AhnLab, USDT Toplayan 12 Sahte Siteyi Ortaya Çıkardı

ASEC, 12 Klonlanmış Kurumsal Siteyi İşaretledi

AhnLab Security Intelligence Center (ASEC) araştırmacıları, tanınmış Güney Kore şirketlerini taklit ederek dijital varlık aktarımı talep eden 12 şüpheli internet sitesi tespit etti; suistimal edilen isimler arasında robotik firması Doosan Robotics ve Chum-Churum soju markası da var. Keşif, ASEC analistlerinin ValleyRAT adlı, enfekte bilgisayara uzaktan erişim sağlayan bir Truva atınının arkasındaki sunucu altyapısını izlerken ortaya çıktı. Güvenlik firması bulguları 28 Ekim'de açıkladı. Klonlanan sayfalar resmi kurumsal ana sayfası izlenimi verecek şekilde kurulmuş. ASEC'in incelemesinde, sitelerin hedef şirketlerin logolarını, tanıtım görüntülerini ve kurumsal tanıtım metinlerini olduğu gibi kopyaladığı görüldü; operasyon durağan bir tanıtım sayfasının ötesine geçiyor. Her site üyelik kaydı ve giriş sistemi işletiyor, birkaçı da kayıtlı kullanıcılara seviye atayan bir VIP kademesiyle birlikte davet kodu düzeni yürütüyor. Bu kademelendirme güven inşa ediyor: ziyaretçiye anonim bir ödeme sayfasına değil, yapılandırılmış bir programa katıldığı hissi veriyor. Kayıt da süs değil; üstünde bir kademe taşıyan hesap, sonraki ödeme talebini kullanıcının zaten inandığı bir programın sıradan bir adımı gibi gösteriyor. Marka bilinirliği işin geri kalanını yapıyor ve bilinmeyen bir internet sitesinde anında tetiklenecek şüpheyi düşürüyor. Bu güven inşası tek bir ödeme talebine kanalize ediliyor. Sitelerin içine gömülü çevrim içi sohbet görüşmelerinde operatörler ziyaretçileri, dolara sabitlenmiş bir stablecoin olan Tether (USDT) göndermeye, TRON ağındaki cüzdan adreslerine yönlendirdi. Ele geçirilen görüşme kaydında katılımcılara TRON adresleri verildiği ve tamamlanan aktarımın ekran görüntüsünün ödeme kanıtı olarak istendiği görülüyor. Ray seçimi bilinçli: Tether (USDT) fiyatı dollara sabit olduğu için istenen tutar hiç sapmıyor, TRON ana ağ üzerindeki bir aktarma saniyeler içinde kesinleşiyor ve geri çağrılamıyor. Dolandırıcı için bu ikili, fiyat riskiyle geri alma riskini tek hamlede ortadan kaldırıyor.

TRON'da Beş Giriş, Üç Çıkış

Blockchain kayıtları, şemanın şimdiden bazı fonları hareket ettirdiğini gösteriyor. ASEC, Chum-Churum soju markasını taklit eden siteye bağlı TRON cüzdanını incelediğinde, zincir üstü geçmişte beş gelen ve üç giden USDT aktarımı kaydetti. Beş giriş de tek bir dış cüzdandan kaynaklanıyor; bu yoğunlaşma, geniş bir mağdur tabanına değil tek bir fon kaynağına işaret ediyor, ancak firma o adresi kimin kontrol ettiği konusunda bir sonuca varmadı. Üç giden aktarım ise adresin uykuda değil, aktif olarak yönetildiğini gösteriyor. Söz konusu dış cüzdanın toplam geçmişi, beş aktarımda görünenin çok ötesinde. ASEC'in incelemesi, cüzdanın toplam giriş hacmini kabaca 13 milyon USDT olarak hesapladı. Güvenlik merkezi rakamın ne olduğunu, ne olmadığını net çiziyor: söz konusu değer cüzdanın tüm kümülatif kabul hacmini temsil ediyor; taklit sitesinin işlem hacmini ya da doğrulanmış bir dolandırıcılık zararı toplamını değil. Klonlanmış alan adlarına bağlı gerçek mağdur zararları henüz belirlenmiş değil, aktarımı tamamlayan kullanıcı sayısı da bilinmiyor. Kötü yazılım dosyası ikinci bir belirsizlik katmanı ekliyor. ASEC, ValleyRAT operasyonu ile taklit siteleri ve tespit edilen cüzdanlar arasında şimdiye kadar doğrudan bir operasyonel bağ doğrulanmadığını belirtti. Alan adları aynı soruşturmada ortaya çıktı ve paylaşılan altyapı izini onları araştırma ekibinin radarına getirdi; ama zamanlamaların üst üste binmesi ortak sahipliği kanıtlamıyor. Ya Truva atını işleten grup sahte siteleri de kurdu, ya da ilgisiz bir ekip, kötü yazılımın sunucu iziyle tesadüfen kesişen ödeme sayfaları hazırladı. Analiz bu soruyu açık bırakıyor. TRON'un buradaki rolü yapısal; yeni başlayanlara bu zincirin hızını ve düşük maliyetini anlatan Tron (TRX) nereden alınır gibi rehberler mevcut. Bu olaydaki mağdur için belirleyici özellikse işlemin geri döndürülemezliği. Olay ayrıca Tether tabanlı dolandırıcılık hattının işleyen bir koridoruna düşüyor; bu hat, CoinDCX'teki 15,99 milyon USDT'lik sızma ile Ethereum projesi X100 kaynaklı 4,85 milyon dolarlık USDT boşalmasını da kapsıyor.

Cüzdan Kaydının Göstermediği

Bu olayda asıl mesele mekanik. Banka transferinden ya da geri kazanma mekanizması yerleşik, varsayımsal bir perakende CBDC uygulamasından farklı olarak, TRON üzerinde bir USDT ödemi kurban imzaladığı anda kesinleşir; operatörlerin aşması gereken tek sürtünme güven olur. Ödünç alınan logolar, sohbet desteği ve VIP kademeleri tam da o güveni sağlıyor. Doğrulanan tutarlar, tokenın genel market cap değerinin yanında mütevazı kalıyor: yaşamı boyunca kabaca 13 milyon USDT kabul eden cüzdan bile, USDT market cap değerinin beş günde kaydettiği 1 milyar dolarlık daralmanın yanında küçük. Açıkta kalan ise daha dar: beş giriş ve üç çıkış doğrulanan akışlar, 13 milyon USDT sahte sitelerle kanıtlanmış bağı olmayan yaşam boyu hacim ve ValleyRAT ile operasyonel bir bağ kurulmuş değil. Dosya ASEC'te; firma henüz bir operatör isimlemedi ya da doğrulanmış bir mağdur toplamı açıklamadı.