Dijital Varlıklar
WazirX’in En Karanlık Saati: $230M Saldırısı ve Sonrası Üzerine Detaylı Bir İnceleme
Securities.io sitesini Google'daki tercih ettiğiniz kaynaklara ekleyin
Hindistan kripto para kullanıcıları, merkezi kripto borsası (CEX) WazirX’in müşterileri için bir iyileşme planı bulmakta zorlanması nedeniyle zor bir dönem geçiriyor.
WazirX, 16 milyondan fazla kullanıcı tabanına sahip Hindistan’ın önde gelen kripto borsalarından biridir. 18 Temmuz’da $230 milyonluk bir hack saldırısına uğradı.
Güvenlik ihlali, WazirX’in çoklu imza (multi-sig) cüzdanlarından birini etkiledi. Bir multi-sig cüzdan, bir işlemin yürütülmesi için birkaç kişinin imzasını gerektirir. WazirX durumunda, cüzdan kullanıcı varlıklarını korumak için beş imzacıya sahipti.
Saldırgan, $100 milyon değerinde Shiba Inu (SHIB), $52 milyon Ether, $11 milyon MATIC ve $6 milyon PEPE çekti. Haziran 2024 raporuna göre, bu fonlar borsanın $500 milyonluk toplam rezervlerinin %45’inden fazlasını oluşturuyor.
Blockchain izleyicisi Lookonchain’e göre, saldırgan çalınan fonların çoğunu Ethereum (ETH)’ye dönüştürdü. Hackerlar genellikle işlemleri gizleyebildikleri için Tornado Cash gibi karıştırma hizmetlerini token dönüştürmekte kullanırlar.
Saldırgan şu anda çeşitli tokenlerde yaklaşık $200 milyon değerinde 59.097’den fazla ETH tutuyor. Çalınan tokenleri popüler DEX Uniswap üzerinden satıyorlar.
Saldırının sonucunda, borsada listelenen tokenler likidite eksikliği nedeniyle yerel ve küresel fiyatlara göre büyük indirimlerle işlem gördü. Borsa daha sonra platformda tüm alım satım ve kripto ile fiat para çekimlerini durdurdu. WazirX’in hacklenmesinin üzerinden neredeyse iki hafta geçti ve faaliyetler hâlâ durdurulmuş durumda.
Borsada her şey dondurulmuşken, BTC/USDT WazirX’te 64.052, CoinDCX’te ise 66.687 seviyelerinde işlem görüyor. Aynı zamanda, USDT/INR CoinDCX’te 88.64 iken WazirX’te 68.40. Borsanın yerel tokenı WZX ise saldırıdan bu yana %36.24 değer kaybetti.
Olayla ilgili olarak, borsa Liminal Custody’nin dijital arayüzünde gösterilen bilgiler ile imzalanan işlemin gerçek içeriği arasındaki bir “uyumsuzluk”tan sorumlu olduğunu iddia etti. Borsa bir gönderisinde şöyle dedi:
“Yükün, cüzdan kontrolünü bir saldırgana devretmek için değiştirildiğini şüphe ediyoruz.”
Bu arada, Liminal Custody saldırıdan WazirX’i sorumlu tuttu ve altyapısının ihlal edilmediğini söyledi.
“Ne yazık ki, üç mağdur makine, bir Gnosis Akıllı Sözleşme Multi-Sig cüzdanına yönelik sofistike, iyi planlanmış ve hedefli bir saldırıyı gösteren kötü amaçlı yükler enjekte ederken bulundu.”
– Liminal on X
Ancak, herkes açıklamalardan ve suçlamalardan memnun değil. X’te popüler bir kripto YouTuber olan Pankaj Tanwar’a göre:
“Bu hata, Hindistan’daki #Crypto’yi hayal bile edilemeyecek kadar zarar verecek.”
