Bitget saldırısı THORChain'in izinsiz tasarımı üzerine tartışma başlattı

Bitget, 24 Eylül'deki ihlalin ardından para çekme işlemlerini kademeli olarak geri yüklerken, güvenlik firmalarıyla çalınan varlıkların izini sürüyor.

THORChain, Bitget saldırganına yönelik eleştirilere verdiği yanıtta, ağın acil durumlarda durma yeteneğinin protokolü korumak için tasarlanmış bir güvenlik mekanizması olduğunu ve bireysel adresleri seçici olarak dondurma sistemi anlamına gelmediğini belirtti.

THORChain, Bitget saldırganının adreslerini engelleme çağrılarını reddetti

Tartışma, Bitget CEO'su Gracy Chen'in 26 Eylül'de saldırganla bağlantılı adreslerin kamuya açık şekilde tespit edildiğini ve aktif olarak takip edildiğini söylemesiyle başladı.

Bitget, 24 Eylül'deki ihlalin ardından taşınan fonların izini süren araştırmacılar devam ederken, THORChain'den bu adreslere hizmet vermeyi reddetmesini resmen talep etti.

Chen, "Merkeziyetsizlik bir tasarım ilkesidir, bilinen çalıntı fonların aklanmasını kolaylaştırmak için bir kalkan değildir. Sektör izliyor." dedi.

Bitget, ihlalden etkilenen varlıkların değerini başlangıçta 351,6 milyon dolar olarak açıkladıktan sonra, soruşturmanın ek Zcash ve TRON işlemlerini tespit etmesiyle rakamı yaklaşık 387,5 milyon dolara yükseltti.

Borsa, yetkisiz transferlerin Ethereum ve birkaç EVM ağı, XRP Ledger, Zcash ve TRON üzerindeki varlıkları etkilediğini söyledi. İlgili varlıklar arasında XRP, ETH, USDT, ZEC, USDC, BNB, AVAX ve TRX yer aldı.

Çalınan fonların bir kısmı o zamandan beri zincirler arasında taşındı. AMLBot, ihlalle bağlantılı yaklaşık 4 BTC'nin, varlıklar TRON'dan USDT0, Ethereum ve THORChain üzerinden Bitcoin'e ulaşmadan önce bir Wasabi CoinJoin turuna girdiğini tespit etti.

THORChain, izinsiz yapısına işaret ederek transferleri durdurma çağrılarına karşı çıktı. Protokol, rolünü Bitcoin, Ethereum ve BNB Chain gibi ağlarla karşılaştırdı ve bu ağların bilinen çalıntı varlıkları içeren işlemleri işlerken ne gibi sorumluluklar üstlenmesi gerektiğini sorguladı.

Son yanıtında, acil durum ağ durdurma ile bireysel adreslerden gelen işlemleri seçici olarak reddetme arasında bir ayrım yaptı. THORChain, acil durum kapatma mekanizmalarının protokolün kendisini korumak için var olduğunu ve bireysel kullanıcılara uygulanabilecek bir kara listeyle eşdeğer olmadığını savundu.

Güvenlik firmaları THORChain'in merkeziyetsizlik argümanını sorguluyor

GoPlus Security, 27 Eylül'de bu açıklamaya itiraz ederek THORChain'in mimarisinin doğrulayıcı setine Bitcoin ve Ethereum'daki katılımcıların sahip olmadığı yetkiler verdiğini savundu.

Güvenlik firması, aktif doğrulayıcı setinin kasaları toplu olarak kontrol ettiği ve giden işlemleri imzaladığı THORChain'in eşik imza kasası sistemine işaret etti.

GoPlus, THORChain düğümlerinin belgelenmiş duraklatma mekanizmaları, zincir başına durdurmalar ve koordineli oylar yoluyla faaliyeti durdurabileceğini savundu. Firma, bu kurulumu, kullanıcıların kendi özel anahtarlarını tuttukları ve doğrulayıcıların protokol kasalarında varlıkları toplu olarak saklamadığı Bitcoin ve Ethereum ile karşılaştırdı.

THORChain, bu yılın başlarında kendi güvenlik olayı sırasında ağ işlevlerini durdurma yeteneğini gösterdi.

15 Mayıs'taki bir istismar, kötü niyetli bir düğüm operatörünün GG20 Eşik İmza Şeması'ndaki bir zayıflığı kullanmasının ardından protokolün beş kasasından birinden yaklaşık 10,7 milyon dolar çaldı. Otomatik ödeme gücü kontrolleri bir dengesizlik tespit etti ve düğüm operatörleri daha fazla kapatma önlemi koordine etmeden önce birkaç zincirde imzalama ve ticareti durdurdu.

