Black Hat güvenlik konferansındaki araştırmacılar, kripto borsalarının bilgisayar korsanlarına karşı savunmasız olabileceğini söyledi. Wired’ın 9 Ağustos tarihli haberine göre, kripto borsaları fonlarını korumak için yüksek gizliliğe ve güvenliğe sahip olsalar bile, araştırmacılar bilgisayar korsanlarının kripto borsalarına saldırabilecekleri üç yolun varlığından bahsetti.
Raporda, kripto borsaları saldırılarının daha çok “aynı anda döndürülmesi gereken altı anahtarı olan eski bir banka kasası” gibi işlediği belirtildi. Fakat bu kripto anahtarlar, çok daha küçük parçalara bölünmüş halde. Bu durumda saldırganın, borsaya saldırmadan önce bu anahtarları bulması gerek.
Aumasson ve anahtar yönetim şirketi KZen Networks’ün kurucu ortağı Omer Shlomovits, saldırıları üç kategoride sınıflandırdı; İçeriden bir saldırı, bir borsa ve müşteri arasındaki ilişkiyle yapılan saldırı ve gizli anahtarların bulunması.
Borsalaya Yapılan Saldırıların Çeşitleri
Rapora göre, bir kripto para birimi borsası tarafından üretilen açık kaynaklı bir arşivdeki bir güvenlik açığından yararlanan kişi ya da kurumlar, bilgisayar korsanlarının borsaya saldırabilmesinin ilk yolu.
Savunmasız arşivde, yenileme mekanizması anahtar sahiplerinden birinin yenilemeyi başlatmasına ve işlemi değiştirmesine izin verdi, böylece anahtarın bazı bileşenleri değişti ve diğerleri aynı kaldı. Eski ve yeni anahtarların parçalarını birleştiremezsiniz, ancak bir saldırgan temel olarak hizmet reddine sebep olabilir ve borsayı kalıcı olarak kendi parasına erişemez bir hale getirebilir.
Bir saldırgan, anahtar yönlendirme sürecindeki açık kaynaklı bir arşiv kusurundan yararlanabilir. Saldırgan sonrasında bir borsa ve müşterileri arasındaki işlemleri yanlış doğrulama mekanizması ile değiştirebilir.
Araştırmacıların saldırıların meydana gelebileceğini söylediği son yol, kripto borsasına güvenilen tarafların anahtarın bir kısmını elde etmeleridir. Her bir tarafın, halka açık doğrulama için birkaç rastgele sayı ürettiği bilinen bir durum. Örneğin araştırmacılar, Binance’in bu rastgele değerleri kontrol etmediğini ve sorunu Mart ayında düzeltmek zorunda kaldığını belirtti.
Anahtar taraflarındaki kötü niyetli taraf, esasen tüm bu değerleri seçip atayan diğer herkese özel olarak oluşturulmuş mesajlar göndererek, saldırganın daha sonra bu doğrulanmamış bilgiyi diğer tarafların gizli anahtarlarına erişmesi için kullanabilir.
Daha öncelerde yaşanan CryptoCore olayında, saldırganlar, birkaç kripto borsasın karşı kimlik avı başlatmıştı. Bununla birlikte iki yıl gibi bir sürede 200 milyon $ gibi ciddi bir meblağ çalmayı başardılar.