2 Kasım’da dolandırıcılar, Brezilya’nın en eski ve en büyük kripto borsası Mercado Bitcoin’in sıcak cüzdanlarından aynı anda on blokzincir ağında varlık çekti. Zarar tahminleri 30 milyon ile 49 milyon dolar arasında değişiyor. Borsa yatırma ve çekme işlemlerini durdurdu ve bunları ne zaman yeniden açacağını söylemiyor. 3 Kasım sabahı platform hâlâ bakım modundaydı.
Mercado Bitcoin 2013’ten beri faaliyette ve kendini ülkenin ilk kripto aracı kurumu olarak tanıtıyor. Farklı verilere göre 4,5 ila 4,8 milyon müşterisi var. Borsa 27 Ekim’de Brezilya Merkez Bankası’na lisans başvurusu yaptı. Temmuz ayında ise Tether, holding şirketi 2TM’nin azınlık hissedarı oldu.
Olaylar nasıl gelişti
AuditKey’e göre hazırlıklar 1 Kasım’da Moskova saatiyle 21.20 civarında başladı. İlk transfer saat 04.36’da Arbitrum ağında yapıldı. Ardından, CertiK analisti Dixon Wu’nun anlattığına göre saldırgan yaklaşık dört saat boyunca küçük ağlarda küçük tutarları denedi. Asıl çekim yaklaşık yarım saat sürdü, 09.19’dan 09.53’e kadar: Bitcoin, Ethereum, Solana, Stellar, Tron ve Avalanche dahil on ağda sıcak cüzdanlar boşaltıldı.
Burada akıllı sözleşme açığı yoktu. Bunlar borsanın geçerli anahtarlarıyla imzalanmış sıradan transferlerdi. Saldırganın imza yetkisini nasıl ele geçirdiği bilinmiyor. AuditKey’in vurguladığı gibi, blokzincire bakarak dışarıdan bir saldırıyı içeriden birinin eyleminden ya da bir tedarikçideki arızadan ayırt etmek mümkün değil.
“Kontrol altına alındı”, ama çekimler sürdü
Mercado Bitcoin, Moskova saatiyle 15.56’da “sistemlerinden birinde” bir olayın tespit edilip hızla kontrol altına alındığını, müşterilerin hiçbir kayıp yaşamayacağını ve veri sızıntısı olmadığını duyurdu. Blokzincirde ise başka şeyler oluyordu. Bitquery’nin hesabına göre saldırgan 15.27 ile 19.56 arasında Ethereum’da müşterilere ait 36.042 yatırma adresini boşalttı, BNB Chain’de ise saat 21.08’e kadar 143 adresi daha süpürdü. Yani borsanın açıklamasından sonra yaklaşık dört saat daha para çekmeye devam etti.
Buradaki tutar küçük, yaklaşık 266 bin dolar: bu adreslerin %91’inde 10 dolardan az vardı. Asıl önemli olan başka. Saldırganın elinde yalnızca sıcak cüzdanların değil, müşterilerin hesaplarına para yatırdığı adreslerin de anahtarları vardı. Wu, “Bunu yapan kişi müşteri yatırma adreslerinden de para çekebilir” diyor. The Record’un görüştüğü araştırmacılar, borsanın müşteri fonlarının etkilenmediği yönündeki açıklamasına itiraz ediyor. Teknik olarak borsa haklı: yatırma adreslerindeki coin’leri o saklıyor, müşterinin elinde ise yalnızca bir bakiye kaydı var. Ama tam da bu yüzden her şey borsanın sözünü tutup tutmayacağına bağlı.
Ne kadar çalındı: 30 ila 49 milyon dolar
- AuditKey: 30,3 milyon dolar. Yalnızca güvenilir fiyatı olan token’lar hesaba katıldı.
- Hypernative: en az on ağda 40 milyon dolardan fazla.
- Bitquery: 48,6 milyon dolar, EVA token’ı hariç 47,4 milyon dolar.
- Borsanın yardım istediği Chainalysis: 17 ağda yaklaşık 49 milyon dolar. Bitquery’ye göre bu 17 ağa, başka cüzdanlardan para hareket eden ağlar da dahil; borsanın kendi kayıpları ise on ağda.