WazirX, “Sosyalize Edilmiş Kayıp Stratejisi” için Eleştirildi
Çalınan fonların toplam rezervlere oranı göz önüne alındığında, bunların geri alınması beklentisi çok düşük ve saldırganın Kuzey Kore ile bağlantılı olduğu gerçeğiyle birleşince, iyileşme umutları ciddi şekilde sarsıldı.
Borsa, 130’dan fazla başvuru alan bir çözüm için $23 milyonluk bir ödül duyurmuşken, sağlam fonların dağıtımını araştırmaya başladı.
Bunun için, WazirX kripto varlıkların %55’ini iade etmeyi ve kalanını USDT eşdeğeri tokenlerde kilitlemeyi düşünüyor, kullanıcıların tokenlarının çalınıp çalınmadığına bakılmaksızın. Bu, hackten zarar görmeyen kullanıcıların bile varlıklarının sadece %55’ine erişebileceği, geri kalanının ise stablecoin’lere dönüştürülüp kilitleneceği anlamına geliyor.
Borsa, bu “Çekim Yönetim Programı: Anket” nedeniyle sadece müşterilerinden değil, aynı zamanda geniş sektörden de daha fazla inceleme ve baskı ile karşı karşıya.
Anket 27 Temmuz’da gerçekleştirildi ve bu sırada borsa, “etkinin tüm kullanıcılar arasında eşit bir şekilde dağıtılması için sosyalize edilmiş bir kayıp stratejisi” tanıttı. Bu strateji, kullanıcıların varlıklarının çoğuna anında erişim sağlamalarına izin verirken, “beklemeyi tercih edenler için daha fazla iyileşme olasılığını koruyor.”
Bu anket kapsamında, müşterilere iki farklı seçenek üzerinde oy vermeleri istendi. Bir seçenekte, kullanıcılar fonlarının çoğuna işlem yapmak için erişim elde eder, aynı zamanda çekim yapabilirler. Ancak, geri kazanılan fonlarda ikinci önceliğe sahiptirler. Diğer seçenek ise çekimlere izin vermez, ancak kullanıcılar iyileşme gelirlerinde birinci önceliği alır.
Bu öneri, WazirX’in kullanıcılarından eleştiri almasına yol açtı; bir kullanıcı “sosyalize edilmiş kayıp, özelleştirilmiş kar” dedi. Diğer bir kullanıcı ise çalınmamış tokenlara sahip kullanıcıların neden cezalandırılması gerektiğini sorguladı.
Rakip kripto borsaları da WazirX’in son hamlesi hakkında görüşlerini paylaştı; CoinDCX kurucu ortağı Sumit Gupta, bunun “topluluk öncelikli” bir karar olmadığını söyledi. WazirX’in durumu ele alış şeklinin “onlar için iyi gitmeyeceğini” belirten Gupta, ayrıca bunun “diğer ekosistem katılımcılarına da zarar verdiğini” ekledi.
Giottus kurucu ortağı Arjun Vijay, WazirX’in anketinin “ekosistemin en iyi çıkarlarına uygun olmadığını” ve “müşterileri” iyileşme gelirlerinde öncelik elde etmek için bir seçeneği seçmeye zorlamak amacıyla tasarlandığını söyledi.
Unocoin kurucu ortağı Dr. Sathvik Vishwanath, konunun ele alınış şekliyle ilgili hayal kırıklığını paylaştı ve bu durumun “zaten kripto endüstrisini “sıkıntıya sokmuş”ken sadece durumu daha da kötüleştirdiğini” söyledi.
WazirX kendini savunarak, anketin “hukuken bağlayıcı” olmadığını, sadece borsanın müşterilerin isteklerini anlamaya yönelik bir adım olduğunu belirtti. Borsa, kullanıcıların fikir ve geri bildirimlerini toplamaya devam edecek.
Kayıpları paylaşma planının nedenine değinen WazirX VP’si Rajagopal Menon, benzer durumlarla karşılaşan diğer büyük borsaları incelediklerini paylaştı. İncelenen iki büyük hack Mt. Gox ve Bitfinex’ti.
