2024 Web3 Alanındaki En İyi On Güvenlik Olayı İncelemesi

2024 yılında, blockchain sektörü teknolojik yenilikler ve ekosistem genişlemesi ile birlikte giderek artan güvenlik tehditleri ile de karşı karşıya kalmaktadır. Veri platformu izlemelerine göre, şu ana kadar 2024 yılında Web3 alanında siber saldırılar, kimlik avı dolandırıcılıkları ve projelerin yarı yolda kalması nedeniyle toplam kayıplar 24.91 milyar dolara ulaşmıştır.

Bu olaylar yalnızca özel anahtar yönetimi, akıllı sözleşme açıkları gibi teknik eksiklikleri ortaya çıkarmakla kalmadı, aynı zamanda sosyal mühendislik ve iç yönetimin potansiyel risklerini de vurguladı. Bu makalede, 2024 Web3'ün en büyük on güvenlik olayını gözden geçireceğiz ve bu olaylardan dersler çıkararak gelecekteki güvenlik tehditleriyle daha iyi başa çıkmayı umuyoruz.

1. DMM Bitcoin

Zarar Miktarı: 304 milyon dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

31 Mayıs 2024'te, Japonya'nın tanınmış kripto para borsası DMM Bitcoin büyük bir güvenlik kazasıyla karşılaştı. Saldırganlar, sızdırılan özel anahtarları kullanarak 300 milyon doların üzerinde Bitcoin'i doğrudan transfer etti ve çalınan fonları hızla 10'dan fazla farklı adrese dağıttı. Bu saldırı, borsanın özel anahtar yönetimi ve çok katmanlı güvenlik korumasındaki ciddi eksiklikleri ortaya çıkardı. Borsa, hacker'ları izlemek için zincir üzeri izleme ve fonları dondurma girişiminde bulunsa da, çalınan Bitcoin'lerin dağınık transferi ve karıştırma işlemleri izleme çalışmalarını büyük ölçüde zorlaştırdı.

24 Aralık'ta, Japon polisi bu olayın Kuzey Koreli hacker grubu Lazarus Group tarafından gerçekleştirildiğini doğruladı.

2. PlayDapp

Kayıp Tutar: 2.90 Milyar Dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

9 Şubat 2024'te, PlayDapp büyük bir darbe aldı. Hackerlar özel anahtarları çalarak 2 milyar PLA token'ı basmayı başardılar, başlangıç değeri 36.5 milyon dolar. Proje ekibi ile hackerlar arasındaki müzakerelerin başarısız olması sonucu, hackerlar kısa bir süre içinde 15.9 milyar PLA token'ı daha basarak 253.9 milyon dolarlık bir değer elde ettiler. Bazı token'lar borsa akışına girdiği için, PlayDapp PLA sözleşmesini durdurmak ve yeni PDA token sözleşmesine geçmek zorunda kaldı. Bu olay, blockchain projelerinin özel anahtar koruması ve olay acil durum müdahalesi konusundaki eksikliklerini gözler önüne serdi.

3. Bir Hint Kripto Para Borsası

Kayıp Tutarı: 235 milyon ABD Doları Saldırı Yöntemleri: Ağ Saldırıları ve Phishing

18 Temmuz 2024'te, Hindistan'ın en büyük kripto para borsasının Safe Wallet çoklu imza cüzdanı hedefli bir saldırıya uğradı. Saldırganlar, sosyal mühendislik yöntemleri kullanarak çoklu imza imzacılarından bir sözleşme güncelleme işlemi imzalamalarını sağladı ve ardından güncellenmiş sözleşme yetkilerini kullanarak cüzdandaki tüm varlıkları transfer ettiler. Bu olay, çoklu imza cüzdanlarının yetki yönetimi ve işlem şeffaflığı konusundaki potansiyel risklerini vurgulamakta ve sektörde projelerin iç risk kontrolü ve güvenlik mekanizmaları üzerine derin bir değerlendirmeyi tetiklemektedir.

4. Gala Oyunları

Kayıp Tutarı: 216 milyon ABD doları Saldırı Yöntemi: Erişim Kontrol Açığı

2024 yılının 20 Mayıs'ında, Gala Games'in bir ayrıcalıklı adresi hackerlar tarafından hacklendi. Saldırgan, token sözleşmesindeki mint fonksiyonunu çağırarak bir seferde 5 milyar GALA tokenı oluşturdu. Ardından, hacker bu tokenların bir kısmını ETH'ye dönüştürdü ve doğrudan 216 milyon dolarlık bir kayba yol açtı. Gala Games ekibi olaydan sonra acil olarak kara liste işlevini etkinleştirerek bazı hacker hesaplarını kapattı ve yasal yollarla kayıplarının bir kısmını geri aldı.

