Bitget, 24 Eylül 2026’da yaklaşık 387,5 milyon dolar kaybetti. Saldırganlar üçüncü taraf bir güvenlik ürünündeki açıktan yararlandı, üst düzey dahili kimlik bilgilerini ele geçirdi ve sahte çekim komutlarını borsanın cüzdan altyapısı üzerinden işleme soktu.
Yakın tarihli analiz değerlendirmelerine göre olay, 2026’nın bugüne kadarki en büyük kripto hırsızlığı ve 2026’da Kuzey Kore’ye atfedilen en büyük tekil hırsızlık. Bitget’in ilk tahmini 351,6 milyon dolardı, ancak soruşturmacılar ek Zcash ve TRON transferlerinin izini sürdükçe rakam yükseldi. İlk bağımsız zincir üstü tahminler ise kaybı kabaca 174 milyon dolar ile 183 milyon dolar arasında gösteriyordu.
Temel çıkarım: Bitget saldırısı alışılmış türden bir özel anahtar hırsızlığı değildi. Saldırganlar güvenilen bir güvenlik katmanını ele geçirdi, kötü niyetli çekim talimatlarının yetkilendirme sürecine meşru görünmesini sağladı ve kontroller boşaltmayı durdurana kadar sıcak ve ılık cüzdanlar üzerinden yaklaşık 387,5 milyon dolar aktardı.
Bitget saldırısı borsanın güvenlik kontrollerini nasıl aştı?
Bitget saldırısı, cüzdan altyapısına bağlı kritik bir arka uç sisteminin ele geçirilmesi, dahili kimlik bilgilerinin elde edilmesi, işlem verilerinin taklit edilmesi ve sisteme sahte çekim komutlarının enjekte edilmesi yoluyla borsanın güvenlik kontrollerini aştı. Bitget’e göre komutlar borsanın risk kontrollerinden geçti, çünkü yetkilendirme sürecine ulaşan işlem bilgileri rutin ve meşru çekimleri temsil ediyormuş gibi görünüyordu.
Bitget, bir canlı yayında üçüncü taraf ürünündeki zafiyeti sıfırıncı gün (zero-day) açığı olarak nitelendirdi, resmî açıklamasında ise daha temkinli bir dil kullandı. Borsa, tedarikçinin adını açıklamadı. Bitget, tedarikçiyi bilgilendirdiğini, zafiyetin ayrıntılarını paylaştığını ve düzeltme gelene kadar etkilenen işlevi devre dışı bıraktığını belirtti.
Saldırı zinciri birbirine bağlı beş aşama olarak özetlenebilir:
- Üçüncü tarafın ele geçirilmesi: Saldırgan, Bitget’in ortamında kullanılan bir güvenlik ürünündeki zafiyetten yararlandı.
- Kimlik bilgilerine erişim: Saldırgan, üst düzey dahili kimlik bilgilerini ele geçirdi.
- Arka uç manipülasyonu: Saldırgan, cüzdan altyapısındaki kritik bir arka uç sistemini ele geçirdi.
- İşlem verilerinin taklit edilmesi: Saldırgan, yetkilendirme sürecine sunulan işlem verilerini değiştirdi veya taklit etti.
- Çekimin gerçekleştirilmesi: Sahte çekim komutları risk kontrollerini aştı ve varlıkları sıcak ve ılık cüzdanlardan çıkardı.
İmzalama anahtarının ele geçirilmesi ile yetkilendirme katmanının ele geçirilmesi arasındaki ayrım önemlidir. Bitget, soğuk cüzdanların, özel anahtarların, kullanıcı hesap bakiyelerinin ve saklamanın kullanıcıda olduğu Bitget Wallet’ın etkilenmediğini açıkladı. Alım satım ve yatırma işlemleri çalışmaya devam etti, ancak mutabakat sistemi bir tutarsızlık tespit ettikten sonra platform genelinde çekimler engellendi.