Bitcoin işlemlerinin çoğunu yöneten Mt. Gox, 2014’te hacklendi ve 850.000 BTC kaybetti. Sonrasında Mt. Gox iflas etti ve sadece bir on yıl sonra, Temmuz 2024’te kullanıcılar orijinal varlıklarının küçük bir kısmını almaya başladı.
Ardından 2016 hackinde 119.756 BTC kaybeden Bitfinex vardı. Borsa, durumu tüm kullanıcılar arasında kaybı dağıtarak, bakiyeleri %36 azalttı ve müşterilerine kayıplarını temsil eden BFX tokenları verdi.
Daha Fazla Seçenek & ED’nin Fonları Bile WazirX’te Takıldı
“Sosyalize edilmiş kayıp stratejisinin” yanı sıra, borsa Binance’den yardım istemek gibi başka seçenekleri de araştırıyor. Moneycontrol adlı yerel medya kuruluşunun isimsiz bir kaynağa dayandığı rapora göre, WazirX müşterilerini kurtarmak için eski ortağına başvurdu.
Sektör kaynakları ayrıca Binance’in borsanın gelir fazlasını ve yaklaşık $80 milyon değerindeki WRX tokenini kontrol ettiğini belirtti. Kaynağın şu sözleri söylediği bildirildi:
“Yasal anlaşmazlıkları hâlâ devam ediyor. WazirX’in işinin bazı bileşenleri hâlâ Binance’in kontrolü altında, gelir dahil olmak üzere — fazlası da. WRX tokeni bile onların kontrolünde. Bu yüzden Binance ile iletişime geçtiler ve görüşmeler sürüyor ancak erken aşamalarda.”
Ocak 2023 tarihli rezerv kanıtı raporunda, WazirX kullanıcı varlıklarının %90’ının Binance cüzdanlarında tutulduğunu açıkladı. Birkaç ay sonra bir blog gönderisinde, WazirX yerel tokeninin Binance tarafından kontrol edildiğini belirtti; Binance, 108.401 BNB tokeni, $2 milyon değerinde satılan WRX IEO’sunu yürüttü ve gelirin “Binance tarafından toplandığını ve saklandığını” söyledi.
Tüm bunlar, WazirX kurucu ortağı Nischal Shetty’nin Binance CEO’su Changpeng Zhao ile WazirX’in kim tarafından kontrol edildiği konusunda X’te kamuoyu önünde tartışmasının ardından ortaya çıktı; ilginç bir şekilde, Kasım 2019’da dünyanın en büyük borsası Binance, WazirX’i satın aldığını söylemişti; ancak bu hikaye, 2022 yazında Hindistan yetkilileri WazirX’in Mumbai ofisini kara para aklamaya karıştığı şüphesiyle baskın yapınca değişti.
Buna yanıt olarak, Hindistan’ın Yürütme Direktörlüğü (ED) WazirX’in fonlarını dondurdu ve ülkenin Maliye Bakanlığı, borsayı Dış Ticaret Yönetim Yasası (FEMA) kapsamında soruşturma başlattığını duyurdu.
Şimdi, raporlar ED’nin WazirX’te yaklaşık $1.1 milyon değerinde el konulan kripto varlıkları olduğunu gösteriyor. E-Nuggets adlı bir oyun uygulamasına karşı yolsuzluk davasında el konulan bu fonlar, hack’ten sadece birkaç ay önce borsaya transfer edilmişti.
Hindistan haber kaynağı The Print, E-Nuggets soruşturmasının ardından ED’nin WazirX ve CoinDCX dahil tüm yerel kripto borsalarından kaynak hesapları bulmalarını istediğini bildirdi. Bu, kripto satın almak için kullanılan Sanal Ödeme Adresi (VPA)’nın keşfedilmesine yol açtı. Sonuç olarak, ED ZebPay, WazirX ve Dubai merkezli Binance’de tutulan 70 kripto hesabındaki tüm fonları dondurdu.
