BNB Zinciri'ndeki Predict.fun Saldırısı 300.000 Doları Tornado Cash'e Taşıdı

Predict.fun 300.000 Dolayı Relay Üzerinden Kaybetti

BNB Chain üzerinde çalışan tahmin piyasası BNB Chain platformu Predict.fun'dan Salı günü yaklaşık 300.000 dolarlık şüpheli fon çekildi ve paranın bir bölümü resmi bir açıklama daha gelmeden Relay zincirler arası köprü üzerinden kripto mikseri Tornado Cash'e ulaştı. Alarmı, zincir üstü izleme hesabı Onchain Lens çekti: hesap 27 Ekim'de saat 11:50 UTC'de, yani Taipei saatiyle 19:50'de protokolün "muhtemelen saldırıya uğradığını" yazdı ve tek bir izi haritalandırdı. Bu izde Kernel etiketli birden fazla kaynak kontratı, parayı alan relay cüzdanları ve Relay.link üzerindeki RelayDeposit kontratı, saldırının hemen ardından devreye giriyor. Köprü ayağı fonları Ethereum tarafına taşıyor gibi görünüyor ve iz orada Tornado Cash'te son buluyor. Çıkışın büyük bölümü, platformun bahislerde kullandığı dolar bazlı stablecoin (sabit değerli token) olan BNB Smart Chain ağındaki USDT'den oluşuyordu. Onchain Lens'in uyarı gönderisi ve ekli haritaları şüpheli toplamı yaklaşık 300.000 dolar olarak ölçtü ve ek adreslerin izlenmeye devam ettiğini belirtti. Sıralama da kayda değer: kontratlar fonları doğrudan bir köprüye göndermedi, önce aracı bir cüzdan üzerinden geçirdi; bu adım, saldırıya uğrayan kontratı kara para ayağından ayırıyor.

Predict.fun, politik, spor ve kripto piyasası sonuçlarına USDT ile bahis alan bir platform, dolayısıyla uygulama içinde tutulan bakiyeler herhangi bir protokol hazinesiyle birlikte kayıp yüzeyinde duruyor. Mikser sıçraması ise paranın geri kazanma şansını keskin biçimde düşürüyor: fonlar Tornado Cash'e ulaştığında adres bazlı takip, olasılıksal kümeleme analizine teslim oluyor. Yayınlanan uyarının bir izleme yargısı olduğunu, doğrulanmış bir hüküm olmadığını da ayrıca belirtmek gerekiyor; bu ayrım Salı günü boyunca da bozulmadı. Olayı BNB fiyatındaki herhangi bir hareketle bağlayan bir açıklama henüz yok ve Onchain Lens bir denetim firması değil, izleme hesabı olduğu için verdiği rakam, adres onaylandıkça değişebilen yürüyen bir toplam niteliğinde.

19 Kurban ve 105 ETH Sayıldı

Kurban tarafındaki bulgular da aynı rotayı işaret ediyor. dethective adıyla paylaşım yapan bir kullanıcı yaklaşık 5.000 dolar kaybettiğini bildirdi ve fonları alan cüzdan adresini yayımladı: 0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBa. Bu adres, ilk uyarının anlattığı önce aracı cüzdan sonra köprü örüntüsüyle uyumlu. Zincir üstü gözlemci Naeven'in ikinci sayımı ise Predict.fun'a bağlı en az 19 kurban tespit etti; birleşik kayıp yaklaşık 105 ETH, yani kabaca 260.000 dolar, bu fonlar da Ethereum'a köprülenip Tornado Cash'e gönderildi. Gözlemci, hâlâ bakiye tutan kullanıcıları paralarını derhal çekmeye çağırdı. Bu rakamın izleyicinin tahmininin altında kalması kolay açıklanıyor: sayım yalnızca adı belli kullanıcılarla ilişkili adresleri kapsarken izleyici işaretlenen her kontratı takip etti. Topluluk gönderileri daha çarpıcı bir ihlal biçimi anlattı; uygulama içi cüzdanlar boşalırken ayrı imza cüzdanları dokunulmadan kaldı. Bazı paylaşımlar gömülü cüzdan altyapısı sağlayıcısı Privy'nin adını verdi, ancak bu atıf doğrulanmış değil. Predict.fun'ı daha önce Binance'de araştırma ekibi liderliği yapan Dingaling kurdu, yatırımcılar arasında YZi Labs var; bah açıkken platformda bekleyen teminat, Venus gibi borç verme protokolleri üzerinden getiri de kazandırabiliyor. Salı öğleden sonra itibarıyla @predictdotfun hesabı ne bir açıklama yayımladı ne bir kesinti bildirimi yaptı ne de tazminat taahhüdü verdi. PeckShield, SlowMist ve CertiK dahil güvenlik firmalarından bağımsız bir teyit gelmedi ve platformun piyasa sayfaları gezilebilir durumdaydı. Platform, aksi yönde büyüyen bir BNB Chain ekosisteminin içinde duruyor: 200 milisaniyelik blokları hedefleyen L1 şartnamesinden 515.544 BNB tutan bir hazine aracına kadar.

Post-Mortem Yok, Sızma Kapısı Açık

İki sayım, yaklaşık 300.000 dolar ile ETH cinsinden kabaca 260.000 dolar, tek bir kara para rotasında buluşuyor; iki ayrı olaydan çok tek bir ihlal ihtimalini güçlendiriyor. İmza cüzdanlarının dokunulmadan kalması, uygulama içi bakiyelerin ise boşalması, kusurun uzlaşma kontratlarından ziyade gömülü cüzdan katmanındaki anahtar yönetimine işaret ediyor, ancak bunu yalnızca ekip teyit edebilir. İhlal noktası hâlâ belirsiz: bir olay incelemesi yok, resmi hesap sessiz, bir durdurma duyurusu yapılmadı ve mikser maruziyeti izleyicilerin izlediğinin ötesinde raporlanmadı. Artık bakiyesi kalan kullanıcıların fonları kendi kontrolüne alması gerekiyor; bunun için BNB Smart Chain'i MetaMask'e bağlamak, paraları kontrolündeki bir HD cüzdan yapısında saklamak, bayat onayları iptal etmek ve bir duyuru beklemek yerine temel DYOR kontrollerini uygulamak en sağlam adımlar.