Dolayısıyla saldırı, borsanın bir çekim talebinin güvenilir olup olmadığını belirleme yeteneğini hedef aldı. Kriptografik imzalama sağlam kalsa bile, geçerli görünen bir komut tehlikeli olabilir. Bir işlemi hazırlayan, tanımlayan, yönlendiren veya onaylayan sistem ele geçirilmişse, imzalama süreci borsanın hiçbir zaman vermeyi amaçlamadığı bir talimatı harfiyen yetkilendirebilir.
“Soken’de akıllı sözleşmeleri ve cüzdan altyapılarını denetlerken edindiğimiz deneyime göre yetkilendirme bütünlüğü, özel anahtarların korunmasından daha geniş bir konudur. Bir sistem anahtarlarını koruyabilir ve yine de, ele geçirilmiş arka uç verileri imzalayanın neyi onayladığının yetkili tanımı olarak kabul edildiğinde fonların kontrolünü kaybedebilir.”
Bitget olayında iz gizlemeye yönelik faaliyetin kanıtları da vardı. Saldırgan, enjekte edilen komutların izlerini sildi. Gracy Chen bunu operasyonun en zorlu kısmı olarak nitelendirdi. Bu davranış, olay müdahalesi açısından belirli bir gerekliliği gündeme getiriyor: Borsalar, komutların oluşturulmasına, onaylanmasına, imzalanmasına ve ağa yayınlanmasına ilişkin bağımsız ve kurcalamaya dayanıklı kayıtları saklamak zorundadır.
Güvenli bir tasarım, bir çekim talebini hem oluşturan hem de bu talebi onaylayana tanımlayan tek bir dahili sisteme dayanmamalıdır. İşlemin bağımsız olarak yeniden oluşturulması, bant dışı politika kontrolleri, değiştirilemez denetim kayıtları ve güvenlik araçları ile cüzdan operasyonları arasında katı bir ayrım, sahte talimatların tespitini kolaylaştırabilir.
Bitget saldırısının zaman çizelgesinde neler yaşandı?
Bitget saldırısı, otomatik mutabakat bir tutarsızlık tespit edene kadar küçük test transferlerinden çok zincirli bir boşaltmaya doğru ilerledi. İlk yetkisiz transferler 24 Eylül 2026’da 18:31 UTC’de görüldü. Ardından ana boşaltma 18:58 ile 20:09 UTC arasında 8 zincirde 17 işlemle gerçekleşti, saldırganın son transferi ise 21:23 UTC’de gözlemlendi.
| Saat veya tarih | Bitget olayındaki gelişme | Güvenlik açısından önemi |
|---|---|---|
| 24 Eylül, 18:31 UTC | Sıcak ve ılık cüzdanlardan ilk yetkisiz transferler tespit edildi | 0,184 ETH ve 193 TRX tutarındaki iki test transferi risk eşiklerinin altında kaldı |
| 24 Eylül, 18:58 ile 20:09 UTC arası | Ana boşaltma 8 zincirde 17 işlemle gerçekleşti | Ana dizi sırasında yaklaşık 361 milyon dolar aktarıldı |
| 24 Eylül, 19:05 UTC | Mutabakat sistemi bir tutarsızlık tespit etti | Platform genelinde çekimler engellendi |
| 24 Eylül, 20:40 UTC | Bitget kalan fonları soğuk depolamaya taşımaya başladı | Cüzdanlarda kalan risk azaltıldı |
| 24 Eylül, 21:23 UTC | Saldırganın son transferi zincir üstünde gözlemlendi | Son transfer, ilk testten 2 saat 52 dakika sonra gerçekleşti |
