Gate Araştırma'nın en son Web3 endüstri güvenlik raporu, Şubat ayında toplam 1.676 milyar dolarlık kayıpla 15 güvenlik olayının meydana geldiğini gösteriyor. Olayların türleri çeşitliydi, hesap hack'leri ve sözleşme zayıflıkları ana tehditler olarak belirlendi ve toplam kayıpların %58.3'ünü oluşturuyordu. Rapor, Bybit borsasının cüzdan hırsızlığı yaşaması, Infini'nin sıkı izin kontrollerine sahip olmaması ve zkLend'in sözleşme zayıflıklarıyla karşılaşması da dahil olmak üzere ana güvenlik olaylarının detaylı analizini sunmaktadır. Hesap hack'leri ve sözleşme zayıflıkları bu ayın başlıca güvenlik riskleri olarak belirlendi ve endüstrinin sürekli olarak güvenlik önlemlerini güçlendirmesi gerekliliğini vurguladı.
Özet
- Şubat 2025'te, Web3 endüstrisi 15 güvenlik olayı yaşadı ve toplamda 1.676 milyar dolarlık zarara neden oldu, önceki aya kıyasla önemli bir artış yaşandı.
- Bu ayın güvenlik olaylarının çoğunluğu, toplam kayıpların %53,3'ünü oluşturan sözleşme zafiyetleri ve hesap hack'leriyle ilgiliydi.
- Farklı zincirlerde güvenlik olaylarının dağılımına bakıldığında, üç proje BSC blokzincirinde zarar yaşadı.
- Bu ayki önemli olaylar arasında Bybit borsasının cüzdan hırsızlığı yaşaması (1.5 milyar dolar kayıp), Infini'nin sıkı izin kontrollerinden yoksun olması (50 milyon dolar kayıp) ve ionic'in bir sosyal mühendislik saldırısıyla karşılaşması (12.3 milyon dolar kayıp) yer aldı.
Güvenlik Olayı Genel Bakış
SlowMist verilerine göre, Şubat 2025'te 1,676 milyar dolarlık zararla 15 güvenlik olayı kaydedildi. Saldırılar genellikle sözleşme güvenlik açıkları, hesap hackleme ve diğer yöntemleri içeriyordu. Ocak 2025'e göre toplam zarar miktarı aylık yüzde 18 arttı. Sözleşme güvenlik açıkları ve hesap hackleme saldırıların ana nedenleri oldu ve toplamın %53.3'ünü oluşturan 8 ilgili hackleme olayı meydana geldi. Resmi X hesapları hala hackerların başlıca hedefiydi.
Bu ayki güvenlik olaylarının kamuya açık blok zincirleri üzerindeki dağılımı, BankX, Cashverse ve Four.Meme projelerinin hepsinin BSC ekosistemi içinde olduğunu gösteriyor ve birikmiş kayıpların 330.000 doları aştığını ortaya koyuyor. Bu olaylar serisi, kamuya açık zincir ekosistemi projelerinin güvenliğinin acil bir şekilde güçlendirilmesi gerektiğini göstermektedir. Sık sık yapılan saldırılar ve zayıflıklarla karşı karşıya kalan BSC, genel güvenlik standartlarını artırmak için akıllı sözleşme denetimi, risk kontrol mekanizmaları ve zincir üstü izleme önlemlerine daha fazla önem vermelidir.
Bu ay birkaç blockchain projesi büyük güvenlik olayları geçirdi ve bu da ciddi finansal kayıplara yol açtı. Dikkat çeken olaylar arasında Bybit borsasının cüzdan hırsızlığı ($1.5 milyar kayıp), Infini'nin sıkı izin kontrollerinin eksikliği ($50 milyon kayıp) ve zkLend'in sözleşme açıkları ($9.6 milyon kayıp) yer alıyor.
Şubat Ayında Büyük Güvenlik Olayları
Resmi açıklamalara göre, Şubat ayında 1.56 milyar doları aşan zarara uğrayan projelerin başında sıkı izin kontrollerinin eksikliği ve cüzdan hırsızlığı geliyordu.
- Bybit, iddia edildiğine göre Kuzey Koreli hacker grubu Lazarus Group tarafından, Safe{Wallet} ön uç kodunu değiştirerek ve imza arayüzlerini sahtecilik yaparak, Bybit'in çoklu imza mekanizmasını atlayarak Ethereum soğuk cüzdanını kontrol ettiği iddia edilen 1.5 milyar dolarlık bir fon çıkışı yaşadı.
- Infini, sıkı izin kontrollerinin eksikliği nedeniyle 50 milyon dolarlık bir zarar yaşadı. Saldırganlar başarıyla yönetici ayrıcalıklarına sahip bir cüzdan elde etti ve bu izinleri kullanarak yetkisiz işlemler gerçekleştirdi.