5. Bir Kripto Para Projesinin Kurucu Ortağı

Kayıp Tutar: 112 milyon dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

31 Ocak 2024'te, tanınmış bir kripto para projesinin ortak kurucusuna ait dört kişisel cüzdan, hackerlar tarafından ele geçirildi ve bu olay sonucunda 112 milyon dolar değerinde kripto para çalındı. Bu cüzdanların, donanım cihazlarının çift korumasından yoksun olması nedeniyle saldırı hedefi olduğu düşünülüyor. Olayın ardından, bir borsa çalınan varlıkların 4.2 milyon dolar değerinde olan kısmını başarıyla dondurdu ve izleme konusunda yardımcı oldu, ancak çoğu fon, merkeziyetsiz borsa ve karıştırma hizmetleri aracılığıyla aklandı.

6. Munchables

Zarar Miktarı: 6250 milyon ABD Doları Saldırı Yöntemi: Sosyal Mühendislik Saldırısı

26 Mart 2024'te, Blast tabanlı Web3 oyun platformu Munchables, nadir bir iç sızma saldırısına uğradı. Saldırgan, blockchain geliştiricisi olarak kılık değiştirerek, uzun süre sızarak çekirdek kodu ve hassas anahtarlara erişim sağladı. Saldırı büyük kayıplara yol açmasına rağmen, topluluk ve ekip baskısı altında, saldırgan sonunda çalınan tüm fonları geri iade etti. Bu olay, tedarik zinciri güvenliğinin önemini, özellikle de üçüncü taraf geliştiricilere bağımlı blockchain projeleri için ortaya koydu.

7. BtcTurk

Kayıp Tutarı: 55 milyon ABD Doları Saldırı Yöntemi: Özel Anahtar Sızıntısı

22 Haziran 2024'te, Türkiye'nin en büyük kripto para borsası BtcTurk, özel anahtar sızıntısı saldırısına uğradı ve 55 milyon dolardan fazla kripto varlık kaybetti. Bir ticaret platformu ekibinin yardımıyla, 5.3 milyon dolarlık çalınan fon başarıyla donduruldu, ancak diğer varlıklar hala geri alınamadı. Bu olay, merkezi borsaların özel anahtar yönetimi konusundaki endişeleri artırdı.

8. Parlak Sermaye

Kayıp Tutarı: 53 milyon dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

17 Ekim 2024'te, Radiant Capital'ın çoklu imza cüzdanı hackerlar tarafından ele geçirildi. Düşük eşik olan 3/11 imza doğrulama modeli kullanıldığından, hackerlar 3 imza sahibinin özel anahtarlarını ele geçirerek off-chain imzalar başlattı ve cüzdan sözleşmesinin mülkiyetini kötü niyetli bir adrese transfer etti, sonuçta 53 milyon dolar çalındı. Bu saldırı, çoklu imza cüzdanı tasarımı ve yönetim mekanizması üzerine sektörde bir yeniden düşünmeyi tetikledi.

Dikkat çekici bir nokta, Radiant Capital'ın bu saldırıdan önce sözleşme açığı nedeniyle 4.5 milyon dolar kaybetmesi ve 1900'den fazla ETH'nin çalınmasıdır. Bu, Web3 projelerinin güvenliğe olan önemini artırmaları gerektiğini göstermektedir.

9. Hedgey Finance

Kayıp Tutarı: 44.7 milyon dolar Saldırı Yöntemi: Sözleşme Açığı

19 Nisan 2024'te, Hedgey Finance birden fazla zincir üzerindeki sözleşmelere yönelik bir saldırıya uğradı. Hackerlar, ClaimCampaigns sözleşmesinin onay açığını kullanarak, Ethereum ve Arbitrum üzerindeki tokenleri başarıyla çekti ve toplam kayıp miktarı 44.7 milyon dolara ulaştı. Bu olay, kod denetiminin önemini, özellikle token onay mantığının titiz bir şekilde doğrulanmasını göstermektedir.

10. BingX

Kayıp Miktarı: 44.7 milyon dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

19 Eylül 2024'te, BingX borsasının sıcak cüzdanı hacklendi ve Ethereum, BNB Chain, Tron gibi birçok halka açık blok zincirini etkiledi. Borsa, varlık transferi ve çekim dondurma mekanizmasını hızla başlatsa da, hackerlar 44.7 milyon dolar değerinde varlıkları başarıyla çekmeyi başardı. Bu saldırı, merkezi borsa sıcak cüzdan yönetiminin yüksek riskini yansıtmakta ve sektörü daha güvenli varlık depolama çözümleri arayışına itmektedir.

Özet

2024'te güvenlik saldırı olaylarının sıklaşması, blockchain endüstrisinin gelişiminin güvenli bir koruma olmadan mümkün olmadığını bir kez daha hatırlatıyor. Özel anahtar sızıntısından sözleşme açıklarına, iç yönetim eksikliklerinden dış saldırı yöntemlerinin yükselişine kadar her olay derin dersler getirdi. Giderek karmaşıklaşan saldırı tehditlerine karşı koymak için, endüstri paydaşlarının teknoloji geliştirme, yönetim standartları ve risk kontrolüne sürekli yatırım yapmaları gerekiyor. Gelecekte, endüstri işbirliği ve teknoloji yeniliği ile daha güvenli bir blockchain ekosistemi inşa etmeyi, kullanıcılar ve yatırımcılara daha güvenilir bir koruma sağlamayı umuyoruz.