BtcTurk’ten veri sızıntısı iddiasında son durum: Neler yaşandı?

Türkiye’nin kripto para gündeminde birkaç gündür işlem hacmi ve kullanıcı sayısıyla önde gelen borsa BtcTurk’ten bir veri sızıntısı yaşandığı iddiası yer alıyor.

İddialar Perşembe günü ortaya çıktı

13 Mayıs Perşembe günü, bir hacker forumunda yer alan kullanıcı, BtcTurk müşterilerine ait olduğunu ve 2019 yılında elde edildiğini iddia ettiği kullanıcı verilerini satışa çıkardı. Söz konusu verilerin isim, soy isim, e-posta adresi, doğum tarihi, telefon numarası, tam adres, IP adresi, hesap bakiyesi, kimlik selfie’lerini içerdiği yazıyordu. Aynı kullanıcının bir başka gönderide yurt dışı menşeili diğer birkaç borsanın daha kullanıcı verisini satışa çıkarması da dikkatlerden kaçmadı.

Örnek veri setlerinden bazı gerçek kişilere ulaşıldı

Verilerin gerçekten BtcTurk kullanıcılarına ait olup olmadığı sorgulanırken DataPool’un kurucusu Tufan Poyraz ve Uçurtma Projesi kurucusu ve yazılım mühendisi Mert Susur’un çabalarıyla gönderide örnek olarak gösterilen birkaç kullanıcı verisinin gerçek olduğu belirlendi. Twitter’da birkaç kullanıcı, verilerin kendilerine ait olduğunu ifade etti. Örnek veri setinde yapılan çalışmada, 8 gerçek kişiye ulaşıldı. Bu arada hacker’ın tüm veriler için 1 BTC talep ettiği söylendi. Bilgisayar korsanı, 16 Mayıs’a kadar satılmaması halinde bütün verilerin ücretsiz şekilde ifşa edileceği tehdidinde bulundu.

İlk açıklama tatmin etmedi

BtcTurk’ten 14 Mayıs Cuma günü bir açıklama geldi. Açıklamada, sistemlerde herhangi bir olağan dışı durum bulunmadığı, varlıkların güvende olduğu vurgulandı. Bununla beraber yapılan açıklama tatmin edici olmadı.

Öte yandan hacker, verilerin nasıl ele geçirildiğine dair bir açıklama getirdi ve 2018’de BtcTurk’te çalışan birinin tüm kullanıcı verilerini birkaç hacker’a sattığını ileri sürdü.

Bu arada bazı BtcTurk kullanıcıları da konuyu Kişisel Verileri Koruma Kurulu’na (KVKK) aktaracaklarını iletti. KVKK, kişisel veriler işlenirken özel yaşamın gizliliği başta olmak üzere şahısların temel özgürlüklerini ve haklarını korumak, kişisel veri işleyen tüzel ve gerçek şahısların mükellefiyetleriyle uyacakları esas ve usulleri düzenleyen bir kuruluş. Bu kuruluş, şirketler üzerinde de belirli yaptırım gücüne sahip.

“İnceleme hassasiyetle sürüyor”

Konuya ilişkin BtcTurk’ten bugün bir açıklama daha geldi ve bu son açıklama, öncekilere göre daha detaylıydı. Açıklamada, veri sızıntısı iddiasının şirketin siber güvenlik ekiplerince titizlikle incelendiği kaydedildi. Ek olarak iddia edilen döneme ilişkin yapılan incelemenin hassasiyetle sürdürüldüğü belirtildi. Devamında, “Bu konuda herhangi bir ihlal tespit edilmesi durumunda şeffaf bir şekilde ilgili durum otoriteler ile beraber aynı anda kullanıcılarımızla da paylaşılacaktır. Mevcut durumda, BtcTurk ana sistemlerinde veya test ortamlarında herhangi bir güvenlik açığı veya veri ihlali söz konusu değildir.” denildi.

Söz konusu forumda yer alan gönderiler, daha sonra hacker tarafından henüz bilinmeyen bir nedenle silindi.