Tekrarlayan kripto hot wallet boşaltmalarının analizi, imza altyapısının saldırı yüzeyi olduğunu savunuyor

30 Ekim 2026'da dev.to'da yayımlanan bir analiz, kripto platformlarındaki milyarlarca dolarlık hot wallet hırsızlığı dalgasının — 1,5 milyar dolarlık Bybit ihlali ve yazının bu hafta erken saatlerde meydana gelen 3,3 milyar dolarlık hot wallet ele geçirmesi olarak nitelendirdiği olay dahil — işlem izleme boşlukları değil, imza altyapısı başarısızlıkları olarak anlaşılması gerektiğini savunuyor. Yazar Correctover, cüzdanlar ve AI agent'lar için runtime doğrulama araçları geliştiriyor ve sektörün olay müdahale alışkanlıklarını sistematik biçimde yanlış katmana yönelik olarak çerçeveliyor.

Analizin ortaya koyduğu örüntü

Analize göre son on sekiz aydaki her büyük cüzdan boşaltma olayı aynı olay sonrası inceleme biçimini üretti: fon akışlarını yeniden yapılandırmaya yönelik hızlı bir adli tıp çabası, buna karşılık yetkilendiren imzanın nasıl var olduğuna dair az ya da hiç inceleme yok. Makale, tek işlemlilik her boşaltmada üç kriptografik gerçeğin geçerli olduğunu savunuyor: o belirli transfer için geçerli bir imza var olmak zorundaydı; imzalayan, saldırganların elde ettiği, kullanmaya zorladığı ya da kendisine devredilmiş kontrol verilen bir anahtara sahipti; ve imzalama eylemi, zincir üzerindeki hareketten önce — bazı durumlarda saatler önce — nihai transferle ilgisiz bir güven bağlamında gerçekleşti.

Yazı, olay müdahale araçlarının çoğunun yetkilendirme katmanını sorgulamak değil izlemek için tasarlandığını, dolayısıyla müdahale ekiplerinin dakikalar içinde fonların nereye gittiğini haritalayabildiğini ama neredeyse hiçbirinin imzanın nasıl oluşturulduğuna dair doğrulanabilir kanıt sunamadığını ileri sürüyor.

EIP-7702 riskleri büyütüyor

Analiz, bu yıl Prague hard fork ile birlikte aktif hale geldiğini söylediği EIP-7702'ye işaret ederek sorunun keskinleştiğini belirtiyor. Devredilen yürütme (delegated execution) altında bir externally owned account geçici olarak contract tarzı davranışlar sergileyebiliyor, ancak tipik izleme yığınları bu delege yetkisinin kim tarafından verildiği sorusuna yanıt veremiyor. Makalenin çerçevesinde delege imzası, token süpürmesinden önce geliyor ve onu neden oluyor; fonların görünür hareketi ise aşağı akışta bir sonuç.

Yetkilendirme yolları için önerilen bir kontrol listesi

Analiz, kamuya açık biçimde belgelenen ve IETF taslak sürecinde olduğunu söylediği bir tasarımdan yola çıkarak, üretime yönelik herhangi bir hot wallet yetkilendirme yolunun sağlaması gerektiğini söylediği beş özellik ortaya koyuyor:

• Operator imzalı kapsamlar: Bir insan ya da politik ilke sorumlusu, cüzdanın belirli bir oturumda ne yapabileceğini imzalar; böylece hot key, üzerinde hangi kod çalışırsa çalışsın bu kapsamın ötesinde hiçbir şeyi onaylayamaz.
• Yalnızca-eklenebilir oturum yetkileri: Her kimlik bilgisi girdisi — hangi anahtarın hangi host için, hangi zaman penceresinde imzalayabileceği — cüzdan runtime'ının danışabileceği ama geriye dönük olarak asla değiştiremeyeceği bir biçimde kaydedilir.
• Tek kez yazılan handle'lar: Gizli malzeme insan tarafından işletilen bir terminalde tek kez girilir; ardından runtime, gizli malzemenin kendisi yerine bir handle'a başvurur.
• Fail-closed varsayılanlar: Doğrulama tamamlanamadığında — eksik bir kapsam, eski bir yetki, bilinmeyen bir sorumlu — sistem başarısızlığı kaydedip devam etmek yerine reddeder.
• Üçüncü taraf tarafından doğrulanabilir makbuzlar: Her yetkilendirme, dışarıdaki bir denetçinin herhangi bir satıcının veritabanına güvenmeden çevrimdışı kontrol edebileceği, JCS ile kanonikleştirilmiş payload'lar üzerinde Ed25519 ile imzalanmış bir makbuz üretir.

Makale, sektörün atlamaya devam ettiği özelliğin sonuncusu olduğunu savunuyor; çünkü bir sigortacının, düzenleyicinin ya da mahkemenin bir cüzdana ne yapmasının söylendiğini bağımsız olarak doğrulayabilip doğrulayamayacağını belirleyen özellik bu.

Doğrulama ve izleme karşısında

Temel ayrım etkiler ile nedenler arasında geçer. İzleme aşağı akış olaylarını — işlemleri, bakiye değişikliklerini, anomalileri — gözlemlerken, doğrulama yukarı akışta, imza oluşturulduğu anda ne olabileceğini kısıtlar. İzleme bir hot wallet süpürmesini bayrakladığında imza zaten var olmuştur ve geriye yalnızca adli sorular kalır. Yazarın öngörüsü, bir sonraki olay dalgasından sağ çıkacak ekiplerin, sınırları hırsızlığı hızlı tespit etmekten belirli imzaların arkasında doğrulanabilir bir insan ya da ilke yetkisi olmadan var olmasını imkansız kılmaya taşıyan ekipler olacağı yönünde.

Neden önemli

Borsalar, saklayıcılar ve cüzdan operatörleri için analiz, güvenlik çevreminin nerede bulunduğunu yeniden çerçeveliyor: izlenen zincir üzerinde değil, imzaların varoluş yolunda. Argüman geçerliyse, tespit ağırlıklı yığınlar hızlı ve iyi belgelenmiş kayıplar üretmeye devam edecek ve herhangi bir satıcı ya da iç ekip için yararlı soru, denetçiye bağımsız olarak doğrulanabilir yetkilendirme makbuzları sunup sunamadıkları olacak. İki uyarı geçerli: yazı, doğrulama araçları satan bir şirketin çalışanı tarafından yazıldı ve bu haftaki olaya ilişkin 3,3 milyar dolarlık rakam bağımsız bir rapordan değil, analizin kendisinden geliyor. Argümanın gücü, tek bir olaya değil, vakalar arasında belgelediği yinelenen örüntüye dayanıyor.