Binance Saldırısında Çalınan 242 Milyon Dolarlık Kripto Varlık Aklandı

Binance saldırısıyla bağlantılı olduğu belirtilen Kuzey Koreli hackerlar, ele geçirdikleri kripto varlıkların yaklaşık 242 milyon dolarını iki gün içinde farklı blok zinciri ağlarına aktararak aklama sürecine soktu. SomaXBT ve Elliptic tarafından paylaşılan zincir üstü analizler, fonların Tron ağından çıkarılarak çapraz zincir köprüleri ve kripto takas servisleri üzerinden dağıtıldığını gösterdi. FBI, saldırganların kullandığı cüzdanların engellenmesi ve yeni transferlerin önüne geçilmesi için THORChain ile diğer kripto hizmetlerine çağrıda bulundu.

Kripto Fonların İzini Sürmek İçin Birden Fazla Ağ İnceleniyor

Security Alliance katkıcısı SomaXBT’nin analizine göre saldırganlar, Binance saldırısında Tron ağı üzerinden ele geçirilen yaklaşık 628 milyon dolarlık kripto varlığın önemli bir bölümünü kısa sürede farklı ağlara taşıdı. Tether’in 378,7 milyon USDT’yi dondurması, saldırganların serbestçe hareket ettirebildiği fon miktarını yaklaşık 249 milyon dolara düşürdü.

Zincir üstü hareketler, saldırganların yaklaşık 194 milyon doları köprüler ve takas hizmetleri üzerinden Tron dışına çıkardığını ortaya koydu. Yaklaşık 26 milyon dolarlık varlık Tron ağında kalırken işlem maliyetleri, fiyat kaymaları ve piyasa hareketleri nedeniyle yaklaşık 22 milyon dolarlık kayıp oluştu.

Aktarımlarda farklı hizmetlerden yararlanıldı. Relay yaklaşık 48 milyon dolarlık işlemle en yüksek hacme ulaşırken THORChain üzerinden 44 milyon dolar, Chainflip üzerinden 32,1 milyon dolar, Symbiosis üzerinden ise 16 milyon dolar taşındı. Bu dört platformun işlem hacmi toplamda yaklaşık 140 milyon dolara ulaştı. Bitget Wallet aracılığıyla gönderilen 41,7 milyon doların nihai adresleri ise henüz kesin olarak tespit edilemedi.

FBI, ABD Gizli Servisi ve İç Gelir Servisinin Kriminal Soruşturma birimiyle birlikte yayımladığı uyarıda saldırıdan Kuzey Kore bağlantılı TraderTraitor grubunu sorumlu tuttu. Binance saldırısının büyüklüğüne ilişkin farklı hesaplamalar bulunurken Elliptic, toplam zararı 6,43 milyar dolar olarak değerlendirdi.

FBI’ın değerlendirmesine göre saldırganlar, ele geçirdikleri varlıkları ağırlıklı olarak Ethereum ağına dönüştürerek merkeziyetsiz finans protokolleri ve anlık takas hizmetleri üzerinden hareket ettirebilir. Kurum, bu nedenle THORChain operatörleriyle diğer kripto hizmet sağlayıcılarından saldırıyla bağlantılı transferleri belirlemelerini ve engellemelerini istedi.

FBI’ın yayımladığı adres listesinde 608 Ethereum adresi, 19 Bitcoin adresi ve bir Solana adresi yer aldı. Tron adreslerinin listede bulunmaması, saldırının ilk aşamasında kullanılan cüzdanlarla sonraki transferler arasında bağlantı kurmayı zorlaştırabilecek bir unsur olarak öne çıktı.

THORChain teknik kurucu ortağı Chad Barraford, operatörlerin kamuya açık kaynakların dışında ek bilgiye sahip olmadığını belirtti. Barraford, şüpheli cüzdanların engellenmesine ilişkin kesin bir karar açıklamadı.

