Tron cüzdanında 1.113 transfer: Binance saldırısında otomasyon olasılığı

Binance saldırısında çalınan fonlar tek bir Tron (TRX) cüzdanından 1.113 ayrı transferle taşındı. Transferler arasındaki medyan süre 90 saniyeydi.

Elliptic, 30 Ekim ile 1 Kasım arasında saldırganın başlıca Tron cüzdanını izleyerek bu verileri derledi. Cüzdan neredeyse boşalana kadar görülen en uzun transfer aralığı 39 dakikaydı; işlemler Pyongyang'da gece saatlerinde de sürdü.

Elliptic, bu örüntünün fonların tek tek elle gönderilmesinden ziyade yazılım otomasyonuyla taşınmış olabileceğine işaret ettiğini değerlendirdi. Transfer tutarlarının çoğu altı ondalık basamağa kadar düzensiz değerler içeriyordu. Alıcı cüzdanlar fonları genellikle yaklaşık iki dakika içinde yeniden gönderdi.

Ethereum (ETH) ağında çalınan Chainlink (LINK) 89, Pepe (PEPE) ise 94 işlemde yaklaşık 36 saniyelik aralıklarla satıldı. Satışlarda kullanılan yeni cüzdanlara işlem ücretleri için tekrar tekrar 0,5 ETH yatırıldı.

Elliptic, yalnızca zincir üstü kayıtlara bakarak otomasyonun mevcut bir betikle mi yoksa yapay zekâ ajanıyla mı yürütüldüğünü ayırt etmenin mümkün olmadığını belirtti. Küçük tutarlı test işlemleri ve saldırganın kontrolündeki cüzdanlar arasındaki yuvarlak tutarlı transferler gibi bazı adımlarda insan müdahalesine işaret eden izler de gözlemlediğini ekledi.

Aynı cüzdandan art arda başarısız olan köprü işlemleri, başarısızlık nedenini düzeltmeden yeniden deneyen bir betik örüntüsüne daha çok benziyordu. Elliptic, farklı blokzincirler arasında varlık taşımaya yarayan köprü işlemlerindeki bu davranışı böyle değerlendirdi.

Binance, olayın 30 Ekim'de Kore saatiyle 05.05 civarında gerçekleştiğini duyurdu. Elliptic, saldırganın saatler içinde 11 blokzincirindeki sıcak cüzdanlardan varlıkları çektiğini izledi.

Elliptic, çalınan kripto varlıkların toplamını 6,43 milyar dolar (yaklaşık 8,64 trilyon won) olarak hesapladı. Binance'in ilk tahmini yaklaşık 6,3 milyar dolar (yaklaşık 8,465 trilyon won)이었다. İki hesabın ayrıntılı 기준 차이는 공개되지 않았다.

ABD Federal Soruşturma Bürosu (FBI), 31 Ekim'de saldırının arkasında Kuzey Kore'nin olduğunu belirtti ve faaliyeti 'TraderTraitor' olarak adlandırdı.

FBI, ABD Gizli Servisi (USSS) ve İç Gelir İdaresi Ceza Soruşturma Birimi (IRS-CI) ile birlikte, çalınan varlıkların ağırlıklı olarak Ethereum'a çevrildiğini gözlemlediğini bildirdi. Kurum, kripto varlık hizmet sağlayıcılarından, merkeziyetsiz finans (DeFi) hizmetlerinden ve düğüm operatörlerinden ilgili adreslerle bağlantılı veya bu adreslerden türetilen işlemleri engellemelerini istedi.

Microsoft (MSFT), 29 Ekim'de yayımladığı analizde Kuzey Kore bağlantılı sekiz tehdit aktöründen üçünü yapay zekâ kullanımında 'operasyonelleşme' aşamasında değerlendirdi. Bu sınıflandırma, tehdit aktörlerinin günlük yapay zekâ kullanım düzeyini tanımlıyor; söz konusu saldırıda yapay zekâ kullanıldığına dair kanıt oluşturmuyor.

Binance, ilk incelemesinde geliştirme ve operasyon mühendislerinin dizüstü bilgisayarlarının ele geçirilmiş olabileceğini öne sürdü. Sonraki açıklamasında başka bir ihlal noktası daha tespit ettiğini, ancak o aşamaya kadar cüzdanların özel anahtarlarının sızdırıldığına dair kanıt bulamadığını belirtti.

Elliptic, 1 Kasım saat 14.50 (Kore saatiyle) itibarıyla zincir üstünde 2,85 milyar doların (yaklaşık 3,829 trilyon won) dondurulduğunu veya el konulduğunu hesapladı. Bu tutar, Elliptic'in tahmin ettiği çalıntı varlıkların yüzde 44'üne karşılık geliyordu.

Elliptic, dondurulan ve el konulan tutarın yüzde 94'ünün stablecoin'lerden oluştuğunu ve bunların çoğunun Ethereum ile Tron ağlarında dondurulduğunu bildirdi. Bu hesaplama, zincir üstünde doğrulanan dondurma ve el koyma tutarını kapsıyor.

Binance, 1 Kasım'daki açıklamasında olaydan etkilenen varlıkların yaklaşık yüzde 95'ini şirket kaynakları dahil olmak üzere kendi fonlarıyla tamamladığını duyurdu. Kalan yüzde 5'in likiditesinin düşük olması nedeniyle teminin daha fazla zaman alacağını belirtti ve para çekme işlemlerinin güvenlik kontrollerine bağlı olarak aşamalı biçimde yeniden başlatılacağını açıkladı. Tamamlama oranı, saldırgan cüzdanlardan çalınan fonların geri alınma oranıyla aynı değil.