Protokol, GG20 düzeltmesiyle ilgili olarak, imzalama çerçevesinin yamalı bir sürümünü hemen değiştirmek yerine korumayı önermesinin ardından eleştirilerle karşılaştı.

THORChain daha sonra 11 adımlı yeniden başlatma planının bir parçası olarak 3.19.0 sürümünü tanıttı. Yükseltme, imzalama ve diğer ağ hizmetleri devam etmeden önce ele geçirilen kasa karantinası ve geçici anahtar payı kontrollerini içeriyordu.

Ticaret, bir aydan fazla çevrimdışı kaldıktan sonra 23 Haziran'da yeniden başladı. THORChain, takas, imzalama, churning ve likidite sağlayıcı işlevleri geri yüklenmeden önce kasaların ve anahtar paylarının kontrol edildiğini söyledi.

GoPlus, işlemlerin durdurulup durdurulamayacağını tartışırken THORChain'in işletim modelini Bitcoin ve Ethereum ile doğrudan karşılaştırmaması gerektiğini savunurken Mayıs ayındaki yanıtı örnek gösterdi.

THORChain destekçileri karşılaştırmaya itiraz ediyor

Uzun süredir kripto güvenliği yöneticisi ve THORChain destekçisi olan Michael Perklin, eşik imzalamanın düğüm operatörlerinin işlemleri bireysel olarak onayladığı anlamına gelmediğini savunarak GoPlus Security'nin karşılaştırmasını reddetti.

Perklin, THORChain takaslarının, insanların bireysel transferleri onaylayıp onaylamamayı seçtiği aktif imzalama kararları olarak tanımlanmaması gerektiğini söyledi. Onun açıklamasına göre, düğüm operatörleri otomatik bir ağ sürecine katılır ve düğümlerini çevrimdışına alarak katılmayı bırakabilirler.

Bu seçeneği, işlemleri işlemekten kaçınmak için makinelerini kapatan Bitcoin madencileri veya Ethereum doğrulayıcılarıyla karşılaştırdı.

Perklin, "Üçünde de imzalamak için aktif bir seçim yok, sadece makineyi kapatmak için aktif bir seçim var." dedi.

Suç işlemlerini önlemek için altyapıyı durdurmanın aynı anda meşru işlemleri de durduracağını savundu. Perklin, Bitcoin, Ethereum ve THORChain'i, operatörlerinin bunları kullanan kişilerin eylemlerinden sorumlu tutulmaması gereken tarafsız kamu altyapısı olarak tanımladı.

Anlaşmazlık, THORChain ve 2025 Bybit saldırısından çalınan varlıkları içeren daha önceki bir tartışmanın ardından geldi. Saldırganlar, çalınan Ether'i Bitcoin'e dönüştürürken protokolü yoğun şekilde kullandı ve THORChain bu faaliyetten 2,91 milyar dolarlık işlem hacmi ve yaklaşık 3 milyon dolarlık ücret geliri kaydetti.

Bir THORChain çekirdek geliştiricisi, Bybit saldırganıyla bağlantılı işlemleri engelleme önerisi düğüm operatörlerinden destek alamayınca daha sonra ayrıldı.

Bitget çalınan fonların izini sürmeye devam ediyor

Bitget'in talebi, borsanın 24 Eylül'deki ihlalden varlıkları izlemek ve kurtarmak için güvenlik firmaları ve diğer kripto şirketleriyle birlikte çalıştığı sırada geldi.

Chen, çalınan varlıkları başarıyla donduran eylemler için %5 ve kurtarılan fonlar için %5 daha ödül sunan bir kurtarma ödülü başlattı. Circle ve Tether, 26 Eylül itibarıyla olayla bağlantılı yaklaşık 318.000 dolarlık USDC ve USDT'yi dondurmuştu.

Bitget, soruşturmanın saldırganın cüzdan altyapısındaki kritik bir arka uç sistemini ele geçirdiğini ve bunu yetkisiz transferleri tetiklemek için kullandığını ortaya çıkardığını söyledi. Borsa, özel anahtarların ele geçirilmediğini, soğuk cüzdanlarının ve ayrı Bitget Wallet ürününün etkilenmediğini belirtti.

Bağımsız siber güvenlik firmaları Mandiant ve SlowMist, soruşturma ve fon izleme çalışmalarını destekliyor.

Borsa bu arada, güvenlik açığını tespit edip düzelttikten sonra para çekme işlemlerini aşamalı olarak geri yüklemeye başladı. Bitcoin para çekme işlemlerinin 28 Eylül'de, ETH'nin 29 Eylül'de ve USDT'nin 30 Eylül'de yeniden başlaması planlanırken, diğer tokenlar, itibari para ve eşler arası hizmetlerin 2 Ekim'de başlaması planlandı.