Ethereum ağındaki bir yeniden düzenleme (reorg), 10 ETH tutarındaki bir yatırma işleminin iki kez iade edilmesine neden oldu. Yaşanan olayın ardından THORChain acil durdurma sürecine girdi. Pazar günü itibarıyla sisteme bağlı 13 ağdan 10’unda işlemler askıya alınmıştı; bu ağlar arasında Tron, Ethereum ve Bitcoin de bulunuyordu.

SomaXBT’nin verileri, saldırganların THORChain’e 2.697 ayrı işlemle 185,1 milyon TRX ve 3,83 milyon USDT gönderdiğini gösterdi. Transferlerin devamında 170 adrese toplam 17.019 ETH, 20 adrese ise 53,25 BTC aktarıldı. İşlem ücretleri ile fiyat kaymalarının etkisi, bu transferlerde yaklaşık yüzde 12’lik değer kaybına yol açtı.

Farklı blok zincirleri arasında varlık taşımaya yarayan çapraz zincir köprüleri, saldırganların fonları çok sayıda adrese dağıtmasına ve takip sürecini karmaşıklaştırmasına zemin hazırladı. FBI’ın hizmet sağlayıcılara yaptığı çağrı da bu transfer zincirinin yeni aşamalara geçmesini önlemeye odaklandı.

Elliptic’in incelemesi, saldırganların ana Tron cüzdanından 31 saat boyunca her saat düzenli ödeme yapıldığını ortaya koydu. THORChain’e gönderilen tutarlar arasında tekrar eden miktarlar görülürken bazı işlemler 19 kez yinelendi. Köprülerin reddettiği transferler ise yeni cüzdanlar kullanılarak otomatik biçimde yeniden denendi.

Elliptic kurucu ortağı Tom Robinson, işlemlerin yapay zeka ajanları tarafından yürütüldüğüne dair kanıt bulunmadığını açıkladı. Robinson’a göre saldırganlar temel kararları kendileri alırken çok sayıdaki transferi komut dosyalarıyla otomatikleştirdi. Dolayısıyla işlem örüntülerinin düzenli olması, tek başına yapay zeka kullanıldığını göstermiyor.

Elliptic’in hesaplamasına göre çalınan kripto varlıkların 2,85 milyar dolarlık bölümü donduruldu veya ele geçirildi. Şirketin 6,43 milyar dolarlık toplam kayıp tahminine göre bu tutar yaklaşık yüzde 44’e karşılık geliyor. Dondurulan varlıkların yüzde 94’ünü stablecoin’ler oluşturuyor.

Buna karşın yaklaşık 3,25 milyar dolar değerindeki kripto varlıklar, ihraççıları tarafından dondurulamayan varlıklar arasında bulunuyor. Bu toplamın içinde 18.327 BTC ve 233 milyon XRP yer alıyor. Bu durum, merkezi bir ihraççı tarafından dondurulabilen stablecoin’lerle Bitcoin ve XRP gibi varlıkların kontrol mekanizmaları arasındaki farkı ortaya koyuyor.

Tether’in dondurduğu USDT, saldırganlarla ilişkilendirilen iki cüzdanda tutuldu. Tronscan verileri bir cüzdanda 312,7 milyon USDT, diğerinde 65,99 milyon USDT bulunduğunu gösterdi. The Block’un Mempool.space verilerine dayandırdığı incelemede ise FBI’ın listesinde yer alan 19 Bitcoin adresindeki 18.270 BTC’nin ilgili adreslerde tutulduğu belirtildi.

Dondurulan varlıkların miktarı yüksek olsa da fonların tamamının geri kazanıldığı sonucuna varılamıyor. Soruşturmanın sonraki aşamalarında farklı ağlara taşınan varlıkların izlenmesi, kalan fonların akışının kesilmesi ve saldırıyla bağlantılı adreslerin belirlenmesi önemini koruyacak.