Binance’e yönelik büyük çaplı saldırının ardından çalınan kripto varlıkların taşınması ve aklanması hız kesmeden sürdü. Zincir üstü analizlere göre saldırganlar, Tron ağında ele geçirdikleri varlıkların önemli bir bölümünü yalnızca iki gün içinde farklı ağlara ve takas hizmetlerine aktardı. İşlemler, birden fazla köprü ve protokol üzerinden yürütüldüğü için fonların hareketini izlemek ve durdurmak güçleşti.

Analist SomaXBT’nin paylaştığı verilere göre saldırganlar Tron üzerinden yaklaşık 628 milyon dolarlık varlık çaldı. Bu tutarın tamamı aklanmış değil: Tether’in 378,7 milyon USDT’yi dondurması, saldırganların taşıyabildiği miktarı önemli ölçüde sınırladı. Buna rağmen yaklaşık 194 milyon dolarlık varlık köprüler ve takas hizmetleri aracılığıyla Tron dışına çıkarıldı. Yaklaşık 26 milyon dolar Tron ağında kalırken, işlem ücretleri, fiyat dalgalanmaları ve takas sırasındaki kaymalar nedeniyle yaklaşık 22 milyon dolarlık değer kaybı yaşandığı bildirildi.

Fonlar farklı köprü ve takas hizmetlerine dağıtıldı

Fonların ağlar arasında aktarılmasında birden fazla hizmet kullanıldı. SomaXBT’nin hesaplamasına göre Relay üzerinden yaklaşık 48 milyon dolar, THORChain üzerinden 44 milyon dolar, Chainflip üzerinden 32,1 milyon dolar ve Symbiosis üzerinden 16 milyon dolar geçti. Bu dört hizmetteki toplam hareket yaklaşık 140 milyon dolara ulaştı. Bu rakamlar, ilgili hizmetlerden geçen işlem hacmini gösteriyor; her bir tutarın saldırganların elinde net olarak aynı değerde kaldığı anlamına gelmiyor. Ücretler ve takas fiyatlarındaki değişiklikler, varlıkların nihai değerini etkileyebiliyor.

Bitget Wallet aracılığıyla taşındığı belirlenen yaklaşık 41,7 milyon doların sonraki hareketlerinin ise mevcut verilerle net biçimde izlenemediği aktarıldı. Çapraz zincir işlemlerinde varlıkların farklı ağlarda yeni adreslere aktarılması, hareketlerin takibini zorlaştırabiliyor. Bu nedenle açıklanan tutarlar, zincir üstü analiz şirketlerinin gözlemleyebildiği işlemlere dayanıyor ve yeni veriler ortaya çıktıkça değişebiliyor.

Saldırı, Binance’in perşembe günü yaklaşık 6,3 milyar dolarlık kripto varlık kaybı yaşadığı olay olarak aktarıldı. ABD Federal Soruşturma Bürosu (FBI), ABD Gizli Servisi ve IRS Kriminal Soruşturma birimi cumartesi günü ortak bir uyarı yayımladı. Yetkililer saldırıyı, Kuzey Kore bağlantılı olduğu belirtilen TraderTraitor grubuna atfetti. Kurumların değerlendirmesi, saldırının arkasındaki aktörlere ilişkin resmî atıf niteliği taşıyor; açıklanan adresler ise fon hareketlerinin izlenmesine ve hizmet sağlayıcıların önlem almasına yardımcı olmayı amaçlıyor.

FBI, işlem hizmetlerinden şüpheli adresleri engellemelerini istedi

FBI’a göre saldırganlar, çalınan varlıkları ağırlıklı olarak Ethereum’a dönüştürmeye yöneldi. Kurum, fonların DeFi protokolleri ve anlık takas hizmetleri kullanılarak aklanmaya devam edebileceği uyarısında bulundu. Bu nedenle THORChain operatörlerinden ve diğer kripto hizmetlerinden, saldırıyla ilişkilendirilen işlemleri tespit etmeleri ve mümkün olduğunda engellemeleri istendi.

FBI, kamuoyuyla 608 Ethereum, 19 Bitcoin ve bir Solana adresi paylaştı. Ancak yayımlanan listede Tron adreslerinin bulunmadığı bildirildi. Bu durum, listedeki adreslerin saldırıyla bağlantılı olabilecek tüm adresleri kapsadığı anlamına gelmiyor. Kripto varlıkların farklı ağlar ve cüzdanlar arasında taşınması, yeni adreslerin belirlenmesini ve yetkililerle hizmet sağlayıcıların güncel bilgi paylaşmasını gerektirebiliyor.

THORChain’in teknik kurucu ortağı Chad Barraford, operatörlerin kamuya açık bilgilerin ötesinde bir bilgiye sahip olmadığını söyledi. Barraford, söz konusu adreslerin engellenip engellenmeyeceği konusunda kesin bir açıklama yapmadı. Bu tür kararlar, protokolün işleyişine, operatörlerin yetkilerine ve ilgili adreslerle işlem yapan kullanıcıların durumuna bağlı olabiliyor. Dolayısıyla yetkililerin çağrısı, tek başına fonların otomatik olarak durdurulduğu anlamına gelmiyor.

THORChain’de ayrıca Ethereum ağındaki bir yeniden düzenleme (reorg) nedeniyle operasyonel bir sorun yaşandı. Zincir geçmişindeki bu değişiklik, 10 ETH’lik bir yatırma işleminin iki kez iade edilmesine yol açtı. Olayın ardından THORChain geçici olarak durduruldu. Pazar günü itibarıyla sistemin bağlı olduğu 13 ağdan 10’unda işlemlerin askıya alındığı bildirildi; Tron, Ethereum ve Bitcoin de bu ağlar arasındaydı. Bu tedbirin amacı, teknik sorunların ve olası risklerin değerlendirilmesi sırasında yeni işlemleri sınırlandırmaktı.