- Saldırganlar sahte Lombard BTC (LBTC) jeton sözleşmelerini dağıttığında ve bunları ionic platformunda çeşitli varlıkları ödünç almak için teminat olarak kullandıklarında, ionic 12.3 milyon dolar kaybetti.
Bybit
Proje Genel Bakışı:
Bybit, Mart 2018'de kurulan önde gelen bir kripto para birimi borsasıdır. Yenilikçi teknolojisi ve mükemmel ticaret deneyimiyle tanınan Bybit, gelişmekte olan dijital varlık piyasasında en güvenilir borsa olma taahhüdündedir.
Olay Genel Bakış:
21 Şubat'ta Bybit, cüzdan hırsızlığı nedeniyle 499.000 ETH (yaklaşık olarak 1.5 milyar dolar) kaybetti ve bu, kripto endüstrisi tarihindeki en büyük tek hırsızlık olarak kayda geçti. Soruşturmalar, saldırının muhtemelen Kuzey Kore'li hacker grubu Lazarus Grubu tarafından gerçekleştirildiğini göstermektedir. Temel yöntemleri, Safe{Wallet} ön uç kodunu değiştirme ve sahte imza arayüzleri oluşturma yoluyla Bybit'in çoklu imza mekanizmasını atlayarak sonunda Ethereum soğuk cüzdanlarını kontrol etmek ve önemli miktarlarda fonları anonim adreslere aktarmaktı.
SlowMist güvenlik ekibinin analizine göre, hacker'lar önce kötü niyetli sözleşmeleri devreye soktu, ardından Safe{Wallet} sunucusuna sızdı, ön uç kodunu bozdu ve JavaScript dosyalarını değiştirdi. Bu, kullanıcıların işlem oluşturma sırasında gömülü kötü niyetli mantık içeren işlemleri imzalamasına neden oldu. Bu sofistike teknikle saldırganlar, Bybit'in çoklu imza doğrulama mekanizmasını başarıyla atlayarak hırsızlığı tamamladı.
Olay Sonrası Öneriler:
- Çoklu imza cüzdanı güvenlik mimarisini güncelle: Güvenli sözleşmeleri 1.3.0 veya daha yüksek sürüme yükseltin, Muhafız mekanizmalarını etkinleştirerek işlem izinlerini sıkıca sınırlayın; varlıkların %90'ından fazlasını depolamak için çoklu imza+MPC+HSM soğuk cüzdanları etkinleştirin, sıcak cüzdan limitlerini dinamik olarak ayarlayın ve tek nokta arızalarının küresel kayıplara neden olmasını önlemek için parçalama ve coğrafi olarak dağıtılmış anahtar depolama ile birleştirin.
- Yetkisiz erişimi engellemek için hesap güvenliğini güçlendirin: İki faktörlü kimlik doğrulamayı (2FA) etkinleştirin, adres beyaz listeleme uygulayın ve yetkisiz hesap erişimini engellemek için AI işlem davranış izleme entegre edin.
- Endüstri genelinde güvenlik ittifaklarını teşvik edin: Bir hacker saldırı istihbarat veritabanı kurun ve borsalar arasında, on-chain analiz şirketleri arasında ve DeFi platformları arasında güvenlik ittifaklarını teşvik ederek hızlı tepki mekanizmaları oluşturun ve hacker'ların kaçış yollarını azaltın.
Infini
Proje Genel Bakışı:
Infini, kripto paralara odaklanan yeni bir tür stabil kripto bankasıdır. Şirket, kullanıcılara mevduat, krediler ve ödemeler gibi özellikleri destekleyen merkezi olmayan finansal hizmetler sunmak için akıllı sözleşmeler ve blockchain teknolojisini kullanmaktadır.
Olay Genel Bakış:
24 Şubat'ta, sıkı izin kontrollerinin eksikliği nedeniyle saldırganlar başarılı bir şekilde yönetici ayrıcalıklarına sahip bir cüzdan elde ettiler ve bu izinleri kullanarak izinsiz işlemler yaparak neredeyse 50 milyon dolarlık fon çaldılar. Ana zayıflıklar, saldırganların doğrudan kritik işlemleri kontrol etmelerine izin veren akıllı sözleşmenin sıkı izin yönetimi eksikliği ve yönetici hesabının yeterli çoklu imza veya izin izolasyon önlemlerini uygulamamasıydı. Bu, bir kez bir cüzdanın tehlikeye girmesiyle, tüm sistemin kontrol edilebileceği anlamına geliyordu.
Olay Sonrası Önerileri:
- İzin yönetimini güçlendirin: Anahtar işlemlerinin tek bir yönetici hesabı tarafından kontrol edilmesi yerine, anahtar işlemlerinin onaylanması için birden fazla özel anahtar gerektiren çok imza gereksinimlerini uygulayın.
