🚨 Güvenlik Uyarısı | Ledger Kullanıcıları, $86M’i Aşan Şüpheli Cüzdan Hırsızlığı Bildirdi 💸 9 Ekim’de, Güneydoğu Asya’da CryptoBilis adlı bir Ledger distribütörü aracılığıyla satın alınan cihazlarla ilgili birçok Ledger donanımlı cüzdan kullanıcısı, yetkisiz varlık transferleri bildirdi. Yaygın zincir üstü incelemeler, bitcoin, ethereum ve TRON dahil birçok ağda 86 milyon doları aşan bir varlık kaybı olduğunu tahmin ediyor. Ledger, devam eden bir soruşturma gerçekleştirdiğini ve CryptoBilis’in Ledger cihazlarının satışını ve gönderimlerini durdurmasını istedi. Etkilenen kullanıcı sayısı ve toplam kayıplar henüz resmi olarak onaylanmadı. 🔍 Ana Güvenlik Bulguları Zincir üstü analiz, çok sayıda blok zinciri üzerinde koordine edilmiş varlık transferlerini tespit etti. Birçok TRON cüzdanı, neredeyse aynı anda token onaylarını gönderdi ve ardından hızlı çekimler yapıldı. Bu desen, saldırganın birden fazla cüzdanın imzalama kontrolünü ele geçirdiğini gösteriyor. İlk ihlalin kaynağı hâlâ belirsiz. Olası saldırı vektörleri arasında dağıtım veya teslimat sırasında cihazın manipüle edilmesi ve compromised kurtarma ifadeleri yer alıyor. Ancak Ledger’in firmware veya donanım güvenlik mekanizmalarında exploitable bir zafiyet olduğu yönünde şu ana kadar kesin kanıt bulunmamaktadır. ⚠️ Güvenlik Önerileri Ledger, son 90 gün içinde CryptoBilis’ten cihaz satın alan kullanıcıların aşağıdaki önlemleri almasını öneriyor: Kullanılmamış cihazlar: Daha fazla bilgi verilene kadar başlatmayın veya kullanmayın. Zaten başlatılmış cihazlar: Güvenilir bir cihazda yeni bir kurtarma ifadesi oluşturun ve varlıkları mümkün olan en kısa sürede yeni bir cüzdana aktarın. Kurtarma ifadesi güvenliği: Orijinal kurtarma ifadesini yeni cihazda geri yüklemeyin veya kimseyle paylaşmayın. ✍️ BitsLab Güvenlik Hatırlatması: Donanımlı cüzdan güvenliği, özel anahtar üretimi ve cihaz dağıtımı ile günlük kullanım dahil olmak üzere tüm yaşam döngüsüne dayanır. Eğer bir kurtarma ifadesinin tehlikeye girdiği düşünülüyorsa, donanımlı cüzdanı değiştirmek veya cüzdan uygulamasını yeniden yüklemek riski ortadan kaldırmaz. Varlıklar, yeni oluşturulan bir kurtarma ifadesiyle korunan bir cüzdana aktarılmalıdır. Soruşturma devam etmektedir. Kesin saldırı vektörü ve toplam kayıplar hâlâ onaylanmamıştır. #SecurityAlert #Web3Security #Ledger
💸 Liquid Network'den yaklaşık 320 milyon dolarlık anormal peg-out olayı, anahtarın ele geçirilmesiyle ilgili bir olay olmayabilir. 6 Eylül'de, Liquid Federasyon cüzdanından yaklaşık 4.000 BTC çekildi. Ancak Liquid ve SideSwap'e göre, Peg-out Yetkilendirme Anahtarı (PAK) ele geçirilmedi ve başka hiçbir imzalama anahtarı çalınmadı. 🔋 Bu olayın daha da ilginç olan tarafı, çekimin, en az 11/15 görevlinin nihayetinde Bitcoin işlemini imzaladığı normal peg-out akışından geçmesidir. 🛡️ Bu, sorunun “saldırgan bir anahtarı çaldı ve çekimi imzaladı” şeklinde değil, asla geçerli kabul edilmemesi gereken bir durumun geçerli olarak kabul edilmesi ve ardından alt sistemlerin normal kurallar çerçevesinde yetkilendirme ve imzalama işlemlerini tamamlaması anlamına gelmektedir. 🖲️ SideSwap şu anda sorunun Elements'te bir hata kaynaklandığını söylüyor. Kendini beyaz şapkalı olarak tanımlayan ekip, Blockstream ile OP_RETURN mesajları aracılığıyla iletişime geçti ve tüm node'larda düzeltme dağıtıldıktan sonra BTC'nin “çoğunu” geri vereceklerini belirtti. Anahtar Çıkarım: Eğer her imzalayıcı aynı hatalı durumu doğruluyorsa, mükemmel şekilde güvenli anahtarlar bile yanlış bir sonuç üretebilir. #Bitcoin #LiquidNetwork #Web3Security
