Binance saldırganı 42,75 milyon RLUSD gönderemedi; 8 saniye sonra XRP aktardı

Binance saldırısında saldırganın ilk varlık transferi girişimi başarısız oldu. Yaklaşık 42,75 milyon dolar (yaklaşık 57,2 milyar won) değerindeki RLUSD’yi göndermeye çalışan saldırgan, alıcı XRP Ledger hesabı etkin olmadığı için işlemi tamamlayamadı. Sekiz saniye sonra ise 185.017.485,5 XRP transferi başarılı oldu.

CertiK mühendisi Dickson, 30’unda yayımladığı zincir üstü analizde ilk girişimin Kore saatiyle 05.04.52’de gerçekleştiğini bildirdi. İşlem, Binance’in XRP cüzdanından saldırganın adresine yaklaşık 42,75 milyon RLUSD göndermeyi amaçlıyordu. Dickson’ın analizine göre işlem işlenmedi ve tokenlar saldırganın cüzdanına ulaşmadı.

İşlemin başarısız olmasının nedeni alıcı hesabın durumuydu. XRP Ledger’ın resmi belgelerinde, bir adres mevcut olsa bile belirli miktarda XRP yatırılana kadar blokzincir üzerinde hesap oluşturulmadığı açıklanıyor. RLUSD gibi ihraç edilmiş tokenları alabilmek için ayrıca bir güven hattı (trust line) kurulması gerekiyor.

İlk başarısız girişimden sekiz saniye sonra Binance cüzdanından saldırganın adresine 185.017.485,5 XRP gönderildi ve bu işlem alıcı hesabı oluşturdu. Dickson, 05.09’a kadar Binance’e ait diğer dört XRP cüzdanından da varlık çıkışı gerçekleştiğini belirtti.

Varlık hareketleri daha sonra birden fazla blokzincire yayıldı. Dickson’ın izleme kayıtlarına göre 05.10’da 965.455,1 Solana (SOL), 05.18’de ise 44,2 milyon Optimism (OP) transfer edildi.

05.20’de 18.270,2 Bitcoin (BTC), 11 işlemle taşındı. Saldırgan aynı blokta Bitcoin’i 1.000’lik birimlere bölme yöntemini de kullandı. Bu kayıtlar başarıyla tamamlanan işlemlere ait; daha önceki başarısız RLUSD transferindeki tutardan ayrı değerlendirilmesi gerekiyor.

05.20 ile 05.22 arasında Tron ağında 612,7 milyon Tether (USDT) ve 46,4 milyon Tron (TRX) taşındı. 05.30 ile 05.35 arasında Arbitrum (ARB) ve Avalanche (AVAX) ağlarından da varlık çıkışları sürdü.

Ethereum (ETH) ağında, yetki devri imzaları kullanılarak yapılan bir işlem tespit edildi. Saldırgan, 05.20.59’da Binance 14 cüzdanıyla ilişkili 50 adet EIP-7702 yetki devri imzasını tek bir işlem içinde gönderdi.

Her imzada farklı bir nonce kullanıldı. İmzaların birindeki nonce’un cüzdanın gerçek durumuyla eşleşmesi, saldırganın akıllı sözleşme koduna işlem yürütme yetkisi verilmesini sağladı.

05.24.23’te tek bir varlık çekim işlemiyle 167.464 Ethereum ve 1,615 milyar Tether dahil çeşitli varlıklar dış adreslere aktarıldı. İşlem Binance 14 cüzdanından gerçekleştirildi.

Dickson, saldırganın yaklaşık 55 dakika içinde sekiz blokzincirde toplam 6,07 milyar dolar (yaklaşık 8,1156 trilyon won) değerinde varlık taşıdığını hesapladı. Binance ise olayın toplam etkisini yaklaşık 6,3 milyar dolar (yaklaşık 8,4294 trilyon won) olarak tahmin etti.

Binance, ilk incelemesinde bir DevOps mühendisinin dizüstü bilgisayarının ele geçirilmesiyle saldırganın hizmet konteynerine erişmiş ve yetkisiz para çekme işlemleri göndermiş olabileceğini belirtti. Cüzdanların özel anahtarlarının doğrudan ele geçirildiğine dair kanıt bulmadığını açıkladı.

Dickson, olayın sekizinci saatinde yayımladığı takip paylaşımında çalınan tutarı 6,3 milyar dolar (yaklaşık 8,4294 trilyon won) olarak verdi. Bu tutarın 2,83 milyar dolarının (yaklaşık 3,7865 trilyon won) dondurulduğunu, 3,21 milyar dolarının (yaklaşık 4,295 trilyon won) ise hâlâ hareket ettirilebileceğini bildirdi. Ayrıca TRM’nin olayı Kuzey Kore bağlantılı TraderTraitor faaliyetleriyle ilişkilendirdiğini aktardı.

Aynı paylaşımda Dickson, Arbitrum Güvenlik Konseyi’nin Ethereum ve Arbitrum üzerindeki yaklaşık 31 milyon dolar (yaklaşık 41,5 milyar won) değerindeki varlığı dondurduğunu belirtti. Ethereum ağında kalan varlıkların Ethereum karşılığında satıldığını da aktardı.

TokenPost daha önce Binance’ten varlıkların çekildiği cüzdanlarda müşteri bakiyelerini destekleyen kripto varlıkların bulunduğunu bildirmişti. Bu analiz, ilk RLUSD transferinin başarısız olmasını, sekiz saniye sonra gerçekleşen XRP transferini ve sonraki zincirler arası varlık hareketlerini zaman sırasına göre ortaya koydu.