- Güvenlik mekanizmalarını güçlendirin: Akıllı sözleşme güvenliğini yükseltin ve tek bir yönetici hesabına bağımlılığı azaltmak için merkezsiz yönetim mekanizmalarını kullanın.
- Kod denetimleri ve gerçek zamanlı izleme sistemleri: Smart kontratların kapsamlı denetimleri için profesyonel blockchain güvenlik şirketleriyle (örneğin CertiK, SlowMist) çalışın ve anormal fon hareketlerini izleyin, şüpheli aktiviteler meydana geldiğinde otomatik olarak fonları dondurun.
İyonik
Proje Genel Bakış:
İyonik, Mode ekosistemine dayalı bir borç verme protokolüdür ve kullanıcılara çeşitli varlıkları teminat olarak kullanarak borç alabilecekleri izinsiz likidite piyasaları sunar. Mode'un düşük ücretlerinden ve ölçeklenebilir özelliklerinden faydalanarak, birçok DeFi kullanıcısını çekmiştir.
Olay Genel Bakışı:
5 Şubat'ta ionic, yaklaşık olarak 8.8 milyon dolarlık zarara neden olan bir sosyal mühendislik saldırısına maruz kaldı. Saldırganlar sahte Lombard BTC (LBTC) jeton sözleşmelerini devreye soktu ve bunları ionic platformunda MBTC, uniBTC, wrsETH, WETH ve STONE dahil çeşitli varlıkları ödünç almak için teminat olarak kullandı. Saldırganlar, sadece 0.01 ETH'lik başlangıç fonlarıyla başlayarak, bu yöntem aracılığıyla yasa dışı yollarla önemli varlıklar edindiler ve bunları Tornado Cash aracılığıyla akladılar.
Olay Sonrası Öneriler:
- Teminat varlığı doğrulamasını güçlendirme: Tüm ana akım olmayan teminatlar için on-chain varlık sertifikasyonunu uygulayarak, potansiyel sahte tokenleri oracle ve itibar puanlama mekanizmaları aracılığıyla filtreleme.
- Akıllı sözleşmelere beyaz liste mekanizmaları ekleyin: Teminatı yalnızca resmi olarak onaylanmış varlıklarla sınırlayın ve kötü niyetli sözleşmelerin teminat varlıklarını taklit etmesini engellemek için dinamik risk puanlama benimseyin.
- Gerçek zamanlı izleme ve erken uyarı sistemleri: Anormal faaliyetleri hızlı bir şekilde tespit etmek ve yanıt vermek için gerçek zamanlı izleme mekanizmaları oluşturun.
Özet
Şubat 2025'te, birçok DeFi ve CeFi platformu güvenlik açığı saldırılarıyla karşı karşıya kaldı ve yüz milyonlarca dolarlık varlık kaybına neden oldu. Bu olaylar arasında Bybit borsası hacklenmesi, Infini'nin sıkı izin kontrollerinin eksikliği ve ionic'in bir sosyal mühendislik saldırısına kurban gitmesi bulunmaktadır. Olaylar, kripto para platformlarıyla ilgili güvenlik, akıllı sözleşme kodu denetimi ve risk yönetimi konusundaki kritik riskleri ortaya çıkardı. Endüstri, platform güvenliğini ve kullanıcı güvenini artırmak için akıllı sözleşme denetimini güçlendirmeli, gerçek zamanlı izleme uygulamalı ve çok katmanlı koruma mekanizmalarını tanıtmalıdır. Gate.io, kullanıcılarına dikkatli olmalarını ve fonlarını korumak için gerekli önlemleri almalarını hatırlatır.
Referanslar:
- Slowmist,https://hacked.slowmist.io/tr/statistics
- X,https://x.com/benbybit/status/1894768736084885929
- SlowMist,https://slowmist.medium.com/slowmist-hacker-techniques-and-questions-behind-bybits-nearly-1-5-billion-theft-09f0b59da2e2
- X,https://x.com/0xinfini/status/1893973307596435871
- X,https://x.com/wublockchain12/status/1886953752973992438
Gate.io Araştırma
Gate Research kapsamlı bir blockchain ve kripto araştırma platformudur ve derinlemesine içerik sunar. Bu, teknik analizler, sıcak konu iç görüleri, piyasa incelemeleri, endüstri araştırmaları, trend tahminleri ve makroekonomik politika analizleri içerir.
Tıkla buradaşimdi ziyaret et
Feragatname
Kripto para piyasasına yatırım yapmak yüksek risk içerir ve kullanıcıların herhangi bir yatırım kararı vermeden önce bağımsız araştırma yapmaları ve satın aldıkları varlıkların ve ürünlerin doğasını tam olarak anlamaları önerilir. Gate.io, bu tür yatırım kararlarından kaynaklanan herhangi bir kayıp veya hasardan sorumlu değildir.