1/4 🚨 Son bir Reflexer GEB olayı, erişim kontrolü ve çağrı bağlamı karışıklığı nedeniyle 5,94 ETH’lik teminatın çalınmasına neden oldu. 💸 Kayıp nispeten küçük olsa da, ortaya çıkan mimari hata, paylaşılan proxy sözleşmeleri etrafında inşa edilmiş DeFi sistemleri için oldukça önemlidir. 👇
🚨 Güvenlik Uyarısı: AI Ajanı Arka Uç RCE 🔍 Kök Neden: Saldırgan, kontrol altındaki dış içerik, bir perakende AI ajanı iş akışına girdi ve dolaylı istek enjeksiyonu → istek/araç açığa çıkarma → arka uç RCE saldırı zincirini sağladı. 📌 Hedef: ABD’nin üst 3 perakendecisinden birinin AI Alışveriş Asistanı 📌 Yüzey: Kamu mobil arayüzü 📌 Araştırmacılar: Netanel Rubin & Dan Avraham, Rein Security 📌 Açıklama: Black Hat USA 2026 Etki: Öncelikli erişime gerek yoktu — exploit, düzenli alıcıların kullandığı aynı arayüz üzerinden tetiklenebilirdi. AI ajanı güvenliği artık model manipülasyonunun ötesine geçiyor. İstek enjeksiyonu artık gerçek arka uç kompromisine yol açabiliyor.
🛑BitsLab, dijital varlıklar için yapay zeka destekli güvenlik altyapısı geliştiriyor. Web3 ekipleri, protokoller ve kurumlar için akıllı sözleşme denetimleri, nüfuz testleri, formel doğrulama ve yapay zeka destekli risk tespiti hizmetleri sunuyoruz.✅ Burada ne bekleyebilirsiniz: 🟠Güvenlik Uyarısı 🟢Saldırı Analizi 🟣Denetim İncelemesi 🟡Güvenlik Yöntemolojisi Ekosistem: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Web sitesi: https://t.co/M56qRPzIf2 Kapattığımız bir Web3 güvenliği konusu mu var? Yorumlarda bize bildirin.🙌
🚨 BitsLab Araştırması: Bir tane sahte e-posta, bir nanobot ajanını ele geçirmek için yeterlidir. Hiçbir tıklama. Hiçbir kullanıcı etkileşimi. Önceden erişim gerekmiyor. E-posta kanalında Kimlik Doğrulama Atlatma ile Zincirlenmiş, Sıfır Tıklamalı Dolaylı İfade Enjeksiyonu olan CVE-2026-33654’ü açıkladık. İşte nasıl çalışıyor 🧵👇 https://t.co/3Fe6UxopCX
Balancer V2, tüm havuzlarda tüm tokenları tutmak için bir adet sözleşme dağıttı. Tek bir hata noktası gibi görünüyor. Aslında bu, çapraz havuz arbitrajının sıfır token hareket ettirmesinin ve bir flash kredinin tüm protokolün likiditesine erişebilmesinin nedeni. Vault'ta bir konu 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 BitsLab Araştırma'dan Yeni Gelişmeler Balancer V2, tüm havuzlardaki tüm tokenları tutmak için tek bir sözleşme dağıttı. Bu, tek bir hata noktası gibi görünüyor. Ancak tam olarak bu yüzden: → Çoklu havuz arbitrajı sıfır token hareketi gerçekleştiriyor → Flash krediler protokolün tüm likiditesine erişiyor → İki tokenli takas, yalnızca BİR SSTORE ile tamamlanıyor Haftalarca Vault sözleşmesini satır satır inceledik. Balancer V2 derinlemesine analiz serimizin 1. bölümü artık canlı — her gaz hilesini, her güvenlik kontrolünü ve kimse konuşmayan ödünleşimi kapsıyor (Ağustos 2023 Boosted Havuzu olayı mimari bir kaza değildi). Eğer bir DeFi protokolü geliştiriyorsanız, birini denetliyorsanız ya da birine yatırım yapıyorsanız — bu içerik 15 dakika değerinde. 📖 1. Bölümü Okuyun ↓ https://t.co/4ZHF2BoLUO 2. Bölüm (Havuz matematiği) ve 3. Bölüm (gerçek güvenlik açıkları sonrası incelemeler) yakında gelecek.