Binance saldırısında 6,34 milyar dolarlık varlık etkilendi; rollback tartışması

Binance’e yönelik saldırıda 6,34 milyar dolar (yaklaşık 8,63 trilyon won) değerindeki dijital varlıklar etkilendi. Saldırının ardından işlem kayıtlarının geri alınmasına, yani rollback’e, istisnai olarak izin verilip verilmeyeceği tartışma konusu oldu.

Binance, ilk soruşturma raporunda olaydan etkilenen varlıkların değerini 6,34 milyar dolar olarak hesapladı. Şirket, 31 Ekim itibarıyla etkilenen token varlıklarının %98’ini yerine koyduğunu açıkladı. Raporda dondurulan veya engellenen varlıkların yaklaşık 2,85 milyar dolar (yaklaşık 3,88 trilyon won) olduğu belirtildi. Bu tamamlama oranı, çalınan varlıkların geri alınma oranından farklı bir ölçüt.

TRM Labs, saldırganların 10 blokzincirde yaklaşık 6,36 milyar dolar (yaklaşık 8,66 trilyon won) değerinde varlık taşıdığını izledi. TRM Labs’in kaydettiği ilk varlık hareketi 30 Ekim saat 05.05 civarında (Kore saatiyle) gerçekleşti. Binance’in olaydan etkilenen varlıklar için hesapladığı tutar ile TRM Labs’in izlediği hareket tutarı farklı yöntemlere dayanıyor ve aynı gösterge olarak değerlendirilemez.

Binance, saldırganların şirketin dahili cüzdan imzalama hizmetine yetkisiz eriştiğini ve standart para çekme sürecinin dışında işlemler gerçekleştirdiğini açıkladı. Şirket, Ethereum (ETH) ağında EIP-7702 yetki devrinin istismar edildiğini, cüzdanların özel anahtarlarının sızdırıldığına dair kanıt bulamadığını bildirdi. Binance’in olayla bağlantılı EIP-7702 yetki devrini devre dışı bırakma süreci daha önce TokenPost’ta ele alınmıştı.

ARK Invest dijital varlık araştırmaları başkanı Lorenzo Valente, 30 Ekim’de X’teki paylaşımında “Doğrulayıcılar düzeyinde koordinasyon ve rollback seçeneği tartışma masasına yatırılmalı” diye yazdı. Valente, aşırı krizlere hazırlık amacıyla 2-3 yıl sürecek geçici bir ‘güçlendirme dönemi’ önerdi. Bu öneri, kriz anında ağın hangi müdahale yetkilerine sahip olabileceğinin tartışılmasını öngörüyor.

Columbia Üniversitesi İşletme Fakültesi’nde yarı zamanlı yardımcı öğretim üyesi olan Omid Malekan, aynı gün X’teki paylaşımında “Blokzincir tarafsızlığını zedelediği anda düğmeli bir veritabanına dönüşür” diyerek bu görüşe karşı çıktı. Malekan, rollback yetkisini kimin ve hangi ölçütlere göre kullanacağı sorusunu gündeme getirdi.

Valente daha önce, saldırı kaynaklı kayıpların kullanıcılara yüklenebileceğini savunmuştu. Bu kez sunduğu öneri, saldırı zararlarının ötesinde, kriz durumlarında ağın ne ölçüde müdahale edebileceğiyle ilgili.

İki kişinin açıklamaları kişisel görüşlerini yansıtıyor; ağın resmî kararı niteliğinde değil. Tek bir hizmet üzerinden işlemi iptal etmekten farklı olarak rollback, kesinleşmiş zincir durumunun veya uygulanan kuralların değiştirilmesiyle bağlantılı.

Tether, saldırıyla bağlantılı 1,5 milyar doların üzerinde USDT’yi dondurduğunu açıkladı. Circle ise yaklaşık 1,1 milyar dolar değerinde USD Coin (USDC) dondurduğunu bildirdi.

Bu tutarların kapsamı ve hesaplandıkları zaman, Binance’in bildirdiği dondurulan veya engellenen varlık miktarından farklı. Bu rakamlar toplanarak geri alınan varlıkların ya da nihai zararın tutarı olarak yorumlanamaz. Belirli adreslerdeki tokenları dondurmak, tüm zincirin geçmiş işlem kayıtlarını değiştirmiyor.

Arbitrum (ARB) Güvenlik Konseyi, saldırgan adresinde bulunan 8.425,997 Ethereum ve 74.559.805,2 ARB’yi ayrı bir adrese taşıdı. Bu işlem, saldırgan adresindeki belirli varlıkların taşınmasıyla sınırlıydı.

Binance, dondurulan varlıkların iadesi için 5 Kasım’da Arbitrum forumuna bir DAO yönetişim önerisi sundu. Öneride forum tartışması, Snapshot üzerinden görüş alınması ve zincir üstü oylama aşamaları yer aldı. Belgede sürecin yaklaşık 49 gün sürmesinin beklendiği, hukuki süreçlerin devam etmesi durumunda bu sürenin uzayabileceği belirtildi.

Öneri, belirli varlıkların iade edilip edilmeyeceğine ilişkin bir süreç tanımlıyor. Kapsamı ve karar yöntemi, tüm zincirin işlem kayıtlarını geri alan bir rollback’ten farklı.

Ethereum, 2016’da DAO akıllı sözleşmesine yönelik saldırının ardından bir hard fork gerçekleştirdi ve ilgili varlıkları bir kurtarma sözleşmesine taşıdı. Ethereum Vakfı, hard fork’un tamamlandığını o dönemde kaydetti. Eski kuralları sürdürmeyi seçen katılımcılar Ethereum Classic zincirini devam ettirdi.

Ethereum’un resmî yönetişim belgesi, o dönemde oylamaya katılım oranı ve temsil gücü hakkında tartışmalar yaşandığını aktarıyor. Belgede, topluluğun bugün sözleşme hatalarına veya varlık kayıplarına müdahale etmeme politikasını benimsediği belirtiliyor. DAO olayı bir akıllı sözleşme saldırısıydı; Binance olayıysa bir borsanın cüzdan imzalama hizmetini hedef aldı. Bu nedenle iki olayın koşulları ve müdahale süreçleri birbirinden farklı.