Kuzey Kore bağlantılı kripto para ağı: ZachXBT’den DeFi sızıntısı, 3,5 milyon dolarlık gizli ödeme trafiği ifşa oldu

Kuzey Kore bağlantılı bir *kripto para* ağına dair yeni bulgular ortaya çıktı. On-chain analizleriyle tanınan ZachXBT(자크엑스비티), dahili ödeme sunucuları, sohbet kayıtları ve işlem geçmişlerini içeren kapsamlı bir veri setini paylaşarak, Kuzey Kore rejimiyle ilişkili olduğu düşünülen IT personeli ve hackerların bir dizi *DeFi* projesi ile ödeme altyapısına derinlemesine sızdığını gösterdi.

ZachXBT, sosyal medya platformu X’te paylaştığı gönderide, Kuzey Kore bağlantılı olduğundan şüphelenilen dahili bir ödeme sunucusuna ait 390’dan fazla hesap, mesajlaşma kayıtları ve para transferi verilerini ele geçirdiğini açıkladı. Verilerin ismini vermek istemeyen bir muhbir tarafından iletildiği, bilgilerinin ise zararlı yazılım bulaşmış cihazlardan sızdığı belirtildi. Bu ‘bilgi çalan’ kötü amaçlı yazılımın IP tabanlı mesajlaşma diyaloglarını, sahte kimlikleri ve tarayıcı aktivitelerini de açığa çıkardığı ifade edildi.

ZachXBT’nin paylaştığı verilere göre ‘luckyguys.site’ adlı internet sitesi, iç mutabakat ve ödeme trafiğinin yönetildiği bir tür merkezî ödeme platformu gibi çalışıyordu. Varsayılan giriş şifresinin ‘123456’ olması dikkat çekerken, verilerin alındığı tarihte en az 10 hesabın hâlâ aynı zayıf parolayı kullandığı tespit edildi. Hesap listelerinde kullanıcıların rolü, Korece isimleri, bulundukları konum ve dahili grup kodları bulunuyordu. ABD Hazine Bakanlığı Yabancı Varlıkları Kontrol Ofisi(OFAC) yaptırım listesinde yer alan Sobaeksu(소백수), Saenal(새날) ve Songang(송광) ile bağlantılı bilgiler de bu kayıtlar arasında yer aldı. ‘Rascal’ isimli kullanıcı ile sunucu yöneticisi ‘PC-1234’ arasındaki özel mesajlarda ise 2025 Aralık’tan 2026 Nisan’ına kadar yapılan ödemeler ve sahte kimlik kullanımıyla ilgili detaylar görüldü. Tüm ödemelerin son aşamada ‘PC-1234’ üzerinden geçtiği anlaşıldı.

ZachXBT, 2025 Kasım ayının sonlarından itibaren bu ödeme cüzdanına 3,5 milyon doların üzerinde para girdiğini belirtiyor. Fonlar kimi zaman borsalardan ya da hizmet sağlayıcılardan doğrudan *kripto para* olarak aktarılırken, kimi zaman da Çin’deki banka hesaplarına yönlendirilip itibari para birimine çevrildikten sonra sisteme geri sokuluyordu. Bu döngüde Payoneer gibi *fintech* platformlarının da kullanıldığı değerlendiriliyor. Ardından PC-1234, ödemeleri onaylayarak farklı kullanıcılar için çeşitli kripto para borsası hesaplarına veya ödeme uygulamalarının giriş bilgilerine erişim sağlıyordu. ZachXBT, bu iç cüzdanlardan hareketle daha önce Kuzey Kore IT personeli kümeleriyle ilişkilendirilen adreslerle de eşleşmeler bulduğunu kaydetti. Tron(TRX) ağındaki bir cüzdanın ise 2025 Aralık’ta Tether tarafından dondurulduğu ortaya çıktı.

Verilerde, zararlı yazılımla enfekte olmuş cihazın muhtemel sahibi ‘Jerry’ adlı bir kişinin Astrill VPN kullandığı ve çok sayıda sahte kimlikle iş başvurusu yaptığına dair izler de yer aldı. Dahili Slack alanında, Kuzey Koreli IT çalışanlarla bağlantılı yapay zeka destekli sahte başvuru(videolu *deepfake* özgeçmiş) örnekleri paylaşılırken, katılımcılar arasında “Bu bizim hikayemiz mi?” şeklinde yorumların geçtiği aktarıldı.

ZachXBT, bu grubun AppleJeus ya da TraderTraitor gibi daha sofistike Kuzey Koreli saldırı kümeleri kadar gelişmiş olmadığını, buna rağmen Kuzey Kore bağlantılı IT ağlarının aylık bazda milyonlarca dolar gelir ürettiğinin bu belgelerle bir kez daha doğrulandığını belirtiyor. Verilerin kamuoyuna açıklanmasının ardından dahili ödeme portalının çevrimdışı hale getirildiği, ancak ilgili tüm kayıtların kopyalandığı bildirildi.

Bu olay, *kripto para* altyapısının yaptırımların delinmesi ve ‘gölge finans’ mekanizmaları için nasıl bir kanal haline gelebildiğini yeniden gündeme taşıdı. Sektör çevreleri, merkezi borsalar(CEX) ve tezgah üstü(OTC) masalar için uyum ve kara para aklama ile mücadele maliyetlerinin daha da artabileceğini, yaptırım uygulanan bölgelere yönelik stabil kripto para(stablecoin) akışında ek sürtünme ve kısıtların devreye girebileceğini öngörüyor. Kuzey Kore bağlantılı *kripto hacking* vakalarının, sınır ötesi para transferleri ve mahremiyet odaklı araçlar üzerindeki regülasyon baskısını daha da yoğunlaştırıp yoğunlaştırmayacağı ise yakından izleniyor.