| 24 Eylül, 21:44 UTC | Cüzdan hizmetleri ve imzalama kapatıldı | İmzalama operasyonları durduruldu |
| 25 Eylül, 08:43 UTC | Bitget kök nedeni belirledi | Soruşturma, sınırlandırmadan iyileştirmeye doğru ilerledi |
| 25 Eylül, 13:42 UTC | Kolluk kuvvetleri bilgilendirildi | Olayın dış mercilere taşınması başladı |
| 28 Eylül, 08:00 UTC | BTC çekimleri yeniden başladı | Aşamalı yeniden açılış başladı |
| 29 Eylül, 08:00 UTC | ETH çekimlerinin yeniden başlaması planlandı | Bir sonraki aşama BTC’nin yeniden açılmasını izledi |
| 30 Eylül, 08:00 UTC | USDT çekimleri planlandı | Sonraki aşamaların gerçekleştiği, eldeki bilgilerle doğrulanmadı |
| 2 Ekim, 08:00 UTC | Diğer tokenlar, itibari para ve P2P planlandı | Yeniden açılış planı ek hizmetleri de kapsadı |
İlk iki transfer, mevcut eşiklerin altından geçecek şekilde tasarlanmıştı. 0,184 ETH ve 193 TRX tutarındaki test transferleri hiçbir uyarıyı tetiklemedi. Bu durum, yalnızca eşiğe dayalı izlemenin aşamalı saldırılar karşısında neden zayıf kaldığını gösteriyor. Kötü niyetli bir aktör önce yetkilendirme yolunun çalıştığını doğrulayabilir, ardından sistem stabil göründüğünde işlem büyüklüğünü artırabilir.
Bitget’in zaman çizelgesi ile zincir üstü inceleme, ana boşaltmanın kesin sınırları konusunda küçük farklılıklar gösteriyor. Bitget’in CEO’su ana diziyi 18:58 ile 20:09 UTC arasında gerçekleşmiş olarak tanımlarken, zincir üstü veriler 19:01 ve 19:16 UTC civarında yoğunlaşan işlem dalgalarına işaret etti. Bu ayrıntılar temel bulguyu değiştirmiyor: Son transfer gözlemlenene kadar saldırganın elinde üç saatten kısa bir süre boyunca çalışan bir çekim yolu vardı.
Bitget’in CEO’suna göre, BTC çekimlerinin yeniden açılmasının ardından ilk saatte 3.000’den fazla BTC işlendi. Bu operasyonel ayrıntı önemlidir, çünkü bir cüzdan olayının ardından borsayı yeniden açmak ikinci bir kontrol sorunu doğurur. Platform, ele geçirilmiş onay yolunu yeniden devreye sokmadan ve meşru çekimlerdeki ani artışın yeni yetkisiz faaliyetleri gizlemesine izin vermeden müşteri erişimini geri getirmek zorundadır.
Bu nedenle aşamalı yeniden açılış, bir müşteri hizmetleri takviminden daha fazlasıdır. Varlık bazında izlemeye, cüzdan mutabakatına, kimlik bilgilerinin yenilenmesine ve çekim kontrollerinin kademeli olarak doğrulanmasına olanak tanıyan bir sınırlandırma stratejisidir.
Hangi varlıklar etkilendi ve 387,5 milyon dolarlık kayıp nasıl şekillendi?
Bitget’in nihai kayıp tahmini 13 varlık ve 11 ağ genelinde yaklaşık 387,5 milyon dolar oldu, ancak bağımsız takipçiler etkilenen ağ sayısını 7 ile 11 arasında hesapladı. Yaklaşık 102,98 milyon XRP ile en büyük tekil varlık riskini XRP oluşturdu ve bu miktarın değeri kabaca 157,8 milyon dolardı. Zincir üstü dökümde ETH’nin payı ise yaklaşık 126,6 milyon dolardı.
