2024 Web3 Güvenlik Olayları İncelemesi: On Büyük Saldırı Yaklaşık 2.5 Milyar Dolar Kayıp Oluşturdu

2024'te Web3 alanı ciddi güvenlik tehditleriyle karşı karşıya kalıyor. Veri platformu izlemelerine göre, şu ana kadar hacker saldırıları, kimlik avı dolandırıcılığı ve proje sahiplerinin kaybolması nedeniyle toplam kayıplar 24.91 milyar dolara ulaştı. Bu olaylar sadece teknik eksiklikleri değil, aynı zamanda sosyal mühendislik ve iç yönetim ile ilgili potansiyel riskleri de ortaya koyuyor. Bu makalede, 2024 yılındaki Web3'ün en önemli on güvenlik olayını gözden geçirerek, dersler çıkaracağız ve gelecekteki güvenlik tehditlerine daha iyi yanıt vereceğiz.

1. DMM Bitcoin

Zarar Miktarı: 3.04 Milyar Dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

2024 yılı 31 Mayıs'ta, Japonya'nın tanınmış kripto para borsası DMM Bitcoin büyük bir saldırıya uğradı. Saldırganlar sızdırılmış özel anahtarları kullanarak 300 milyon dolardan fazla değere sahip Bitcoin'i doğrudan transfer etti ve çalınan fonları hızla birden fazla adrese dağıttı. Bu olay, borsanın özel anahtar yönetimi ve çok katmanlı güvenlik korumasındaki ciddi eksiklikleri ortaya çıkardı. Borsa, zincir üzerindeki izleme ve fonları dondurma yoluyla hackeri takip etmeye çalışmasına rağmen, çalınan Bitcoin'lerin dağıtılmış transferleri ve karıştırma işlemleri izleme çalışmalarını büyük ölçüde zorlaştırdı.

24 Aralık'ta, Japon polisi bu saldırının Kuzey Koreli hacker grubu Lazarus Group tarafından gerçekleştirildiğini doğruladı.

2. PlayDapp

Kayıp Miktarı: 2.90 Milyar Dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

9 Şubat 2024'te, PlayDapp büyük bir darbe aldı. Hackerlar, özel anahtarları çalarak 2 milyar PLA tokeni basmayı başardılar, başlangıç değeri 36.5 milyon dolar. Hackerlarla yapılan müzakerelerin başarısız olması üzerine, hackerlar ardından 15.9 milyar PLA tokeni daha basarak 253.9 milyon dolarlık bir değer elde ettiler. Bazı tokenler işlem platformlarına ulaştıktan sonra, PlayDapp PLA sözleşmesini durdurmak ve PDA token sözleşmesine geçmek zorunda kaldı. Bu olay, blockchain projelerinin özel anahtar koruma ve acil durum yönetimi konusundaki yetersizliklerini gözler önüne serdi.

3. WazirX

Kayıp Tutarı: 235 milyon dolar Saldırı Yöntemi: Ağ Saldırısı ve Phishing

18 Temmuz 2024'te, Hindistan'ın en büyük kripto para borsası WazirX'in Safe Wallet çoklu imza cüzdanı hedefli bir saldırıya uğradı. Saldırganlar, sosyal mühendislik kullanarak çoklu imza imzalayıcılarını bir sözleşme güncelleme işlemini onaylamaya ikna etti ve ardından güncellenmiş sözleşme yetkilerini kullanarak cüzdandaki tüm varlıkları transfer etti. Bu olay, çoklu imza cüzdanlarının yetki yapılandırması ve işlem şeffaflığı konusundaki potansiyel risklerini ortaya koydu ve sektörde projelerin iç kontrol ve güvenlik mekanizmaları üzerine derinlemesine düşünmelere yol açtı.

4. Gala Oyunları

Kayıp Tutarı: 216 Milyon Dolar Saldırı Yöntemi: Erişim Kontrol Açığı

20 Mayıs 2024'te Gala Games'in ayrıcalıklı bir adresi bilgisayar korsanları tarafından ihlal edildi. Saldırgan, token sözleşmesinde mint işlevini çağırarak tek seferde 5 milyar GALA tokeni bastı. Daha sonra, bilgisayar korsanları ek tokenleri ETH ile gruplar halinde değiştirdi ve doğrudan 216 milyon dolarlık bir kayba neden oldu. Olaydan sonra Gala Games ekibi acilen kara liste işlevini etkinleştirdi, bazı bilgisayar korsanlarının hesaplarını bloke etti ve kayıpları yasal kanallar aracılığıyla geri aldı.

5. Chris Larsen olayı

Kayıp Tutarı: 112 milyon ABD Doları Saldırı Yöntemi: Özel Anahtar Sızıntısı

2024 yılı 31 Ocak'ta, Ripple'ın kurucu ortağı Chris Larsen'ın dört kişisel cüzdanı hackerlar tarafından saldırıya uğradı ve 112 milyon dolar değerinde XRP çalındı. Bu cüzdanlar, donanım cihazlarının çift koruma eksikliği nedeniyle saldırı hedefi oldu. Olayın ardından, bir borsa 4.2 milyon dolar değerinde XRP'yi dondurmayı başardı ve çalınan varlıkları izleme konusunda yardımcı oldu, ancak çoğu fon merkeziyetsiz borsa ve karıştırma hizmetleri aracılığıyla aklandı.

