Binance saldırısının yeni ayrıntıları ortaya çıktı

Zincir üstü analiz şirketi TRM Labs, on farklı ağdaki Binance cüzdanlarından saldırganın kontrolündeki adreslere yapılan transferleri inceledi. Şirketin varlıkları çalındıkları andaki fiyatlarla değerlendirdiği hesaplamada toplam tutar yaklaşık 6,36 milyar dolara ulaştı. Binance yönetiminin açıkladığı 6,3 milyar dolarlık tahmini etkiyle birlikte, olayın büyüklüğüne ilişkin daha kapsamlı bir tablo oluştu.

BİTCOİN'DEN XRP'YE ÇALINAN VARLIKLAR

TRM Labs'in dökümüne göre Bitcoin ağındaki çıkış 18 bin 270 BTC oldu. Bu varlıkların işlem anındaki değeri yaklaşık 1,47 milyar dolar olarak hesaplandı. Ethereum ağındaki transferlerin değeri ise yaklaşık 3,79 milyar dolara ulaştı. Bu toplam, yalnızca ETH'den oluşmuyor.

Ethereum tarafında 200 bin 630 ETH ile 185 farklı token tespit edildi. Bunlar arasında 1,875 milyar USDT, 823 milyon USDC ve 88,5 milyon RLUSD bulunuyor. Böylece saldırıda hem ağların kendi kripto paraları hem de dolar değerini izleyen stablecoinler hedef alındı.

Tron ağından 612,7 milyon USDT ve 46,4 milyon TRX çıkarıldı. XRP Ledger üzerindeki beş Binance cüzdanından toplam 233,46 milyon XRP, Solana tarafında ise 970 bin 500 SOL saldırgan adreslerine aktarıldı.

Arbitrum, Optimism ve Base ağlarındaki çıkışların toplam değeri yaklaşık 39 milyon dolar oldu. Avalanche'tan yaklaşık 28 milyon dolarlık, Polygon'dan da yaklaşık 10 milyon dolarlık varlık taşındı. Bu rakamlar TRM'nin araştırma kesitini yansıtıyor. Borsanın nihai teknik incelemesi henüz tamamlanmadı.

BINANCE BAŞKA İHLAL NOKTALARI DA BULDU

Binance yöneticisi Richard Teng, ilk bulguların ele geçirilmiş olabilecek bir DevOps mühendisinin dizüstü bilgisayarına işaret ettiğini açıkladı. Bu erişimin, şirket içindeki bir hizmet üzerinden yetkisiz para çekme işlemleri gönderilmesine imkân sağlamış olabileceğini belirtti.

Teng, saldırının tek bir mühendisin yetkilerinin kullanıldığı basit bir işlem olarak açıklanamayacağını vurguladı. Daha karmaşık bir süreç yaşandığını ve soruşturmada herhangi bir kişiye sorumluluk yüklenmediğini söyledi. Şirket, şu ana kadar cüzdanların özel anahtarlarının sızdığına ilişkin kanıt bulmadığını bildirdi.

Borsanın daha sonraki açıklamasında ise soruşturmanın başka ihlal noktalarını ortaya çıkardığı belirtildi. Böylece ilk bilgisayar tespiti, saldırının bütününü açıklayan kesin sonuç olarak sunulmadı. Şirket, kolluk kuvvetleriyle birlikte bilgi toplamayı sürdürdüğünü duyurdu.

TRM'nin incelemesi, hazırlığın hırsızlıktan en az 36 saat önce başladığına işaret ediyor. Ethereum tarafında saldırgan, önceden imzalanmış 50 yetkilendirmeden yararlanarak bir Binance sıcak cüzdanına kendi kontrolündeki kodu çalıştırttı. EIP-7702 adlı özellik üzerinden verilen yetki, cüzdana sonradan gelen varlıkların da tekrar tekrar aktarılmasını sağladı.

Diğer ağlardaki çıkışlarda ise standart imzalı transferler görüldü. TRM, farklı ağlardaki cüzdanların kısa aralıklarla geçerli imzalar üretmesini, Binance'in sıcak cüzdan işlemlerini imzalayan altyapısının kötüye kullanılmış olabileceğine dair bir işaret olarak değerlendiriyor. Kesin nedenin açıklanması için borsanın teknik raporu bekleniyor.

ARAŞTIRMACILAR KUZEY KORE BAĞLANTISINI İNCELİYOR

TRM Labs, saldırıyı zincir üstü ve zincir dışı istihbarata dayanarak Kuzey Kore bağlantılı TraderTraitor grubuna yüksek güvenle atfetti. Chainalysis Üst Yöneticisi Jonathan Levin de önceki bir saldırıyla bulunan bağlantılar nedeniyle aynı grubun sorumlu olmasını muhtemel gördüklerini söyledi.

Zincir üstü araştırmacısı ZachXBT ise Binance ve daha önceki Bitget saldırısından gelen fonların THORChain üzerinden geçtikten sonra aynı adreste birleştiğini belirtti. Bu hareketin iki olayın arkasında aynı aktörün bulunabileceğine işaret ettiğini ifade etti. Açıklamalar, araştırmacıların saldırganın kimliğine ilişkin değerlendirmelerini yansıtıyor.

Fonları izleyen ekipler, saldırganın dondurulabilen stablecoinleri ETH gibi farklı varlıklara çevirdiğini de tespit etti. TRM'ye göre yaklaşık 325 milyon USDT, takas işlemleriyle yaklaşık 122 bin 300 ETH'ye dönüştürüldü. Ayrıca Aave'ye 60 milyon USDT teminat yatırılarak yaklaşık 19 bin 760 ETH borç alındı. Bu işlemler, daha önce çalınan fonların hareketlerini gösteriyor ve hırsızlık toplamına yeniden eklenmiyor.

Teng, kayıpların Binance'in SAFU güvenlik fonu ve şirket kaynaklarıyla karşılanacağını açıkladı. Etkilenen adreslerin yetkilendirmelerinin iptal edildiğini belirten yönetici, düzeltmeler tamamlandıktan sonra güncel rezerv kanıtının, soruşturma bittiğinde de ayrıntılı teknik raporun yayımlanacağını söyledi.