Kamuya yapılan açıklamalar ve zincir üstü incelemeler, yaklaşık olarak aşağıdaki varlık dağılımını bildirdi:
| Varlık | Yaklaşık miktar veya değer | Gözlemlenen ayrıntı |
|---|---|---|
| XRP | 102,98 milyon XRP, yaklaşık 157,8 milyon dolar | En büyük tekil varlık riski |
| ETH | Yaklaşık 126,6 milyon dolar | Çok zincirli boşaltmanın parçası |
| Arbitrum üzerindeki USDT0 | Yaklaşık 19,7 milyon dolar | Arbitrum üzerindeki stablecoin riski |
| AVAX | Yaklaşık 16,8 milyon dolar | İzlenen varlık dökümünde yer aldı |
| BNB | Yaklaşık 9,9 milyon dolar | İzlenen varlık dökümünde yer aldı |
| TRX | Yaklaşık 7,0 milyon dolar | Rakam birden fazla takipçi tarafından doğrulandı |
| Bitget’in toplam kaybı | Yaklaşık 387,5 milyon dolar | Zcash ve TRON transferlerinin izi sürüldükten sonra revize edildi |
Çalınan varlıklar arasında XRP, ETH, USDT, ZEC, ATOM, USDC, BNB, AVAX, TRX, ALGO, TIA ve XAUt yer aldı. Bitget’in 24 Eylül’de kamuoyuna açıkladığı ilk tahmin 351,6 milyon dolardı. Tahmin, ek Zcash ve TRON transferleri tespit edildikten sonra yükseldi.
XRP, ihraççısı tarafından dondurulamadığı için fonların kurtarılması açısından özel bir zorluk yarattı. 26 Eylül itibarıyla çalınan XRP’nin yaklaşık 83 milyon dolarlık kısmı saldırganın bekletme cüzdanlarından çıkmıştı. Varlıklar bir bekletme adresinden ayrılıp dönüştürme veya zincirler arası rotalara girdiğinde, soruşturmacılar hem fonları hem de bu fonları işleyen hizmetleri takip etmek zorunda kalır.
Aklama düzeni, stablecoin’lerin hızla ETH’ye dönüştürülmesine ve ardından BTC’ye takas edilmesine dayanıyordu. Soruşturmacılar, BTC’ye giden ana rota olarak THORChain’i belirledi. Chainflip, deBridge, SwapKit ve Wasabi CoinJoin de aklama yolunda görüldü. 28 Eylül’de saldırganla bağlantılı bir cüzdan, değeri yaklaşık 6,3 milyon dolar olan yaklaşık 2.390 ETH’yi, yaklaşık 100 ETH’lik partiler hâlinde THORChain üzerinden 75,2 BTC ile takas etti.
Müdahale süreci, merkeziyetsiz altyapı ile olayın sınırlandırılması arasındaki politika gerilimini ortaya çıkardı. THORChain, Bitget’in saldırganı engelleme talebini reddederek şunu belirtti: “Durdurma, belirli fonların seçici olarak dondurulması değildir.” Chen ise şu yanıtı verdi: “Merkeziyetsizlik bir tasarım ilkesidir, çalıntı olduğu bilinen fonların aktarılmasını kolaylaştırmak için bir kalkan değil.”
Bu karşılıklı açıklamalar, olay öncesi koordinasyonun neden önemli olduğunu gösteriyor. Merkeziyetsiz protokoller, daha geniş bir rotayı etkilemeden tek bir transferi belirleme veya dondurma konusunda evrensel bir yeteneğe sahip olmayabilir. Merkezî borsalar, stablecoin ihraççıları, köprü operatörleri ve niyet (intent) tabanlı sistemlerin her biri farklı müdahale kuralları uygular. Bu kuralları anlamak için bir saldırının sonrasını bekleyen borsanın, aklamanın ilk saatlerinde daha az seçeneği olur.
Bitget saldırısı üçüncü taraf ve onay katmanı riski hakkında ne gösteriyor?
