Upbit Güvenlik Açığı: Saldırıyı Yüksek Seviye Matematik ve Kriptografi Becerileri Mümkün Kıldı
Güney Koreli bir uzmana göre, Upbit’e yapılan son saldırı çok ileri düzeyde matematiksel bir istismar sonucunda gerçekleşmiş olabilir. Saldırının rastgele sayı üretimi (RNG) veya imzalama sistemlerindeki zayıflıkları hedeflediği düşünülüyor. Bu durum, klasik bir cüzdan hack’inden çok, Solana üzerindeki milyonlarca işlemin “nonce bias” adı verilen ince istatistiksel sapmalarının sömürülmesine dayanıyor. Yöntem hem büyük işlemci gücü hem de ileri kriptografi bilgisi gerektiriyor.
Dunamu CEO’su Özür Diledi: Uzmanlar Upbit’teki Gelişmiş İstismarı Açıklıyor
Dunamu CEO’su Kyoungsuk Oh, Cuma günü Upbit’te yaşanan olay nedeniyle kamuoyundan özür diledi. Şirketin, saldırganın özel anahtarları türetebilmesine olanak veren bir güvenlik açığı tespit ettiğini kabul etti. Açık, Upbit’in blockchain üzerinde herkese açık olan çok sayıda cüzdan işleminin incelenebilmesini sağlıyordu. Ancak bu açıklama, tek başına işlem verilerinin özel anahtarları nasıl açığa çıkarabileceğine dair pek çok soru doğurdu.
Hansung Üniversitesi’nden Profesör Jaewoo Cho ertesi gün saldırının daha teknik bir açıklamasını yaptı. Cho, olayın Upbit’in dahili imzalama sistemindeki hatalı veya öngörülebilir nonce üretiminden kaynaklandığını belirtti. Bu yöntem, klasik ECDSA nonce tekrar kullanımı hatalarından çok daha karmaşık zafiyetleri hedefliyordu. Saldırı, imzalama sürecindeki istatistiksel mikro-sapmaları sömürüyordu. Cho’ya göre saldırganlar milyonlarca imzayı analiz ederek bu sapma kalıplarını ortaya çıkardı ve sonunda özel anahtarları türetmeyi başardı.
Gelişmiş Saldırganlar Upbit Hack’inde Kriptografi Zayıflıklarını Sömürdü
Bu yorum, 2025’te arXiv’de yayımlanan ve affinely-related ECDSA nonce’larının büyük risk oluşturduğunu gösteren önceki araştırmalarla uyumlu. Bu araştırmaya göre, yalnızca iki bağlantılı nonce içeren imza bile özel anahtarın sızmasına yol açabiliyor. Dolayısıyla, borsalardan büyük imza veri setleri toplayabilen saldırganlar özel anahtarları çok daha kolay açığa çıkarabiliyor. Bu teknik detaylar, saldırının çok organize ve yüksek seviyede kriptografi bilgisine sahip bir ekip tarafından gerçekleştirildiğini gösteriyor. Cho’ya göre milyonlarca imza içindeki çok küçük sapmaları tespit etmek hem üst düzey matematiksel uzmanlık hem de büyük hesaplama gücü gerektiriyor.
Olay, iyi tasarlanmış sistemlerde bile matematiksel zafiyetlerin saklanabileceğini gözler önüne seriyor. Güçlü nonce üretimi için rastgelelik ve öngörülemezlik şart. Tespit edilebilir bir önyargı oluştuğunda, saldırganlar bu zayıflığı sömürülebilir hale getiriyor. Olayın ardından Upbit, tüm dijital varlık yatırma/çekme işlemlerini durdurdu ve fonları güvenli soğuk cüzdanlara taşıdı. Borsa ayrıca tüm kayıpları kendi rezervlerinden karşılayacağını açıkladı.
Daha güncel kripto haberleri için Crypto Data Space’i takip edebilirsiniz.
