ardından üç farklı adresten cüzdana yönelik işlemler gerçekleşti. Bunların ikisi başarısız oldu. Kayıtlar, işlemleri gönderen kişi ya da programları belirlemeye yetmiyor.

Şifre anahtarı, cüzdandaki fonları taşıyan işlemleri imzalamak için kullanılan sayısal bir değerdir. Herkesin tahmin edebileceği kadar basit bir değer seçilirse başkaları anahtarı bulup fonları taşıyabilir.

Unchained, 1’den 255’e kadar sayıları şifre anahtarı olarak kullanan 255 Ethereum adresini inceledi. Tüm adreslerde geçmiş işlem kayıtları bulundu; ancak işlem yapılmış olması tek başına fonların çalındığını göstermez.

Griffith, deneyi Hindistan’daki sertifika yetkilisi eMudhra’nın şifre anahtarı olayının tetiklediğini söyledi. eMudhra, 17’sinde 2025 Nisan’ında oluşturulan sekiz ara sertifikanın şifre anahtarlarının zayıf olduğuna dair bildirim aldığını, sertifikaları ertesi gün iptal ettiğini açıkladı.

Cüzdanlar ile web sertifikaları farklı amaçlara hizmet ediyor. Ancak iki örnek de kolay tahmin edilebilen şifre anahtarlarının riskini gösteriyor. Sertifikalar web sitelerinin kimliğini doğrularken cüzdan anahtarları varlıkları taşıyan işlemlere yetki veriyor.

Griffith programda, 10 haneli sayıdan oluşan anahtarı kullanan cüzdandaki fonların “hemen” taşındığını, 12 haneli anahtarlı cüzdandaki fonların ise o ana kadar taşınmadığını söyledi. Ayrıca 14 ve 16 haneli anahtarlar kullanan cüzdanlara da fon yatırdığını belirtti.

Unchained, ilk yatırmadan yaklaşık 14 dakika sonra fon eklenen dört ilave adresten birindeki paranın 12 saniye içinde çekildiğini doğruladı. Diğer üç adreste 23’üne kadar fon bulunuyordu; ancak bu adreslerde hangi uzunlukta anahtar kullanıldığı belirlenemedi.

Griffith ve programın sunucuları, 14 ve 16 haneli anahtarları kullanan cüzdanlardaki fonların taşınıp taşınmadığını gelecek hafta kontrol edecek.