Bitget saldırısı, borsa güvenliğinin kriptografik anahtar saklaması kadar üçüncü taraf yazılımlara, dahili kimlik bilgilerine, işlemin nasıl sunulduğuna ve risk politikasına da bağlı olduğunu gösteriyor. Bitget, Bybit, DMM Bitcoin ve WazirX yinelenen bir örüntüyü ortaya koyuyor: Saldırganlar güvenilen bir tedarikçiyi veya onay katmanını ele geçirdi ve böylece kötü niyetli bir işlem, imzalama veya yetkilendirme sürecine meşru göründü.
| Olay | Tarih | Ele geçirilen katman | Bildirilen kayıp veya kapsam | Temel ders |
|---|---|---|---|---|
| Bitget | 24 Eylül 2026 | Üçüncü taraf güvenlik ürünü ve cüzdan arka ucu | Yaklaşık 387,5 milyon dolar | Sahte çekim komutları risk kontrollerini aştı |
| Bybit | 21 Şubat 2025 | Safe{Wallet} geliştirici makinesi ve imzalama arayüzü | Yaklaşık 1,46 milyar dolar | Kötü amaçlı kod, işlem onay ortamını değiştirdi |
| DMM Bitcoin | Mayıs 2024 | Cüzdan yazılımı tedarikçisinin çalışanı ve imzalama iş akışı | Yaklaşık 305 milyon dolar ile 308 milyon dolar arası | Tedarikçinin ele geçirilmesi yetkisiz cüzdan faaliyetine olanak tanıdı |
| WazirX | 18 Temmuz 2024 | Çoklu imza cüzdan sözleşmesi ve saklama iş akışı | Yaklaşık 235 milyon dolar | İmzacılar, sözleşme değiştirildikten sonra işlemleri onayladı |
| Coinbase | Mayıs 2025’te açıklandı | Yurt dışındaki destek temsilcileri ve müşteri verileri | 180 milyon dolar ile 400 milyon dolar arasında iyileştirme maliyeti tahmini | Müşteri verilerinin ele geçirilmesi, anahtar hırsızlığı olmadan da büyük operasyonel risk yaratabilir |
Ortak başarısızlık noktası, kriptografinin kırılması değildir. Sorun, bir işlemi çevreleyen güvenilir bağlamın kaybedilmesidir. İmzacı geçerli bir talep, tanıdık bir hedef adres biçimi ve normal görünen bir onay akışı görebilir, oysa alttaki talimat değiştirilmiş veya manipüle edilmiştir.
Borsalar açısından bu, birbirinden bağımsız birkaç noktada kontrol gerektirir:
- Tedarikçi izolasyonu: Üçüncü taraf güvenlik ürünlerinin, cüzdan komutlarının üretimine veya ayrıcalıklı kimlik bilgilerine gereksiz erişimi olmamalıdır.
- Kimlik bilgilerinin bölümlendirilmesi: Dahili kimlik bilgilerinin kapsamı tekil işlevlerle sınırlandırılmalı, şüpheli faaliyetlerin ardından yenilenmeli ve bu bilgiler varsayılan olarak geniş çaplı çok zincirli çekimleri yetkilendirememelidir.
- İşlemin bağımsız olarak yeniden oluşturulması: Onay arayüzü, işlem ayrıntılarını talebi oluşturan arka uca güvenmek yerine bağımsız bir kaynaktan türetmelidir.
- Politika çeşitliliği: Büyük çekimler, operasyonel cüzdan arka ucundan ayrı olarak yönetilen kurallardan geçmelidir.
- Değiştirilemez kayıt tutma: Kayıtlar, ele geçirilen ortamın dışında saklanmalı ve komutların oluşturulması, değiştirilmesi, onaylanması, imzalanması ve yayınlanması olaylarını içermelidir.
- Kanarya transferleri: Küçük test transferleri, yalnızca parasal bir eşiğin altında kaldıkları için güvenli sayılmamalıdır. Tekrarlanan testler, alışılmadık hedef adresler ve zincirler arası örüntüler birlikte ilişkilendirilerek değerlendirilmelidir.
