8M kullanıcılı Türk kripto borsası · API + cold wallet Red Team · 9 kritik bulgu · MASAK uyum
Türkiye'nin önde gelen kripto borsası DSET'ten Red Team istedi. Hedef: REST/WebSocket API, withdrawal flow logic, cold wallet HSM signing flow. Kural: para kaybı YASAK, anomaly ban riski. DSET kademeli read-only önce yöntemiyle 9 kritik bulgu (race + IDOR + signature replay) raporladı, hiç para kaybı olmadı, MASAK uyum sağlandı.
01 Karşılaşılan Durum
8M kullanıcılı Türk kripto borsası, MASAK + BDDK uyumu zorunlu. Test cüzdanı limit 0.05 BTC + 100 USDT. Anomaly detection açık, agresif test = IP/account ban. Black-box pentest, withdrawal flow logic en hassas alan. Önceki vendor 'agresif' yöntemle ban yemiş, sözleşmesini kaybetmiş.
02 DSET'in Yaklaşımı
T+0 · Kademeli plan
Önce read-only (price feed, order book) → sonra trading → en son withdrawal flow. Anomaly tetiklemeden ilerleme planı.
T+1-7 gün · Read-only test
API endpoint'lerin authorization katmanı test edildi. 3 IDOR bulgu (başka kullanıcı portfolio + order history).
T+7-10 gün · Trading test
WebSocket order book front-running denemesi. Race condition (double-spend) tespit edildi: 1.4 saniye penceresi.
T+10-14 gün · Withdrawal flow
Signature replay: timestamp validation yok, 30 saniye sonra aynı withdrawal tekrar gönderilebiliyor. Cold wallet HSM signing: dual-control yetersiz.