Binance Cüzdan İşlemlerinde Yeni Teknik Detaylar: Yetkilendirme Kapsamı Genişledi

Phylax kurucusu Odysseus, Binance etiketli bir cüzdan üzerinden gerçekleştirilen şüpheli transferleri inceleyerek, imzalı bir yetkilendirmenin yalnızca tek bir adresle sınırlı kalmayıp farklı bir akıllı cüzdana daha erişim sağladığını ve bu yolla 780 milyon USDC tutarında varlığın taşındığını ortaya koydu. Ethereum EIP-7702 mekanizması üzerinden yürütülen bu teknik analiz, söz konusu yetkilendirme sürecinin işlem güvenliği üzerindeki kritik risklerini gözler önüne seriyor.

EIP-7702 ve Yetkilendirme Sürecindeki Zamanlama

Araştırmacı Odysseus tarafından paylaşılan verilere göre, Binance ile ilişkilendirilen cüzdana saat 20.20.59 UTC’de imzalı bir kod yetkilendirmesi tanımlandı. Bu tanımlamadan sadece 3 dakika 24 saniye sonra, yani saat 20.24.23 UTC’de, başka bir adres üzerinden sweep() işlevi çağrılarak varlıkların toplu aktarımı gerçekleştirildi. Bu süreçte 167.464 ETH ve 1,615 milyar USDT değerindeki varlıklar dahil olmak üzere toplam 63 farklı tokenın taşındığı tespit edildi. İncelemeler, yetkilendirilen kodun içerisinde Tornado Cash üzerinden fonlanmış bir operatör adresinin sabitlendiğini, ancak yetkisiz bir adresle yapılan denemelerin reddedildiğini gösteriyor.

Yetki Kapsamının Diğer Cüzdanlara Genişlemesi

Analizin en dikkat çekici bulgusu, saldırının tek bir adresle sınırlı kalmadığı yönünde. Saat 20.41.23 UTC’de gerçekleşen ayrı bir işlemle, yetkilendirilen cüzdanın sahip olduğu sahiplik hakları kullanılarak başka bir akıllı cüzdandan 780 milyon USDC daha transfer edildi. Bu durum, bir cüzdana verilen kod yetkisinin, o cüzdanın kontrol ettiği diğer varlıklar ve erişim hakları üzerinde de bir risk oluşturabileceğini kanıtlıyor. Kripto varlık piyasalarında bu tür yetkilendirme riskleri, kullanıcıların imzaladıkları kodların içeriğini bilmesinin önemini bir kez daha vurguluyor.

Borsa ve Yetkililerden Gelen İlk Açıklamalar

Teknik incelemelerin ardından Binance, güvenlik ekiplerinin olası güvenlik ihlallerini yakından takip ettiğini ve doğrulanan bilgilerin şeffaf bir şekilde paylaşılacağını duyurdu. Eski CEO Changpeng Zhao ise olayın bir saldırı niteliği taşıdığını belirterek, Tether tarafından yaklaşık 971 milyon doların, Circle tarafından ise 823 milyon doların dondurulduğunu açıkladı. Binance’in yönetimiyle doğrudan bir bağı kalmadığını belirten Zhao, bir hissedar olarak kullanıcı fonlarının korunması konusundaki beklentisini yineledi. Piyasalar üzerinde geniş yankı uyandıran bu olayda, dondurulan varlıkların nihai durumu ve transferlerin arka planındaki güvenlik açıkları üzerinde incelemeler sürmeye devam ediyor. EIP-7702 standardı, bir hesabın yetkilendirdiği kodu kendi üzerinde çalıştırmasına olanak tanıdığı için, bu tür imza işlemlerinde cüzdan sahiplerinin yüksek dikkat göstermesi gerektiği ifade ediliyor.