- Acil durum kapatması: Borsa, ilgisiz alım satım ve yatırma sistemlerini devre dışı bırakmadan imzalamayı durdurabilmeli ve cüzdan hizmetlerini izole edebilmelidir.
Bitget, etkilenen sunucuları izole ettiğini, dahili kimlik bilgilerini iptal edip yeniden oluşturduğunu ve hassas sistemlere erişimi yeniden yapılandırdığını açıkladı. Borsa ayrıca zafiyetin giderildiğini bildirdi. Bu adımlar sınırlandırmaya yöneliktir, ancak kalıcı bir inceleme, aynı işlem verilerinin onaydan önce hâlâ manipüle edilip edilemediğini test etmelidir.
Soken’in akıllı sözleşme denetimi ve blokzincir güvenliği hizmetleri bu kontrol sınırıyla doğrudan ilgilidir, çünkü cüzdan altyapısı çoğu zaman akıllı sözleşmeleri, imzalama servislerini, arka uç API’lerini, anahtar yönetim sistemlerini ve üçüncü taraf araçları bir araya getirir. Solidity koduyla sınırlı bir değerlendirme, ele geçirilmiş bir servisin imzacının gördüğü verileri değiştirip değiştiremeyeceğini test etmez.
Kurtarma önlemleri ve atıf iddiaları ne kadar etkili oldu?
Kurtarma önlemleri 29 Eylül 2026 itibarıyla doğrulanmış sınırlı bir geri kazanım sağladı, atıf ise resmî olmaktan çok olasılığa dayalı kaldı. Circle ve Tether toplamda yaklaşık 339.100 dolar dondurdu. NEAR Intents ise tarama mekanizmasının Bitget bağlantılı 50 milyon doları aşkın transfer girişimini reddettiğini ve 503.000 doları dondurduğunu açıkladı. Çalınan fonların Bitget’e geri döndüğü doğrulanmadı.
Bildirilen kurtarma adımları şunlardı:
| Müdahale eden kuruluş veya mekanizma | Bildirilen adım | Tutar |
|---|---|---|
| Circle ve Tether | USDC ve USDT dondurdu | Toplamda yaklaşık 339.100 dolar |
| Stablecoin bakiyeleri | 239.113,50 USDT ve 99.989,91 USDC donduruldu | 339.100 dolarlık toplama dahil |
| NEAR Intents | Bitget bağlantılı transfer girişimlerini reddetti | 50 milyon dolardan fazla |
| NEAR Intents | Bitget bağlantılı transfer girişimlerini dondurdu | 503.000 dolar |
| Bitget | Müdahale ve kurtarma için ödül teklif etti | Dondurma için %5, ayrıca kurtarma için %5 |
Reddedilen akış ile kurtarılan fonlar arasındaki fark kritik önemdedir. Bir tarama sistemi, varlıkların belirli bir rotaya girmesini engelleyebilir, ancak hâlihazırda saldırganın kontrolünde olan fonları geri getirmez. Benzer şekilde, ihraççıların dondurma işlemleri belirli stablecoin bakiyelerini kapsar, XRP’yi, ETH’yi, BTC’yi veya izinsiz altyapı üzerinden hareket eden varlıkları kapsamaz.
Atıf da dikkatli bir dil gerektirir. Analiz şirketlerinin değerlendirmeleri, saldırının Kuzey Kore ile bağlantılı olma ihtimalinin çok yüksek olduğunu belirtti ve Bybit ile AFX Bridge saldırılarında kullanılan cüzdanlarla örtüşmeler tespit etti. Bir başka değerlendirme TraderTraitor benzeri bir yapıdan söz etti, ancak Bitget olayını kesin olarak atfetmedi. 29 Eylül 2026 itibarıyla hiçbir devlet kurumu saldırıyı resmen atfetmemişti.
