Binance saldırısı konusunda, şirket içi AI aracılığıyla gerçekleşen saldırının tam olarak ne tür bir saldırı olduğu ilgi çekici ve başkaları için de referans olabilecek kadar önemli bir izlenim bırakıyor. Şirket içi AI araçları üzerinden yapılan saldırılar ve bunlara nasıl karşı alınması gerektiği konusunda, genel toplumda pek paylaşım yapılmadığı izlenimi var.
Yeni bir güvenlik modeli düşündüm, bu model, başka bir borsadan kaynaklanan bir sızıntı gibi olayları önleyebilir; kayıt amaçlı notlar. Şu anda AI ile fikri doğruluyorum ve sorun yoksa, bazı kişilerle görüşmeye de gidebilirim.
BTCPay Server Güvenlik Uyarısı
Binance, çekimleri yavaşça başlatıyor; bunun normal bir şekilde, içsel olarak güvenlik sağlandığını veya daha fazla saldırıya uğrayarak varlıkların çalınmayacağını düşündüğünü varsayabilirim, ancak saldırı ayrıntıları, nedeni ve mevcut güvenlik önlemleri hakkında bir duyuru çıkmadı.
Binance güvenlik olayı güncellemesi #3 yayınlandı, ancak ana olarak iade gibi konulara odaklanıyor ve saldırı nasıl gerçekleştirildiği hakkında hiçbir bilgi verilmemiş.
Bir borsadan fonlar çalındığında, kullanıcıların tüm kayıpları telafi edilirse sorun yok mudur? Binance'den çalınan para, Kuzey Kore'nin füzelerine dönüşebilir. Bu nedenle, bu 1 trilyon yen (yaklaşık 6,3 milyar dolar) değerindeki çalınma olayı, hiçbir kripto varlık sahibi olmayan herkes için de ilgilidir. ABD FBI, bu olayı Kuzey Kore'nin işi olarak kesinleştirdi. Japonya, ABD ve Güney Kore hükümetleri, kripto varlıkların çalınmasının Kuzey Kore'nin nükleer ve füze geliştirme faaliyetlerinin finansman kaynağı olduğunu uzun süredir vurgulamaktadır. Binance tüm tazminatı öderse, kullanıcıların varlıkları korunacaktır. Ancak bu tazminatı ödemek için para harcayan Binance'dir. Kuzey Kore'nin çaldığı para, bu tazminat nedeniyle bir kuruş bile azalmaz. Binance'e göre, 30 Ekim itibarıyla dondurulan miktar, çalınan tutarın yaklaşık yarısıdır. Öte yandan FBI, saldırganların çalınan varlıkları Ethereum (ETH) ile değiştirmeye başladığını doğrulamış ve ilgili işlemlerin durdurulması için işletmelere çağrıda bulunmuştur. “Kullanıcılara ne kadar tazminat verildi?” sorusu kadar, “Kuzey Kore'nin kullanmadan önce ne kadar durduruldu? Ve gerçekte ne kadar geri kazanıldı?” sorularını da takip etmek gerekir. Bu, Japonya için bir güvenlik meselesidir.
Binance, Fireblocks'un politika motoru gibi bir şeyi uyguluyor mu acaba? Şu an için, böyle bir şeyin olmadığı gibi bir izlenim var, ancak hiçbir kanıt yok.
Google'un kustodi hizmeti Kişisel olarak, çok büyük bir destek ve çok mutlu oluyorum
crypto-bigint adlı Rust kriptografik hesaplama kütüphanesinde, zamanlama saldırısı (yan kanal saldırısı) ile ilişkili bir zafiyet (RUSTSEC-2026-0387) bildirildi. Sadece “güncelleme yapmakla çözülür” şeklinde kalmadan, Alloy gibi ana Web3/EVM yığınlarını kullanan ürünler doğrudan etkilenmektedir. Bu nedenle durumu netleştirmek ve dikkat çekmek amacıyla paylaşım yapmaktayız. 1. Zafiyet Özeti Hedef kütüphane: crypto-bigint (büyük tamsayılar için sabit boyutlu aritmetik kütüphanesi) Sorun: Çıkarma ve Montgomery çarpma gibi iç işlemlerde, derleyici optimizasyonları nedeniyle koşullu dallanmalar meydana gelmekte ve işleme süresinde girdi verisine bağlı farklılıklar ortaya çıkmaktadır. Risk: Saldırganlar, milisaniye/mikrosaniye düzeyindeki yürütme sürelerini hassas bir şekilde ölçerek gizli anahtarlar gibi hassas bilgileri tahmin edebilir veya geri kazanabilir (zamanlama saldırısı). 2. Neden hemen “güncellemek mümkün değil”? crypto-bigint’in kendisi için düzeltme sürümü (v0.7.6) yayınlandı, ancak üst düzey kütüphanelerin bağımlılıkları nedeniyle güncellemeler engellenmektedir. EVM/Ethereum çevresinde yaygın olarak kullanılan alloy, k256 v0.13 adlı kriptografik kütüphaneye bağımlıdır. Ancak şu anda k256 v0.13, crypto-bigint v0.7.6’ya uyum sağlamamaktadır (veya yayımlandı beklenmektedir). Bu nedenle projelerde yalnızca cargo update komutunu çalıştırmak yeterli değildir; bağımlılık kilitlenmesi nedeniyle eski sürümler kalıcı olarak korunmaktadır. 3. Gelecek Adımlar ve Kontrol Prosedürü Etkinin Görselleştirilmesi: Önce cargo tree -i crypto-bigint veya cargo audit komutlarını çalıştırarak projenizdeki bağımlılık yollarını (alloy -> k256 vb.) kontrol edin. Üst düzey güncellemeleri takip etme: k256 ve alloy tarafında yapılacak bump PR’leri (patch sürüm yayınları) izleyin. Çözüm yollarını araştırın: Acil müdahale gerekiyorsa, Cargo.toml içindeki [patch.crates-io] bölümünü kullanarak bağımlılıkları zorla değiştirmek gibi çözüm yollarını test edin. Rust/Web3 ekosisteminde tamamen düzeltmenin yayılması bir miktar gecikmeyle gerçekleşecektir. Bu yığınları kullananlar, bağımlılık ağaçlarının davranışını takip etmeyi şiddetle öneririz. ▼ RustSec Uyarısı https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #Kriptografi