Cardano cüzdan sağlayıcısı ve neo-finans platformu SecondFi, 21 milyon dolarlık hack mağdurları için uzun süredir ertelenen iade portalını erişime açtı. Platform, kurtarılamayan her bir NFT için yaklaşık 8 dolar (30 ADA) ödeme yapacağını duyururken, kılavuzdaki özel anahtar uyarısı güvenlik tartışmalarını beraberinde getirdi.
Cardano ekosisteminde faaliyet gösteren cüzdan girişimi ve neo-finans platformu SecondFi, 21 milyon dolarlık büyük çaplı hack olayının ardından merakla beklenen varlık iade portalını nihayet erişime açtı. Ancak platformun duyurduğu tazminat koşulları ve kurtarma rehberinde yer alan kritik bir güvenlik detayı, mağdurlar arasında yeni bir tartışma dalgası yarattı.
Kurtarılamayan NFT'ler İçin Sabit 30 ADA Ödemesi
SecondFi, Haziran ayındaki güvenlik ihlalinden etkilenen kullanıcıların varlıklarını geri alabilmesi için bir "olay anlık görüntüsü" (incident snapshot) sistemi hazırladı. Ancak bu anlık görüntünün yalnızca bir tahmin niteliği taşıdığı ve platform tarafından "nihai miktarın değişiklik gösterebileceği" belirtiliyor. Daha da dikkat çekici olan detay ise, sahiplerine geri döndürülemeyen NFT'ler için platformun yalnızca 30 ADA (7,60 dolar veya yaklaşık 8 dolar) tutarında sabit bir ödeme teklif etmesi. Mağdurların kurtarılan fonların aktarılması için sıfırdan oluşturulmuş yeni bir Cardano cüzdan adresi sunması zorunlu tutuluyor.
Ağustos Ayından Bu Yana Ertelenen Portal ve Kritik Güvenlik Uyarısı
Başlangıçta Ağustos ayında yapılması planlanan ancak Eylül ayı boyunca defalarca ertelenen portalın lansmanı, beraberinde ciddi güvenlik risklerini de getirdi. Projenin resmi rehberinde yer alan ve kullanıcıların saldırıya uğrayan cüzdanlarının özel kurtarma ifadelerini (private recovery phrase) doğrudan SecondFi web sitesine girmesini tavsiye eden talimat, uzmanlar tarafından spoofing (aldatma), ortadaki adam (man-in-the-middle) ve benzeri felaket senaryolarına davetiye çıkardığı gerekçesiyle sert bir şekilde eleştiriliyor.
Portal süreci şu adımlardan oluşuyor: Mağdurların etkilenen cüzdan adresleri olay anlık görüntüsüyle eşleştiriliyor, bir araç yardımıyla kurtarılmaya uygun varlıkların tahmini dökümü sunuluyor ve kullanıcıların yeni bir Cardano cüzdan adresi bildirmesi gerekiyor. Bu aşamada sıfır bilgi kanıtı (zero-knowledge proof) üretimi 15 dakikayı bulurken, taleplerin işleme alınması beş iş gününe kadar sürebiliyor.
21 Milyon Dolarlık Sızıntı, "Nonce" Sorunu ve Operasyonların Tasfiyesi
Hack vakasının kökeninde, kullanıcıların özel anahtarlarını açığa çıkaran bir "nonce türetme" (nonce derivation) sorunu yatıyor. Bu açık sayesinde suçlu hacker'lar cüzdanlardan 2.4 milyon dolar çalarken, platformun güvenlik müdahalesi kapsamında gizemli bir "white hat" (iyi niyetli) hacker tarafından 18.5 milyon dolar daha çekilmişti.
Yaşanan bu olayların ardından SecondFi, tüm operasyonlarını askıya alarak tamamen varlık iade sürecine odaklanacağını açıkladı. Öte yandan, Cardano ortak kurucusu ve SecondFi yaratıcısı Emurgo da skandalın ardından TOKEN2049 etkinliğindeki standını işletmekten vazgeçtiğini duyurdu.