Daha geniş tablo da kayda değer boyutta. Bitget dahil edildiğinde, 2026’da izlenen Kuzey Kore bağlantılı kripto hırsızlıkları 50’den fazla olayda 1 milyar doları aştı. Bir sektör tahmini toplamı 1,04 milyar dolar olarak hesapladı. Bu rakam 2026’yı, 1,68 milyar dolar olarak tahmin edilen 2025’in ardından en büyük ikinci yıl yapıyor.
Bitget’in CEO’su, saldırganın çok büyük olasılıkla Kuzey Koreli bir grup olduğunu söyledi. Bu açıklama operasyonel bir risk sinyalidir, resmî atfın yerini tutmaz. Güvenlik ekipleri, eldeki cüzdan örtüşmelerini ve aklama örüntülerini tespit çalışmalarına yön vermek için kullanmalı, kamuya açık açıklamalarda ve hukuki süreçlerde ise belirsizliği korumalıdır.
Bitget ayrıca kullanıcı fonlarının %100’ünün, o tarihte değeri yaklaşık 464 milyon dolar olan 5.500 BTC’yi elinde tutan Bitget Koruma Fonu tarafından karşılandığını açıkladı. Borsa, fonu 1,4 milyar doları aşan kurumsal rezervlerinden bir hafta içinde en az 300 milyon dolara yeniden tamamlamayı taahhüt etti. Bu taahhütler müşterilere karşı ödeme gücü konusunu ele alıyor, ancak çekim komutlarının geçmesine izin veren onay mimarisini onarma ihtiyacını ortadan kaldırmıyor.
BGB tokenı olayın ardından kabaca %3 ila %7 geriledi, 1,89 ila 1,93 dolar civarında dip yaptıktan sonra yaklaşık 1,97 dolara toparlandı. Dolayısıyla piyasa tepkisi, doğrudan cüzdan kaybının yanı sıra güven riskini de yansıttı.
Bitget’in müdahalesi, Soken’in güvenlik araştırmaları merkezi üzerinden daha geniş olay araştırmalarıyla birlikte takip edilebilir. Borsa yönetişimini gözden geçiren kuruluşlar ise kimlik bilgisi sınırlarını, işlem bütünlüğünü ve acil durum kontrollerini test etmek için teknik denetim ve olay müdahalesi desteğinden yararlanabilir.
Borsalar Bitget saldırısından sonra neleri değiştirmeli?
Borsalar, Bitget saldırısını bir yetkilendirme bütünlüğü hatası olarak ele almalı ve bir çekimi oluşturan, dönüştüren, görüntüleyen, onaylayan, imzalayan veya yayınlayan her sistemi test etmelidir. Soğuk cüzdanların ve özel anahtarların korunması gerekli olmayı sürdürüyor, ancak Bitget olayı sıcak ve ılık cüzdan riskinin güvenilir işlem meta verilerine ve bağımsız onay yollarına da bağlı olduğunu gösteriyor.
Uygulanabilir bir olay sonrası program şu sırayla ilerlemelidir:
- Komut yolunu yeniden oluşturun. Çekim talebinden yayına kadar olan rotanın tamamını, üçüncü taraf ürünleri, servis hesapları, kuyruklar, API’ler, imzalama sistemleri ve mutabakat dahil olmak üzere haritalayın.
- Kimlik bilgilerini geniş kapsamlı olarak iptal edin. Bitget, dahili kimlik bilgilerini iptal edip yeniden oluşturdu. Diğer borsalar devralınan izinleri, atıl servis hesaplarını ve ortamlar arasında paylaşılan kimlik bilgilerini belirlemelidir.
- İşlemin oluşturulmasını işlemin onaylanmasından ayırın. Onay arayüzü hedef adresi, varlığı, tutarı, zinciri, nonce değerini ve politika sınıflandırmasını bağımsız olarak doğrulamalıdır.
- Kanıtları üretim ortamının dışında saklayın. Saldırgan enjekte edilen komutların izlerini sildiği için, denetim kayıtları operasyonel yöneticilerin üzerine yazamayacağı bir ortama kopyalanmalıdır.
