Yaklaşık 69,8 milyon Coinbase adresi yatırma için; anahtarlar MPC ile bölünüyor

Coinbase (COIN), işlemleri imzalamak için özel anahtar parçalarını çok taraflı hesaplama (MPC) yöntemiyle dağıtıyor. Yaklaşık 69,8 milyon olduğu belirtilen adreslerin varlık saklama cüzdanları değil, yatırma adresleri olduğu sonradan düzeltildi.

On-chain araştırmacısı Zeeme, 1'inde X'te yayımladığı gönderide Binance'teki güvenlik olayını Coinbase'in anahtar yönetimiyle karşılaştırdı. Zeeme, bilgisayar korsanlarının Binance, Bybit ve Bitget'i hedef aldığını, ancak Coinbase'e saldırmanın daha zor olduğunu öne sürdü. Coinbase çalışanının bilgisayarına sızılması halinde saldırganların kullanamayacakları tek bir anahtar parçasını ele geçirebileceğini söyledi.

MPC'de birden fazla katılımcı, ellerindeki özel anahtar parçalarıyla kısmi imzalar oluşturuyor; bu imzalar birleştirilerek işlem imzalanıyor. Böylece imza oluşturmak için özel anahtarın tamamını tek bir yerde toplamak gerekmiyor.

Coinbase, resmi müşteri bilgilendirmesinde her katılımcının yalnızca bir özel anahtar parçası tuttuğunu ve imza sırasında parçaların bir araya getirilmediğini açıklıyor. Şirkete göre tek bir parça, özel anahtarın tamamını kullanmaya yetmiyor.

Şirket ayrıca platformdaki varlıkların çoğunu çevrimdışı soğuk depolamada tuttuğunu belirtiyor. MPC, anahtarların bölünerek yönetilmesi ve imza oluşturulması yöntemini; soğuk depolama ise varlıkların çevrimdışı tutulduğu ortamı ifade ediyor.

Coinbase'in 2021'de yayımladığı teknik belgede, özel anahtarın oluşturulduktan sonra birden fazla parçaya bölündüğü ve asıl anahtarın silindiği bir süreç de anlatılıyor. Ancak bu belge, günümüzdeki tüm anahtarların nasıl oluşturulduğunu kesin olarak göstermiyor. Özel anahtarın oluşturulduğu anda bile hiçbir aşamada tam hâliyle bulunmadığı iddiasını tüm süreçlere uygulamak da doğru olmaz.

Zeeme, ilk gönderisinde yaklaşık 69,8 milyon adresi varlık saklama cüzdanları gibi tanıttı, daha sonra bunların Coinbase yatırma adresleri olduğunu düzeltti. Yatırma adreslerinin sayısı, varlık saklayan cüzdanların sayısıyla aynı değil.

Bu nedenle yalnızca adres sayısına bakarak Coinbase'in sakladığı varlıkların toplamı veya her cüzdandaki bakiye hesaplanamaz. Bu sayı, varlıkların sıcak ve soğuk cüzdanlara nasıl dağıtıldığını da göstermiyor.

Sıcak cüzdan, para çekme gibi işlemlerde kullanılan ve internete bağlı cüzdandır. Soğuk cüzdan ise çevrimdışı tutulur. Sıcak cüzdanlara erişim daha kolayken soğuk cüzdanların internet bağlantısı kesilir.

Zeeme, hızlı para çekme işlemleri için birçok borsanın varlıkları az sayıdaki sıcak cüzdanda yoğunlaştırdığını öne sürdü. Bu, borsaların geneline ilişkin değerlendirmesidir; tek başına Coinbase'in cüzdanlarındaki gerçek varlık dağılımını ortaya koymaz.

Binance, 30 Ekim'de yayımladığı duyuruda sıcak cüzdan olayından etkilenen tutarı yaklaşık 6,3 milyar dolar (yaklaşık 8 trilyon 410,5 milyar won) olarak tahmin etti. Olayın nedenini araştırdığını belirten şirket, ilk inceleme bulgularını sonraki araştırma sonuçlarından ayrı olarak paylaştı.

Binance ilk açıklamasında DevOps ekibinde görevli bir çalışanın dizüstü bilgisayarının ele geçirilmiş olabileceğini bildirdi. Sonraki incelemede başka bir sızma noktası daha tespit edildiğini, ancak cüzdanların özel anahtarlarının sızdığına dair kanıt bulunmadığını açıkladı.

Özel anahtarları bölerek saklamak ile işlemleri onaylamak farklı süreçlerdir. MPC'de anahtar yönetimi ile nihai işlem onayının ayrı süreçler olduğu, TokenPost'un Google Cloud'un kurumlara yönelik hizmeti hakkındaki haberinde de ele alındı. Coinbase de resmi bilgilendirmesinde MPC katılımcılarının işlemleri politikalara uygunluk açısından doğruladığını belirtiyor.

Coinbase borsa hesabı ile kullanıcının kendi sakladığı Coinbase Wallet'ta anahtarları yöneten taraf farklıdır. Borsa hesabındaki anahtarları Coinbase yönetirken Coinbase Wallet'taki anahtarları kullanıcı yönetir.