325 milyon USDT, Binance saldırganı tarafından 122.300 Ethereum’a çevrildi

Binance saldırganı, yaklaşık 325 milyon Tether’i (USDT) yaklaşık 122.300 Ethereum’a (ETH) çevirdi. İşlemin dolar bağlantılı nominal değeri 325 milyon dolar (yaklaşık 434,5 milyar won) oldu.

TRM Labs, 30 Ekim saat 09.30’a (Kore saati) kadar doğruladığı zincir üstü işlemleri içeren analiz raporunda takasın ayrıntılarını paylaştı. Saldırgan, Tether’leri UniswapX gibi emir gerçekleştirme sözleşmeleri aracılığıyla profesyonel işlemcilere ve piyasa yapıcılara aktardı. O sırada Ethereum’un fiyatı birim başına 2.300-2.350 dolar (yaklaşık 3,08-3,14 milyon won) aralığındaydı; ancak alınan miktarın hesaplanan fiyatı birim başına yaklaşık 2.650 dolar (yaklaşık 3,54 milyon won) oldu. TRM Labs, saldırganın Tether’leri piyasa fiyatından yüzde 10’dan fazla daha olumsuz koşullarda elden çıkardığını değerlendirdi.

Aynı işlem grubundaki 175 milyon Tether takas edilemeden donduruldu. Ayrı bir saldırgan cüzdanı, Aave’e teminat olarak 60 milyon Tether yatırıp yaklaşık 19.760 Ethereum borç aldı. Ardından Aave ilgili piyasayı dondurdu. TRM Labs, takasın ve teminatlı borçlanmanın varlıklar dondurulmadan önce gerçekleştiğini belirtti.

TRM Labs, 10 blokzincirdeki Binance cüzdanlarından saldırgan adreslerine yaklaşık 6,36 milyar dolar (yaklaşık 8 trilyon 503,3 milyar won) aktarıldığını hesapladı. Fonların çoğu ilk transferin ardından yaklaşık 20 dakika içinde cüzdanlardan çıktı. Binance, güvenlik olayını doğruladıktan sonra birden fazla ağdaki para çekme işlemlerini geçici olarak durdurdu.

TRM Labs’e göre saldırı hazırlıkları en az 36 saat öncesinden başladı. Saldırıda kullanılan cüzdanlara 28 Ekim’de Tornado Cash’ten üç kez küçük miktarlarda fon gönderildi. Saldırgan, kodu ayrı bir cüzdanda test ettikten sonra Binance cüzdanlarında kullandı.

TRM Labs, Ethereum ağında önceden hazırlanan 50 imza onayından birinin kullanıldığını ve Binance’in sıcak cüzdanının saldırganın kontrolündeki kodun talimatlarını izleyecek şekilde değiştirildiğini değerlendirdi. Raporda bu süreçte Ethereum’un EIP-7702 yetkilendirme özelliğinin kullanıldığı belirtildi. Sıcak cüzdan, işlemleri yürütmek için internete bağlı tutulan cüzdandır.

Diğer blokzincirlerde de benzer saatlerde geçerli imzalarla fon transferleri gerçekleşti. TRM Labs, bu kayıtların Binance’in cüzdan işlem imzalama sisteminin ele geçirilmiş olabileceğine işaret ettiğini söyledi. Bu değerlendirme, sisteme nasıl sızıldığının kesinleştiği anlamına gelmiyor.

Chainalysis raporunda dondurulan varlıklar yaklaşık 2,8 milyar dolar olarak hesaplandı. TRM Labs ise 30 Ekim saat 09.30 (Kore saati) itibarıyla zincir üstünde dondurulan miktarı yaklaşık 2,7 milyar dolar olarak belirledi. Bunun yaklaşık 2,67 milyar doları (yaklaşık 3 trilyon 569,8 milyar won) stablecoin ihraççıları tarafından donduruldu; yaklaşık 30 milyon dolar (yaklaşık 4,01 milyar won) ise Arbitrum Güvenlik Konseyi’nin müdahalesiyle saldırganın kontrolünden çıkarıldı.

TokenPost daha önce Binance saldırısıyla bağlantılı bir adreste 6,19 milyon USDT’nin dondurulduğunu ve Tron ile Ethereum arasındaki transferlerin yeniden başladığını bildirmişti. Varlıkların dondurulması transferi engelleyen bir önlemdir; çalınan fonların geri alınmasıyla aynı anlama gelmez.

TRM Labs, saldırganın elinde tuttuğu 420.000’den fazla Ethereum ile 18.270 Bitcoin’in (BTC) o sırada yaklaşık 2,4 milyar dolar (yaklaşık 3 trilyon 208,8 milyar won) değerinde olduğunu hesapladı. Bu iki varlık, stablecoin’lerde olduğu gibi bir ihraççı tarafından doğrudan dondurulamıyor. TRM Labs, saldırgan adreslerini ve Bitcoin’in parçalara bölünerek taşındığı güzergâhı izlediğini açıkladı.