Saldırı büyüyor: Bitcoin cüzdanları güvende mi?

Sorunun kaynağı, cüzdan tohumu üretiminde ortaya çıkan bir yazılım hatası olarak gösteriliyor. Hatalı yazılım, rastgele sayı üretimini amaçlanan donanım kaynağı yerine öngörülebilir bir yazılım yedeğine yönlendiriyordu. Bu kusur, Mart 2021'deki bir kod değişikliğinden bu yana beş yılı aşkın süredir cüzdan tohumlarını zayıflatmıştı. Coinkite, sorunun Mk2 ve Mk3 cihazlarında 4.0.1 ile 4.1.9 arasındaki yazılım sürümlerini, ayrıca Mk4, Mk5 ve Q modellerinde düzeltme öncesi üretilen tohumları etkilediğini açıkladı. Şirket firma hatasının "tüm sorumluluğunu" üstlendiğini belirtti ve tüm modeller için düzeltilmiş yazılım yayımladı. Ancak yalnızca yazılımı güncellemek, daha önce üretilmiş bir tohumu onarmıyor. Bu nedenle etkilenen kullanıcıların yeni bir tohum oluşturup fonlarını taşıması gerekiyor.

Galaxy Research'ün zincir üstü tahminine göre ilk dalga, 30 Temmuz'da yalnızca 41 dakikada 1.196 adresten 1.082,65 Bitcoin çekti. İkinci dalga 31 Temmuz'da 1.478 adresten 76,16 Bitcoin boşalttı. Üçüncü dalga ise adres başına ortalama bakiyenin düştüğü, daha küçük cüzdanları hedef alan 1.912 adresten yaklaşık 207,73 Bitcoin aldı. Kuruluşun ilk tahmini yaklaşık 70 milyon dolarken, yeni adres gruplarının bulunmasıyla rakam 88,6 milyon dolara yükseldi. Galaxy, bu tutarı "gözlemlenen tahmini büyüklük" olarak nitelendirdi ve saldırının hâlâ sürdüğünü belirtti.

Uyarılar üzerine kullanıcılar fonlarını taşımak için harekete geçti. Blok zinciri analiz şirketi CryptoQuant'ın araştırma başkanı Julio Moreno'ya göre 1 Bitcoin altındaki transferler cuma günü Kasım 2022'den bu yana en yüksek günlük seviyesine ulaştı ve bir günde 39 bin 600 Bitcoin taşındı. Bu rakam, FTX borsasının iflas başvurusundan günler sonra, 16 Kasım 2022'de taşınan 39 bin 900 Bitcoin'in yalnızca 300 Bitcoin altında kaldı. Moreno, kullanıcıların "harekete geçtiğini" görmekten memnun olduğunu söyledi.

Galaxy Digital'in araştırma başkanı Alex Thorn da saldırının hâlâ sürdüğü ve ekibinin yeni kurban ve saldırgan adresleri saptamayı sürdürdüğü uyarısında bulundu. Coinkite ise kullanıcılara düzeltilmiş yazılımı kurup yeni bir tohum oluşturmalarını, yedeği doğrulamalarını ve tüm bakiyeyi taşımadan önce küçük bir test işlemi göndermelerini önerdi. Dogecoin topluluğundan Mishaboar ise kullanıcıları tohum ifadelerini asla internete bağlı bir bilgisayara girmemeleri konusunda uyardı.

Olay, kripto para dünyasında öz saklamanın riskleri ve faydalarına dair tartışmayı yeniden başlattı. Bitcoin güvenlik şirketi Casa'nın İcra Kurulu Başkanı Nick Neuman, "öz saklama bitti" iddialarına karşı çıktı. Neuman'a göre öz saklamanın dağıtık yapısı kullanıcılara tepki verecek zaman tanıdı ve şu ana kadar öz saklamayla korunan Bitcoin miktarı, çalınıp saptanandan yaklaşık 10 kat daha fazla. Yatırımcı Anthony Pompliano ise kayıpların öz saklamanın ne kadar teknik bilgi gerektirdiğini gösterdiğini, ancak Bitcoin'in kendisinin saldırıya uğramadığını vurguladı. Çünkü hata Bitcoin protokolünde değil, üçüncü taraf bir cüzdan yazılımında yaşandı.

Tartışma geleneksel finans cephesinden de yanıt buldu. Kıdemli ETF analisti Eric Balchunas, olayın yalnızca uzun vadeli fiyat pozisyonu isteyen ve özel anahtar yönetmek istemeyen yatırımcılar için spot Bitcoin borsa yatırım fonlarını daha çekici kıldığını savundu. Ancak borsa yatırım fonları da kişisel tohum riskini ortadan kaldırmıyor, yalnızca onu kurumsal saklama ve karşı taraf riskiyle değiştiriyor. Bu ürünlerde yatırımcılar harcanabilir Bitcoin yerine menkul kıymete sahip oluyor ve fonları kişisel bir adrese çekemiyor.

Bu olayda Bitcoin ağı kırılmadı ve asıl kritik ayrıntı da burada. Saldırgan, zayıf cüzdan anahtarlarını çevrimdışı olarak yeniden üretti. Bu süreç, Bitcoin işlemlerinin değiştirilmesini, kriptografisinin kırılmasını ya da ağın uzlaşı kurallarının ele geçirilmesini gerektirmedi. Bir saldırgan geçerli bir özel anahtarı ele geçirdiğinde, ortaya çıkan işlem zincirde tıpkı gerçek sahibinin onayladığı bir işlem gibi görünüyor.

Coinkite, sınırlı bir istisna da tanımladı. Şirkete göre tohum üretilmeden önce en az 50 adil ve bağımsız zar atışı ekleyen kullanıcılar bu sorundan etkilenmiş sayılmıyor. Ayrıca TAPSIGNER, OPENDIME ve SATSCARD gibi ürünler farklı kod tabanları kullandığından açıktan etkilenmedi. Dolayısıyla mevcut teknik kanıtlar, şirketin ürettiği her ürünün savunmasız olduğunu göstermiyor. Coinkite'ın soruşturması sürüyor ve şirket ayrıntılı bir teknik rapor sözü verdi. Galaxy de yeni adres örüntüleri ortaya çıktıkça tahminini yeniden güncelleyebilir. O zamana kadar 88,6 milyon dolar, nihai bir toplam değil, en güncel kamuya açık tahmin olmayı sürdürüyor.