Binance hack'inde çalınan 46 milyon doları aşkın fon THORChain üzerinden taşındı

Binance'den çalınan fonların 46 milyon dolardan fazlası THORChain üzerinden taşındı. İşlemler sırasında 200 bin doların üzerinde platform ücreti oluştu.

Chainalysis'in izleme verilerine göre saldırganlar, 29 Ekim'de Binance'den çaldıkları yaklaşık 6,4 milyar doları 10 binden fazla cüzdana dağıttı. Saldırıyı izleyen 72 saatte 46 milyon dolardan fazla fon THORChain üzerinden geçti.

ABD Federal Soruşturma Bürosu (FBI), saldırıdan Kuzey Kore bağlantılı TraderTraitor grubunu sorumlu tuttu. Kuzey Kore ise saldırıyla bağlantısı olduğu iddiasını reddediyor.

Hackerlar, takibi zorlaştırmak için fonları farklı blokzincirler arasında taşıdı ve çeşitli kripto varlıklarla takas etti. THORChain, farklı blokzincirlerdeki varlıkların merkezi bir borsa kullanılmadan takas edilmesini sağlayan bir hizmet. Hackerlar bu yolu kullanarak çalıntı varlıkları Bitcoin(BTC) gibi varlıklara çevirdi.

TokenPost, daha önce Binance'den çalınan fonların Tron üzerinden taşındığına ilişkin analizi aktarmıştı. O haberde THORChain'in de aralarında bulunduğu dört köprü, fonların hareket ettiği yollar olarak gösterilmişti. Son veriler ise THORChain üzerinden geçen miktarı ve işlem ücretlerini ortaya koyuyor.

Aynı dönemde yaklaşık 4 milyon dolar, Bitcoin cüzdan hizmeti Wasabi Wallet'in işlem karıştırma özelliğinden geçti. Bu yöntem, birden fazla kullanıcının işlemlerini bir araya getirerek fonların kaynağını ve hareket yönünü izlemeyi zorlaştırıyor. THORChain ve Wasabi Wallet üzerinden geçen tutarların aynı fonları kapsayıp kapsamadığı bilinmediğinden iki miktar toplanamaz.

FBI, 31 Ekim'de THORChain düğüm operatörleri dahil olmak üzere kripto varlık hizmeti sağlayıcılarına, hackerlarla bağlantılı adreslerin işlemlerini engellemeleri çağrısı yaptı. Bu çağrıdan sonra da THORChain ve Wasabi Wallet üzerinden fon hareketleri sürdü.

THORChain geliştiricileri, merkeziyetsiz protokolün yapısı gereği tek tek cüzdanları veya işlemleri engelleme özelliği bulunmadığını söyledi. Geliştiriciler, belirli adreslerin işlemlerini durdurma yetkileri olmadığını belirtti.

Buna karşılık TRM Labs kıdemli araştırmacısı Nick Carlson, THORChain'in önemli ölçüde merkezi şekilde işletildiğini ve yasa dışı işlemlerden gelir elde ettiğini öne sürdü. Carlson, protokolün merkeziyetsiz olduğu yönündeki açıklamayı sorguladı.

Geçen yıl THORChain tabanlı bir kredi hizmetinin yatırımcıları, geliştiricilerin yönetici ana anahtarını elinde tuttuğu iddiasıyla dava açtı. Geliştiriciler iddiayı reddetti ve söz konusu yönetim yetkisinin kaldırıldığını söyledi.

THORChain'in kurucu ortaklarından biri, ağın 111 düğümle çalıştığını ve kendisinin artık ağın fiilî yönetiminde yer almadığını belirtti.

Kuzey Kore bağlantılı hackerlar, geçen yıl Bybit saldırısında da yaklaşık 1 milyar doları THORChain üzerinden taşıdı. O dönemde THORChain operatörlerinin elde ettiği ücretlerin en az 12 milyon dolar olduğu hesaplandı.

Wasabi Wallet'in işlem karıştırma faaliyetine ilişkin platform analizinde, işlemlerin yüzde 99'undan fazlasının tek bir operatör tarafından yürütüldüğü görüldü. Karıştırma özelliğini işleten ABD'li geliştirici Kruw, 2024'te yaptığı açıklamada kişisel finansal mahremiyete hükümet düzenlemelerinden daha fazla önem verdiğini söyledi ve bu faaliyetlerin hukuki risk doğurabileceğini kabul etti. Chainalysis, Kruw'un işlem ücretlerinden elde ettiği gelirin çok düşük olduğunu belirtti.

Tether ve Circle gibi stablecoin ihraççıları, saldırıyla bağlantılı cüzdanları dondurdu. Chainalysis verilerine göre 3 Kasım itibarıyla dondurulan varlıkların tutarı yaklaşık 2,8 milyar dolardı. Bu miktar dondurulan varlıkları gösteriyor, iade edilen tutarı değil. Takip şirketleri, hackerların yaklaşık 3 milyar dolarlık çalıntı varlığı hâlâ kontrol ettiğini tahmin ediyor.