Eylül’de kripto saldırılarının kaybı 771,5 milyon dolar; iki olayın payı %91,5

Eylül ayında kripto varlık saldırılarında kaydedilen 771,5 milyon dolarlık toplam kaybın 706,2 milyon doları Bitget ve Liquid Network’teki iki olaydan kaynaklandı. Bu tutar toplamın yaklaşık %91,5’ine karşılık geliyor.

CertiK’in 28 Eylül’de güncellenen panosuna göre, ayın toplam kaybı 771,5 milyon dolar (yaklaşık 1 trilyon 37 milyar won) oldu. Bitget’teki kayıp 387,5 milyon dolar (yaklaşık 520,8 milyar won), Liquid Network’teki kayıp ise 318,7 milyon dolar (yaklaşık 428,4 milyar won) olarak hesaplandı. İki olayın toplamı 706,2 milyon dolar (yaklaşık 949,2 milyar won) etti. Won karşılıkları, 1 doların 1.344,09 won olduğu kurla hesaplandı.

CertiK panosunda toplam kayıp, düzeltilmiş kayıp ile dondurulan ve iade edilen tutarlar ayrı kalemler olarak gösteriliyor. Bu nedenle 771,5 milyon dolar, Eylül ayı için hesaplanan toplam kayıptır; geri alınan tutarları hesaba katan net kayıpla aynı gösterge değildir.

Bitget, 24 Eylül’de yetkisiz transfer tespit ettiğini duyurdu. Şirket, başlangıçta zararı 351,6 milyon dolar (yaklaşık 472,6 milyar won) olarak tahmin etti. Zcash ve Tron ağlarındaki varlıkları da hesaba katarak tahminini ertesi gün yükseltti.

Saldırı, sıcak ve ılık cüzdan altyapısını etkiledi. Mandiant, raporunda saldırganın üçüncü taraf bir güvenlik cihazına eriştikten sonra cüzdan operasyon sunucusuna geçtiğini yazdı. Bitget, özel anahtarların çalındığına dair bir kanıt görmediğini ve soğuk cüzdanların etkilenmediğini açıkladı.

Liquid Network’te ise 6 Eylül’de Elements’teki rangeproof (aralık kanıtı) doğrulama önbelleği kusurundan yararlanılarak teminatsız yaklaşık 4.000 Liquid Bitcoin (LBTC) üretildi. Bu süreçte yaklaşık 4.000 Bitcoin (BTC) çekildi. Olay değerlendirme raporu, nedenler arasında Elements’teki güvenlik açığını ve federasyon üyelerinden birinin PAK imzalama sürecindeki yapılandırma sorununu gösterdi.

Rapora göre 3.400 Bitcoin iade edildi, yaklaşık 602 Bitcoin ise iade edilmedi. Bu miktarlar iade durumunu gösteriyor ve CertiK’in dolar cinsinden kayıp tutarından farklı bir ölçüm temelini kullanıyor. CertiK’in kayıp tutarı, halen geri alınmamış varlıkların değeri olarak yorumlanmamalı.

Eylül verilerinden ayrı olarak, LayerZero’nun KelpDAO olay raporu 18 Nisan’da yaklaşık 116.500 rsETH’nin çalındığını bildirdi. Olay sırasındaki zarar 292 milyon dolar (yaklaşık 392,5 milyar won) olarak açıklandı. Raporda tek doğrulayıcı yapılandırması, saldırıyı mümkün kılan koşullardan biri olarak gösterildi.

TRM Labs, Drift Protocol’ün 1 Nisan’da yaklaşık 285 milyon dolar (yaklaşık 383,1 milyar won) zarara uğradığını hesapladı. TRM Labs’ın yılın ilk yarısına ilişkin verilerinde 207 saldırının toplam zararı 972 milyon dolar (yaklaşık 1 trilyon 306,5 milyar won) olarak yer aldı.

TRM Labs’ın ilk yarı verileri ile CertiK’in Eylül ayı toplam kaybı hem dönem hem de hesaplamayı yapan kuruluş bakımından farklı. Bu nedenle iki veri, tek bir yıllık eğilimmiş gibi doğrudan karşılaştırılamaz.

Donanım cüzdanı olaylarında güvenlik açığı ile dağıtım sürecindeki müdahaleyi birbirinden ayırmak gerekiyor. Coldcard’ın üreticisi Coinkite, aygıt yazılımının derleme ve bağlama hatası nedeniyle tohum oluşturma sürecinin zayıfladığını, ancak cihazın uzaktan ele geçirilmediğini açıkladı.

Galaxy Research, Coldcard olayıyla ilgili 1.837 Bitcoin ve 9.218 adres verisini paylaştı. Adres sayısı, mağdur veya cihaz sayısını ifade etmiyor. TokenPost daha önce Coldcard aygıt yazılımı hatasını ve Ledger cihazlarındaki müdahale vakasını birlikte ele almıştı; bu habere Galaxy Research’ün paylaştığı adres ve miktar verileri eklendi.

Ledger olayı, resmi dağıtım kanalı üzerinden satılan bazı cihazlarda donanıma müdahale edilmesiyle ilgiliydi. Ledger, kendi sistemlerinin ve doğrudan satış kanalının etkilenmediğini bildirdi. Galaxy Research zararı yaklaşık 91 milyon dolar (yaklaşık 122,3 milyar won) olarak tahmin etti; Ledger ise toplam kayıp tutarını kesinleştirmedi.

Coldcard olayının ardından Reddit’teki bazı kullanıcılar kendi saklama yöntemlerine duydukları güvenin azaldığını yazarken, bazıları sorunun belirli bir aygıt yazılımı kusuruyla sınırlı tutulması gerektiğini savundu. Bu yorumlar bazı kullanıcıların tepkilerini yansıtıyor; sektörün genel görüşünü temsil etmiyor.

Liquid Federation, 20 Ekim’de takas işlevini kademeli olarak yeniden devreye alacağını açıkladı. Federasyon ağından doğrudan peg-out işlemlerinin, Bitcoin teminatı 1:1 oranında yeniden sağlandıktan ve kalan güvenlik ve operasyon gereklilikleri tamamlandıktan sonra başlaması planlanıyor.