Mercado Bitcoin akşam güncellemesinde iki rakam verdi: yaklaşık 11 milyon dolar bloke edildi, yaklaşık 38 milyon dolar “henüz bloke edilmedi”. Toplamda yaklaşık 49 milyon dolar. Bazı yayın organları 38 milyon doları toplam kayıp olarak verdi. Oysa bu yalnızca dondurulmamış kısım. Hypernative’e göre çalınanlar arasında 106 BTC, 2.852 ETH, 10,7 bin SOL, 6,7 milyon XLM, 1,7 milyon TRX ve iki yüzden fazla başka token var. Bitquery’ye göre bitcoin’ler henüz hareket etmedi.
Dondurma: bu kez işe yaradı
Tether ilk blokajı Moskova saatiyle 13.21’de yaptı, Circle yaklaşık altı saat sonra devreye girdi. Bitquery dondurulan fonları 11,4 milyon dolar olarak hesapladı: Tether’de 5,9 milyon, Circle’da 3,9 milyon, Paxos’ta 1,5 milyon dolar, Agora ve Ripple’da ise yaklaşık 145 bin dolar. 358 bin EURC daha dondurulmamış durumdaydı. Chainalysis farklı rakamlar veriyor: 9 milyon doları aşkın kısmı Tether’de olmak üzere yaklaşık 10 milyon dolar. Bu veriler şimdilik birbiriyle örtüşmüyor.
Burada dondurma mağdurların lehine işledi. Ama bu aynı düğme: ihraççı, sizinki dahil herhangi bir adresteki USDT veya USDC’yi durdurabilir ve kararı kendisi verir. BTC, ETH, SOL ve XLM’yi ise kimse donduramaz; bu yüzden saldırgan ganimetin büyük kısmını Mayan ve Bridgers takas hizmetleri üzerinden rahatça dönüştürdü.
Kaynağı belirsiz bir söz
Borsa, müşterilerin hiçbir şey kaybetmeyeceğini tekrarlıyor. Paranın nereden ve ne zamana kadar geleceğini ise söylemiyor: ne rezervlerden, ne sigortadan, ne de hissedarlardan bahsediyor. Çekimler “güvenli olduğunda” yeniden açılacak. Brezilya Merkez Bankası, Menkul Kıymetler Komisyonu ve Federal Polis 3 Kasım sabahına kadar kamuoyuna açıklama yapmadı. Borsa ayrıca “fonları geri almaya yardım etmeyi” teklif eden dolandırıcılara karşı uyarıyor. Mercado Bitcoin müşterisiyseniz bu tekliflere yanıt vermeyin ve borsa güvenli olduklarını duyurana kadar eski yatırma adreslerine hiçbir şey göndermeyin.
Yanıt bekleyen sorular
- Saldırgan imza yetkisini nasıl ele geçirdi: anahtarlar, imza sistemi, bir çalışan ya da bir tedarikçi üzerinden mi?
- Müşteri adreslerinden çekimler dört saat daha sürdüyse borsa saldırıyı neden kontrol altına alınmış olarak nitelendirdi?
- Yatırma adreslerinin anahtarları değiştirildi mi ve eski bilgilerle yeniden para yatırmak mümkün mü?
- Borsa, dondurulmamış 38 milyon doları hangi parayla karşılayacak?
- Çekimler ne zaman ve hangi sırayla yeniden açılacak?
- Nihai tutar ne ve kaç ağ etkilendi: on mu, on yedi mi?
Bundan ne çıkıyor
Borsadaki bakiye, borsanın bir sözüdür. Çekimler kapalıyken coin’leriniz yalnızca onun veritabanındaki bir satır olarak var olur ve onlara ne zaman erişeceğinize o karar verir. Borsada yalnızca alım satım yaptığınız kısmı, geri kalanını ise anahtarları yalnızca sizde olan bir cüzdanda tutun. Yine de stablecoin’lerin kendi cüzdanınızda bile ihraççı tarafından dondurulabileceğini unutmayın.
Bağlam için: bundan üç gün önce, şimdi Mercado Bitcoin’e çalınan fonları izlemede yardım eden şirketin ta kendisi olan Chainalysis, kendi sistemlerinin ihlal edildiğini duyurmuştu.