Tron Kripto Cüzdanlarındaki Gizli Güvenlik Açığı: Milyonlarca Dolar Tehlikede

Tron Kripto Cüzdanlarında Gizli Güvenlik Açığı: Milyonlarca Dolar Tehlikede

Daha az bilinen bir güvenlik açığı, tahmini 14.545 Tron kripto cüzdanını riske atarak milyonlarca dolarlık kripto varlığını potansiyel hırsızlığa maruz bıraktı. Güvenlik firması AMLBot, yayımladığı bir raporda, yalnızca 2024’ün dördüncü çeyreğinde 2.130 cüzdanın UpdateAttackPermissions işlemine bağlı bir güvenlik açığı yoluyla tehdit altına girdiğini belirtti. Toplu olarak, bu hesapların kripto varlıkları, raporun yayımlandığı zaman itibarıyla yaklaşık 31,5 milyon dolar değerindedir.

TRON Kullanıcıları, Dikkat!

Bu saldırıyı özellikle sinsi hale getiren, gizli doğasıdır. Tipik olarak fonları anında boşaltan saldırıların aksine, bu istismar, saldırganların cüzdanların kontrolünü ele geçirmesine olanak tanır. Meşru görünen işlemleri engelleyerek, hak sahiplerinin fonlarına erişimini etkili bir biçimde kısıtlar. Mağdurlar, farkında olmadan ele geçirilmiş cüzdanlarına yeni coinler yatırmaya devam edebilir ve ihlalden habersiz olarak bilgisayar korsanlarını zenginleştirmeye devam edebilir. AMLBot’un baş teknoloji sorumlusu Mykhailo Tiutin, “Genellikle, bir kurban cüzdanının çalındığını anlamaz” şeklinde yorum yapmaktadır.

Cointelegraph’a göre, bu saldırının bir kurbanı, bilgisayar korsanları tarafından hedef alınma korkusuyla adının gizli tutulmasını istemiştir. Kurban, cüzdanının hacklendiğini fark etmeden 1.000 USDT daha eklediğini belirtmiştir. Kurban, “Eğer hırsız hemen tüm paramı alıp götürseydi, cüzdanımı kaybettiğimi hemen anlardım ve içine daha fazla para koymazdım” şeklinde ifade etmiştir.

UpdateAccountPermission İşlemi ve Güvenlik Açığı

Tron’daki UpdateAccountPermission işlemi, multisig benzeri işlevler aracılığıyla hesap güvenliğini artırmak amacıyla tasarlanmıştır. Bu özellik, hesap sahiplerinin anahtarlara belirli roller atamasına, ağırlık değerlerini tanımlamasına ve işlem yetkilendirmesi için gereken eşikleri belirlemesine olanak tanır. Örneğin, bir işlem eşiği 10 olarak ayarlanmışsa ve iki anahtarın her biri beş ağırlığa sahipse, işlemi onaylayabilmek için her ikisinin de imzalaması gerekmektedir.

Bu sistem, hesap güvenliğini güçlendirmeyi hedeflese de, bir saldırganın sahibinin özel anahtarına erişim sağlaması durumunda bir güvenlik açığı haline dönüşmektedir. Saldırgan, ele geçirilen anahtardan yararlanarak hesaba kendi anahtarını ekleyebilir ve orijinal anahtarla birleştirildiğinde işlem eşiğini karşılayacak şekilde yapılandırabilir. Bu durum, yasal sahiplerin işlemlerini artık bağımsız olarak gerçekleştiremeyecekleri, ancak ele geçirilen cüzdana coin yatırmaya devam edebilecekleri için etkili bir şekilde kilitlenmelerine neden olur.

İhlalin Farkına Vardıktan Sonra Seçenekler Sınırlı

İhlalin farkına vardıktan sonra bile mağdurların seçenekleri oldukça kısıtlıdır. Yapılması gereken en acil eylem, ele geçirilen cüzdana coin yatırmayı durdurmaktır. Rome Protocol’ün kurucu ortağı Sattvik Kansal, “Bu saldırı özellikle endişe verici, çünkü kullanıcılar için fonları kurtarmanın bir yolu yok; çünkü saldırganın özel anahtarı, başka herhangi bir işlem için de gereklidir” şeklinde değerlendirmelerde bulunmaktadır.