Editör: Enver Adıgüzel
Hindistanlı kripto para borsası Unocoin, 14 Kasım Cumartesi günü saldırganların ele geçirdiği üç sıcak cüzdandan yaklaşık 200 bin dolar değerinde kripto varlık çaldığını doğruladı. Şirket, daha önce hiçbir fonun kaybedilmediğine dair açıklamasını bu kez geri aldı. Platform ekibi, hassas müşteri bilgilerinin de açığa çıkmış olabileceğini kabul etti.
Önceki güvence geri alındı
Unocoin’in 14 Kasım tarihli açıklaması, şirketin 6 Kasım’daki güvenlik olayına ilişkin ilk değerlendirmesinden belirgin bir sapma anlamına geliyor. Bengaluru merkezli borsa 9 Kasım’da, saklama hizmeti sağlayıcılarıyla yaptığı müdahalenin kripto para kaybını önlediğini savunmuştu.
Ancak sonraki adli incelemeler, müşteri çekimleri dahil faaliyetlerde kullanılan üç operasyonel sıcak cüzdanda yetkisiz işlemler ortaya çıkardı. Unocoin’in tahminine göre yaklaşık 200 bin dolarlık kayıp, müşteriler adına tutulan kripto varlıkların yüzde 1’inden çok daha azını oluşturuyor. Şirket, zararı hesap sahiplerine yansıtmak yerine kendi kaynaklarından karşılayacağını açıkladı.
Unocoin ayrıca etkilenen fonların bir bölümünü sektör ortaklarıyla iş birliği yaparak dondurduğunu bildirdi. Ancak geri alınan ya da kısıtlanan tutarı açıklamadı.
Sekiz yıllık yedek anahtarlar
Soruşturmanın belki de en ciddi bulgusu, yaklaşık sekiz yıl önce üretilmiş ve kağıda basılarak güvenli fiziksel depolamaya konmuş şifreli yedek imzalama anahtarlarıyla ilgili. Soruşturmacılar, Unocoin’in kontrolündeki bu anahtarların ele geçirildiğini ve ardından yetkisiz kripto transferlerini onaylamak için kullanıldığını belirledi.
Şirket, ele geçirilen altyapıda bir şifre çözme parolası bulunmasına rağmen, anahtarlara tam olarak nasıl erişildiğinin henüz tespit edilemediğini kabul etti. Bulgular, Bitgo’nun 13 Kasım tarihli açıklamasını da doğruluyor: Saklama sistemlerinin hiçbir zaman ihlal edilmediği belirtiliyor.
Unocoin’in iki-üçte bir çoklu imza düzeninde şirket iki imzalama anahtarını elinde tutuyordu. Bu da işlemlerin Bitgo’nun katılımı olmadan yetkilendirilebilmesi anlamına geliyor. Saklama kuruluşu daha önce, şüpheli işlemlerin Unocoin’in kullanıcı ve yedek anahtarlarıyla imzalandığını, ardından bağımsız olarak blokzincir ağlarına yayınlandığını açıklamıştı.
Veri sızıntısı yeni soruları gündeme getirdi
Kripto para hırsızlığının yanı sıra Unocoin, altyapısının bir bölümünün kayıtlı e-posta adreslerini, ikamet adreslerini, şifrelenmiş parolaları, hesap bakiyelerini ve müşteri tanıma (KYC) bilgilerini açığa çıkarmış olabileceğini kabul etti.
Ancak şirket, kimlik doğrulama belgelerine yetkisiz erişime dair bir kanıt bulunmadığını vurguladı. Müşterilere, ele geçirilmiş olabilecek kişisel bilgileri kullanan hedefli oltalama girişimlerine karşı uyarıda bulunuldu.
Bu arada Unocoin, hizmetleri yeniden açmadan önce altyapısını yeniden kurmayı, güvenlik denetimleri yürütmeyi ve ele geçirilen imzalama anahtarlarının koşullarını araştırmayı sürdürüyor.
Kaynak: Unocoin
