Daha az bilinen bir güvenlik açığı, tahmini 14.545 Tron kripto cüzdanını riske atarak milyonlarca dolarlık kripto varlığı potansiyel hırsızlığa maruz bıraktı. Güvenlik firması AMLBot, paylaştığı bir raporda, yalnızca 2024’ün dördüncü çeyreğinde 2.130 cüzdanın UpdateAttackPermissions işlemine bağlı bir güvenlik açığı yoluyla tehlikeye atıldığını söyledi. Toplu olarak, bu hesaplar yayın zamanı itibariyle kripto varlıklarda yaklaşık 31,5 milyon dolar tutuyor.
TRON kullanıcıları, dikkat
Bu saldırıyı özellikle sinsi yapan şey, gizli doğası. Fonları anında boşaltan tipik saldırıların aksine, bu istismar saldırganların fark edilmeden cüzdanların kontrolünü ele geçirmelerine olanak tanıyor. Meşru giden işlemleri engelleyerek, hak sahibinin fonlarına erişimini etkili bir şekilde kilitliyorlar. Mağdurlar farkında olmadan ele geçirilmiş cüzdanlara coin yatırmaya devam edebilir ve ihlalden habersiz kalarak bilgisayar korsanlarını zenginleştirebilir. AMLBot’un baş teknoloji sorumlusu Mykhailo Tiutin, “Tipik olarak, bir kurban cüzdanın gittiğini anlamıyor” dedi.
Cointelegraph’a göre, bilgisayar korsanları tarafından hedef alınma korkusuyla adının açıklanmasını istemeyen bu saldırının bir kurbanı, cüzdanının hacklendiğini anlamadan 1.000 USDT daha eklemiş. Kurban, “Hırsız hemen tüm paramı alıp götürseydi, cüzdanımı kaybettiğimi hemen anlardım ve içine daha fazla para koymazdım” diyor. Tron’daki UpdateAccountPermission işlemi, multisig benzeri işlevler aracılığıyla hesap güvenliğini artırmak için tasarlanmıştır. Bu özellik, hesap sahiplerinin anahtarlara belirli roller atamasına, ağırlık değerlerini tanımlamasına ve işlem yetkilendirmesi için gereken eşikleri belirlemesine olanak tanır.
Örneğin, bir işlem eşiği 10 olarak ayarlanmışsa ve iki anahtarın her biri beş ağırlığa sahipse, işlemi doğrulamak için her ikisinin de imzalaması gerekir. Bu sistem hesap güvenliğini güçlendirmeyi amaçlasa da, bir saldırgan sahibinin özel anahtarına erişim sağladığında bir güvenlik açığı haline gelir. Saldırgan, ele geçirilen anahtardan yararlanarak hesaba kendi anahtarını ekleyebilir ve orijinal anahtarla birleştirildiğinde işlem eşiğini karşılayacak şekilde yapılandırabilir. Bu da yasal sahiplerin işlemlerini artık bağımsız olarak tamamlayamayacakları ancak ele geçirilen cüzdana coin yatırmaya devam edebilecekleri için etkin bir şekilde kilitlenmelerini sağlar.
İhlalin farkına vardıktan sonra yapacak çok bir şey yok
İhlalin farkına vardıktan sonra bile mağdurların seçenekleri sınırlı. Yapılacak tek acil eylem, ele geçirilen cüzdana coin yatırmayı durdurmak. Rome Protocol’ün kurucu ortağı Sattvik Kansal “Bu saldırı özellikle endişe verici, çünkü kullanıcı için fonları kurtarmanın bir yolu yok çünkü saldırganın özel anahtarı başka herhangi bir işlem için gerekli” dedi.