Bu yüzden, kriptoyu ele geçirdikten sonra yetkililer ED için bir kripto hesabı açtı ve borsanın yerel olması, en yüksek kullanıcı tabanına ve likiditeye sahip olması nedeniyle tüm kriptoyu WazirX ile transfer etti. Ancak şimdi WazirX hacklendi ve fonlarının %45’ini kaybetti. Yetkililerin ortaya çıkıp sektöre nihayet bir rehberlik ve yardım sunup sunmayacağını görmek ilginç olur.
Kripto alanında hacklerin nadir olduğu söylenemez. Geçen yıl, saldırganlar Chainalysis kripto suç raporuna göre kripto platformlarından $1.7 milyar çaldı.
Bu tür saldırılarda çalınan miktar 2022’den bu yana yarıdan fazla azalsa da, saldırı sayısı 2022’de 219’dan 2023’te 231’e yükseldi.
Kripto fiyatları bu yıl genel olarak yükseldikçe, hackerlar da harekete geçti; TRM Labs’a göre 24 Haziran 2024’e kadar bu yıl $1.48 milyar çalındı, geçen yıl aynı dönemde $657 milyon iken. Ancak en büyük beş exploit, çalınan toplam miktarın %70’ini oluşturdu. Rapor şöyle belirtiyor:
“Özel anahtar ve seed phrase (tohum cümlesi) ihlalleri, 2024’te akıllı sözleşme exploit’leri ve flash loan saldırılarıyla birlikte en önemli saldırı vektörleri olmaya devam ediyor.”
Dolayısıyla, kripto hackleri devam ederken, Hindistan hükümeti bu borsaların şeffaf olmayan bir şekilde faaliyet göstermemesi için net ve yerleşik yönergeler sunamadı.
Hindistan’ın Kararsız ve Düzenlenmemiş Kripto Endüstrisi
Büyük olayın ardından, birkaç borsa WazirX ile iş birliği yaparak çalınan fonları izlemeye ve müşteri varlıklarını geri kazanmaya yardımcı oldu. Siber saldırıyı daha derinlemesine analiz etmek için şirket, adli uzmanlar ve kolluk kuvvetleriyle de iş birliği yaparak suçluları tespit edip yakaladı.
Borsa, olayı ayrıca Hindistan Bilgisayar Acil Durum Müdahale Ekibi (CERT-In)’e bildirdi; bu kurum bilgisayarla ilgili güvenlik olaylarından sorumludur. Sonraki adımda, polis tarafından resmi bir soruşturma başlatmak için hazırlanan bir İlk Bilgi Raporu (FIR) dosyalandı.
WazirX ayrıca olayı Finans Bakanlığına bağlı ve kayıtlı olduğu Finansal Bütünlük Birimi (FIU)-India’ye gönderdi. Ancak, WazirX’in güvenlik ihlali FIU’nun kapsamına girmiyor çünkü FIU, ülkenin Kara Para Aklamayı Önleme Yasası (PMLA) kapsamındaki işlemleri izliyor. Fireblocks’tan Associate General Counsel Joanna Cheng’e göre:
“Şu ana kadar Hindistan’da kriptoya özgü bir düzenleme yok ve sektör, güvenlik standartları, risk yönetimi ve tüketici koruması gibi konularda net düzenleyici beklentilerden fayda sağlayacaktır. Bu alanda düzenleyici müdahale, büyük sayıda perakende müşteriye hizmet veren borsaların eylemlerinden (veya eylemsizliklerinden) sorumlu tutulması anlamına da gelecektir.”
Hindistan’daki kripto para sektörü hâlâ düzenlenmemiş durumda. Bu süreçte atılan tek büyük adım, 2020’de Yüksek Mahkeme’nin 2018’deki Hindistan Merkez Bankası (RBI) yasağını iptal etmesi oldu; bu sayede bankalar kullanıcı ve borsalardan kripto işlemlerini kolaylaştırabiliyor.