6. Munchables

Kayıp Tutarı: 62.5 milyon dolar Saldırı Yöntemi: Sosyal Mühendislik Saldırısı

26 Mart 2024'te, Blast tabanlı Web3 oyun platformu Munchables, nadir bir iç sızma saldırısına maruz kaldı. Saldırganlar, blockchain geliştiricisi olarak maskelenmiş Kuzey Koreli hackerlar, uzun süreli sızma ile çekirdek kod ve hassas anahtarlara erişim sağladı. Büyük kayıplara yol açmasına rağmen, topluluk ve ekip baskısı altında, hackerlar sonunda çalınan tüm fonları geri iade etti. Bu olay, özellikle üçüncü taraf geliştirmeye bağımlı blockchain projeleri için tedarik zinciri güvenliğinin önemini ortaya koydu.

7. BtcTurk

Kayıp Tutarı: 55 milyon ABD Doları Saldırı Yöntemi: Özel Anahtarın Sızması

22 Haziran 2024'te, Türkiye'nin en büyük kripto para borsası BtcTurk, özel anahtar sızıntısı saldırısına uğradı ve 55 milyon dolardan fazla kripto varlık kaybı yaşandı. Bir ticaret platformunun yardımıyla, 5.3 milyon dolar çalınan fon başarıyla donduruldu, ancak diğer varlıklar hala geri alınamadı. Bu olay, merkezi borsaların özel anahtar yönetimine ilişkin endişeleri artırdı.

8. Radiant Capital

Kayıp Miktarı: 53 milyon dolar Saldırı Yöntemi: Özel Anahtar Sızıntısı

17 Ekim 2024'te, Radiant Capital'ın çoklu imza cüzdanı bir hacker tarafından ele geçirildi. Düşük giriş eşiğine sahip olan 3/11 imza doğrulama modeli kullanıldığı için, hacker 3 imza sahibinin özel anahtarlarını ele geçirerek cüzdan sözleşmesinin mülkiyetini kötü niyetli bir adrese devretti ve sonuç olarak 53 milyon dolar çalındı. Bu saldırı, çoklu imza cüzdanı tasarımı ve yönetim mekanizması üzerine sektörde bir sorgulamaya yol açtı.

Dikkat çekici olan, Radiant Capital'in bu saldırıdan önce sözleşme açığı nedeniyle 4.5 milyon dolar kaybetmesi ve 1900'den fazla ETH'nin çalınmasıdır. Bu, Web3 projelerinin güvenliğe daha fazla önem vermesi gerektiğini bir kez daha vurgulamaktadır.

9. Hedgey Finance

Kayıp Tutarı: 44.7 milyon dolar Saldırı Yöntemi: Sözleşme Açığı

19 Nisan 2024'te, Hedgey Finance birden fazla zincir üzerindeki sözleşmelere yönelik bir saldırıya uğradı. Hackerlar, ClaimCampaigns sözleşmesinin onay açığını kullanarak Ethereum ve Arbitrum zincirlerinden toplam 44.7 milyon dolar kayba neden olan token'ları başarıyla çıkarabildiler. Bu olay, kod denetiminin önemini, özellikle token onay mantığının titiz bir şekilde doğrulanması gerektiğini göstermektedir.

10. BingX

Kayıp Tutarı: 44.7 milyon $ Saldırı Yöntemi: Özel Anahtar Sızıntısı

19 Eylül 2024'te, BingX borsasının sıcak cüzdanı, Ethereum, BNB Chain, Tron gibi birçok kamu blok zincirini içeren bir siber saldırıya uğradı. Borsa, varlık transferi ve para çekme dondurma mekanizmalarını hızla devreye sokmasına rağmen, hackerlar 44.7 milyon dolar değerinde varlıkları başarılı bir şekilde çekmeyi başardı. Bu saldırı, merkezi borsa sıcak cüzdan yönetiminin yüksek riskini yansıtmaktadır ve sektörü daha güvenli varlık saklama çözümleri keşfetmeye yönlendirmektedir.

2024 yılında sıkça yaşanan güvenlik saldırıları, blockchain endüstrisinin gelişiminin güvenlik garantilerinden bağımsız olmadığını bir kez daha hatırlatıyor. Özel anahtar sızıntılarından akıllı sözleşme açıklarına, iç yönetim eksikliklerinden dış saldırı yöntemlerinin gelişimine kadar her bir olay derin dersler getirdi. Artan karmaşık saldırı tehditlerine karşı koymak için, sektörün tüm paydaşları teknolojik geliştirme, yönetim standartları ve risk yönetimi alanında sürekli olarak yatırım yapmaya ihtiyaç duymaktadır. Gelecekte, sektör işbirliği ve teknolojik yenilikler aracılığıyla daha güvenli bir blockchain ekosistemi oluşturmayı umuyoruz, böylece kullanıcılar ve yatırımcılara daha güvenilir bir koruma sunabiliriz.