- Risk eşiklerini yeniden test edin. 0,184 ETH ve 193 TRX tutarındaki test transferleri eşiklerin altından geçti. Tespit mekanizması değeri, hedef adresin yeniliğini, zamanlamayı, tekrarı, zincirler arası davranışı ve kimlik bilgisi bağlamını bir arada değerlendirmelidir.
- Kapatma sürecinin tatbikatını yapın. Bitget sunucuları izole etti, kalan fonları soğuk depolamaya taşıdı ve imzalamayı kapattı. Bu adımlar olay sırasında doğaçlama yapılmak yerine olaydan önce prova edilmelidir.
- Dış mercilere bildirim sürecini önceden tanımlayın. Stablecoin ihraççıları, köprüler, niyet tabanlı sistemler, analitik sağlayıcıları ve kolluk kuvvetleri olay müdahale planlarına dahil edilmelidir.
- Kontrollü aşamalarla yeniden açın. Varlık bazında yeniden açılış, daha geniş çekimler yeniden başlamadan önce izleme sistemlerinin her cüzdan yolunu doğrulamasına olanak tanır.
Yararlı bir kontrol hedefi basittir: Ele geçirilmiş tek bir arka uç; bir çekim talebi oluşturma, bunu onaylayana tanımlama, risk motorunun koşullarını karşılama ve imzalamayı tetikleme adımlarının hepsini tek başına yapabilmemelidir. Bu hedef, borsanın çoklu imza cüzdanları, donanım güvenlik modülleri, akıllı sözleşme kasaları veya üçüncü taraf saklama altyapısı kullanmasından bağımsız olarak geçerlidir.
Bitget olayı ayrıca saklama güvenliği ile yetkilendirme güvenliği arasındaki daha geniş bir ayrımı da destekliyor. Saklama güvenliği, saldırganın anahtarları ele geçirip geçiremeyeceğini sorar. Yetkilendirme güvenliği ise sistemin, meşru anahtarlar kullanılarak yanlış işlemi onaylamaya yönlendirilip yönlendirilemeyeceğini sorar. Yalnızca ilk kategoriyi ölçen borsalar, özel anahtarların güvende olduğunu bildirirken bu anahtarların yetkilendirdiği fonların kontrolünü kaybedebilir.
Bitget’in yeniden açılış takvimi, Koruma Fonu taahhütleri ve kimlik bilgilerine ilişkin iyileştirmeler iş sürekliliğini ve müşterilerin korunmasını ele alıyor. Bir sonraki teknik soru, borsanın onaylayanlara gösterilen işlem verilerinin artık ele geçirilen arka uçtan bağımsız olarak üretildiğini ve doğrulandığını kanıtlayıp kanıtlayamayacağıdır. Bu kanıt, kamuya açıklanacak her olay sonrası raporun parçası olmalıdır.
Bitget’in kaybı, 17 işlemlik çok zincirli boşaltma ve doğrulanmış geri kazanımın sınırlı kalması aynı kontrol boşluğuna işaret ediyor: Güvenilen yazılımlar ve güvenilen işlem bağlamı birer saldırı yüzeyi olarak ele alınmalıdır. Bir borsa operatörü için somut sonraki adım, tek bir çekimi uçtan uca izlemek ve ardından nihai imzalama talebini değiştirmeden görüntülenen işlem verilerini değiştirmeyi denemektir. İzleme ve onay katmanları bu uyumsuzluğu tespit etmiyorsa cüzdan mimarisi savunmasız kalmaya devam ediyor demektir.
Soken, üçüncü taraf araçları sıcak ve ılık cüzdan operasyonlarına bağlayan yetkilendirme yoluna odaklanan bir incelemeyle, borsa güvenlik değerlendirmeleri ve sızma testleri aracılığıyla bu çalışmayı destekleyebilir.