Bunun yanı sıra, ülkenin kripto düzenlemesi konusunda gelişimi durgun. Şu ana kadar sektörü düzenleyecek bir yasa çıkarılmadı ve kripto büyük ölçüde yetkililerin kapsamı dışında kalıyor.
Mevcut tek düzenleyici denetim, Hindistan hükümetinin FIU’sundan geliyor; bu birim sanal dijital varlıkların ticaretini denetlemekle görevlidir. Bu yıl Mayıs’tan bir Economic Times raporuna göre, ülkede 47 düzenlenmiş kuruluş kripto varlıkların ticareti veya yönetiminde yer alıyor. Bu, hükümetin kara para aklamayı önleme (AML) yönergelerine uymadığı gerekçesiyle offshore kripto platformlarının Hindistan’da faaliyet göstermesini yasaklamasından sonra gerçekleşti.
Hindistan’ın kripto kullanıcıları için düzenleyici bir koruma bulunmamasına rağmen, hükümet kripto satışı üzerinden elde edilen kârlara %30’a varan vergiler uyguluyor ve zararların mahsul edilmesine izin vermiyor. Ayrıca, her işlemde kaynağından %1 vergi kesiliyor.
Bu politikalar sektöre olumsuz etkide bulundu; kripto kullanıcıları, hükümet desteğinin eksikliğinin sektörü boğduğunu ve 2022’den beri karlarının büyük bir kısmını vergi olarak aldığını şikayet ediyor.
Hindistan’ın kripto sektörü uzun süredir düzenleyici netlikten yoksun, bu da kötü niyetli aktörlerin artmasına yol açtı. WazirX bir siber saldırıya maruz kalırken, kullanıcılar BitBNS gibi borsaların insanları dolandırdığı konusunda da şikayetlerde bulunuyor.
FATF küresel standartlarına uygun VASP’lar olarak kendini tanıtan FIU-India kayıtlı kuruluş, 2022’de $7.5 milyonluk bir hack yaşadı. O zamandan beri BitBNS, kullanıcıların fon yatırmasına izin verirken çekim yapmalarına izin vermeyerek kötü bir tutum sergiliyor. Kullanıcılar, CEO’su Gaurav Dahake’in zaten ülkeden kaçtığını spekülasyon yapıyor.
Bu yılın başlarında The Economic Times ile bir röportajda Dahake, BTC’nin $100K’yi aşacağını öngördü. Mağdurlar şu anda borsaya karşı bir toplu dava (Class action) araştırıyor.
Ama bu hepsi değil. CoinDCX dahil Hindistan’daki kripto borsaları, kullanıcıların kriptoyu kendi ellerinde tutmasına (self-custody) izin vermiyor; bu, kriptonun özüne tamamen aykırı. Hindistan kripto borsaları, kullanıcılar fiat para yatırdıklarında kriptoyu dış borsalara veya cüzdanlara transfer etmelerine izin vermiyor. Bu durum sorunu daha da kötüleştiriyor çünkü kullanıcılar isterlerse bile kriptoyu kendi ellerinde tutamıyor ve bu da WazirX hack’i gibi olaylardan kendilerini koruyamıyor demektir.
Dünya’nın en kalabalık ülkesi, Eylül’den önce kripto konusundaki politika duruşunu özetleyen bir tartışma belgesi yayınlamayı planladığını bildiriyor; bu da nihayet bir değişiklik getirebilir. Ancak hükümet, kriptoyu düzenlemeye birçok kez çalıştı, fakat dünya çapındaki düzenleyicilerin getirdiği net yönergeler gibi somut adımlar henüz atılmadı. ABD bile ilk Bitcoin spot ETF’sini onayladı ve bu, toplamda milyonlarca dolar giriş çekti.
Dolayısıyla, Hindistan hükümeti kripto sektörüne ihtiyaç duyduğu ilgi ve düzenleyici netliği verene kadar, yerel kripto kullanıcıları ve sektör acı çekmeye devam edecek.