SomaXBT’nin analizinde, saldırganların THORChain’e 2.697 işlemle 185,1 milyon TRX ve 3,83 milyon USDT yatırdığı belirtildi. Ardından sistem üzerinden 170 adrese toplam 17.019 ETH, 20 adrese ise 53,25 BTC gönderildiği aktarıldı. Analize göre ücretler ve fiyat kaymaları, işlem değerinde yaklaşık yüzde 12’lik kayba yol açtı. Bu oran, aktarım sürecindeki maliyet ve değer değişimlerini yansıtıyor; fonların tümünün aynı anda veya aynı fiyattan dönüştürüldüğünü göstermiyor.

Tekrarlanan işlemler otomasyonla yürütüldü

Elliptic’in incelemesine göre saldırganların ana Tron cüzdanı 31 saat boyunca düzenli aralıklarla, saatte bir ödeme yaptı. THORChain yatırımlarında aynı miktarların tekrarlandığı ve bazı işlemlerin 19 kez gerçekleştirildiği gözlemlendi. Köprülerin reddettiği işlemlerin yeni cüzdanlar kullanılarak tekrar gönderilmesi de aklama sürecinin planlı ve sistematik biçimde ilerlediğine işaret etti.

Elliptic kurucu ortağı Tom Robinson, işlemlerin yapay zekâ ajanları tarafından yürütüldüğünü gösteren bir bulgu olmadığını belirtti. Robinson’ın değerlendirmesine göre işlem kararlarını insanlar aldı; tekrarlanan adımlar ise komut dosyalarıyla otomatikleştirildi. Bu ayrım, işlemlerin hızlı ve düzenli biçimde yapılmasının tek başına yapay zekâ kullanıldığı anlamına gelmediğini ortaya koyuyor. Otomasyon, belirli kurallar doğrultusunda işlem göndermeyi hızlandırabilir; ancak işlem stratejisinin kim tarafından belirlendiğine dair ayrıca kanıt gerekir.

Dondurulan varlıklar ve hâlâ izlenemeyen tutarlar

Elliptic, çalındığı değerlendirilen varlıkların 2,85 milyar dolarlık bölümünün dondurulduğunu veya ele geçirildiğini doğruladı. Şirketin toplam kayıp hesabı yaklaşık 6,43 milyar dolar olduğundan, bu tutar toplamın yaklaşık yüzde 44’üne karşılık geliyor. Buradaki “dondurulmuş veya ele geçirilmiş” ifadesi farklı durumları kapsıyor: Bazı varlıklar ihraççıları tarafından dondurulabilirken bazılarına el konulmuş ya da erişimleri başka yollarla kısıtlanmış olabilir.

Elliptic’in değerlendirmesine göre dondurulan fonların yüzde 94’ü stablecoin’lerden oluşuyor. Stablecoin’lerin ihraççıları belirli koşullarda adresleri dondurabildiği için bu varlıklar, merkeziyetsiz ağlarda dolaşan bazı diğer kripto paralara kıyasla daha hızlı kısıtlanabiliyor. Bununla birlikte yaklaşık 3,25 milyar dolarlık varlığın ihraççıları tarafından dondurulamadığı bildirildi. Bu tutara 18.327 BTC ve 233 milyon XRP de dahil. Söz konusu varlıkların dondurulamaması, mutlaka aklandıkları veya ele geçirilemeyecekleri anlamına gelmiyor; yalnızca ilgili ihraççının adres düzeyinde dondurma yetkisi bulunmadığını gösteriyor.

Tronscan verilerine göre Tether’in dondurduğu USDT, iki cüzdanda tutuluyor: birinde 312,7 milyon USDT, diğerinde 65,99 milyon USDT bulunuyor. Bu iki tutarın toplamı, yaklaşık 378,7 milyon USDT’lik dondurma açıklamasıyla örtüşüyor. Fonların dondurulması, ilgili tokenların transfer edilmesini engelleyebilir; ancak işlemin ardından varlıkların iadesi veya mağdurların tazmin edilmesi ayrı süreçlere bağlıdır.

The Block’un incelemesinde ise FBI’ın yayımladığı 19 Bitcoin adresinde toplam 18.270 BTC’nin hâlâ tutulduğu bildirildi. Bu adreslerdeki varlıkların incelenen dönemde hareket etmemesi, söz konusu fonların aklama zincirinin diğer kısımları kadar hızlı ilerlemediğini gösteriyor. Ancak hareketsizlik, varlıkların kalıcı olarak güvende olduğu veya daha sonra taşınmayacağı anlamına gelmiyor. Yetkililer ve analiz şirketleri, adreslerdeki hareketleri izlemeyi sürdürüyor.

Genel tablo, büyük çaplı kripto saldırılarının ardından fonların kısa sürede farklı ağlara dağıtılabildiğini, ancak stablecoin ihraççılarının müdahalesi ve hizmet sağlayıcıların işlem kısıtlamalarının aklama sürecini yavaşlatabildiğini gösteriyor. Çapraz zincir köprüleri, takas platformları ve otomasyon, işlemlerin hızını artırırken aynı zamanda izleme ve müdahale çalışmalarını karmaşıklaştırıyor. Bu nedenle açıklanan kayıp, dondurulan varlık ve işlem hacmi rakamları farklı kurumların yöntemlerine dayanıyor; kesin sonuçlar soruşturma ve zincir üstü analizler ilerledikçe netleşebilir.