CryptoBilis'in Casus Çipli Ledger Cihazları Task Dolandırıcısından 60 BTC (4,9 Milyon Dolar) Çekti

Güncelleme 12:59 UTC: Ledger, iyileştirme rehberliğinin yanına bir tedarik zinciri açıklaması da ekleyerek altyapısında, sistemlerinde ya da resmî doğrudan satış kanallarında bir ihlale dair hiçbir belirti bulamadığını belirtti; bu durum, kurcalamanın fabrika ile alıcı arasındaki dağıtım ayağında gerçekleştiğini…

Üç Ledger Cüzdanından 60 BTC Boşaltıldı

Güneydoğu Asya'daki distribütör CryptoBilis'in sattığı Ledger donanımlarına iliştirilen bir tedarik zinciri ihlali, ironi yönünden sert bir kurban buldu. Sahte online iş ilanlarıyla insanları kandıran ve bu yolla milyonlarca dolar biriktiren bir görev dolandırıcılığı (task scam) işletmecisi, saldırganların ele geçirilmiş Ledger cihazlarına yüklenmiş üç cüzdanı boşaltmasıyla Bitcoin (BTC) cinsinden 4,9 milyon doların üzerinde parayı kaybetti. Zincir analizi firması Chainalysis, olayı Perşembe günü X'te yayımladığı bir gönderide açıklayarak kişinin parayı sahte görev dolandırıcılığı dediği yöntemle topladığını belirtti. Bu şema, üye aldığı kişilere başlangıçta küçük ödemeler yapıyor; genellikle sahte ürün incelemeleri yayınlamak ya da çevrimiçi satış rakamlarını şişirmek için ödeme alıyor. Ardından mağdurun hesabının negatif bakiyeye düştüğü, varsayılan kazancı çekebilmesi için kendi parasını yatırmak zorunda olduğu söyleniyor. İşletmeci, bu operasyondan elde ettiği paraları üç Ledger cüzdan adresine taşıdı ve saldırganlar 60 BTC'nin tamamını süzdü; toplam değer 4,9 milyon doların üzerinde. İhlal, CryptoBilis dağıtım kanalında sınırlı kalıyor ve Ledger donanımının bütününe sirayet etmiyor: araştırmacılar, etkilenen cihazların içinde mobil şebeke üzerinden cüzdan kurtarma bilgisi iletme yeteneğine sahip yetkisiz çipler buldu. Kurtarma verisi, kayıp ya da değişim sonrası bir kripto cüzdanını geri getiren şeydir ve bu veri cihazdan çıktığı anda, cüzdana neyin kaydediliyorsa kontrolü onu alan kişiye geçer. Dolayısıyla çipler, saldırganlara etkilenen cihazlarda ne varsa doğrudan erişim sağladı. Henüz bilinmeyen taraf ise maruziyetin büyüklüğü: çipli cihaz sayısı da CryptoBilis'in bu ürünleri hangi tarih aralığında sattığı da şimdiye dek yayımlanan hiçbir materyalde yer almıyor; risk altındaki cihaz sayısı açık bir soru olarak duruyor.

Kaybın arkasındaki görev dolandırıcılığı basit bir tırmanma mantığıyla işliyor. Hedefler sahte online iş ilanlarına yanıt veriyor ve küçük görevler karşılığında ödeme alıyor; en sık senaryo ürün yorumu yazmak ya da satış rakamlarını şişirmek. Ödeme düzeni güven oluşturduğunda platform, hesabın negatif bakiyeye düştüğünü iddia ediyor ve hiçbir kazanç serbest kalmadan önce yatırım talep ediyor; dolandırıcılık mikro ödemelerden tam yatırımlara burada dönüşüyor. Arayüzün arkasında gerçek spot işlemler hiçbir biçimde yürütülmüyor: kazançlar yalnızca dolandırıcıların kontrol panelinde var ve ilk ödemeler, mağdurları kendi paralarını yatırmaya devam ettiren fırsat kaçırma korkusunu (FOMO) tetiklemek için tasarlanmış durumda. Bu operasyonu yürüten kişi bu yolla milyonlarca dolar biriktirdi, sonra tablolar tersine döndü. Chainalysis'in takibi paraları üç Ledger cüzdan adresine kadar taşıdı ve hırsızlar üçünü de eksiksiz boşalttı. Hikâyenin asıl ağır bölümü donanım tarafında. Bir Ledger cihazı, cüzdanı geri yükleyen kelime dizisi olan kurtarma ifadesinin (recovery phrase) normal işleyişte güvenli çipten asla çıkmayacak biçimde tasarlanıyor. CryptoBilis üzerinden satılan cihazlarda bulunan çipler bu varsayımı kırarak kurtarma bilgisini mobil şebeke üzerinden iletti; yani hırsızlık için kimse avlanmıyor, bağıtlı bilgisayara kötücül yazılım kurulması ya da cihaz sahibinin hata yapması gerekmedi. Etkilenen donanımı elinde tutmak, üzerinde saklanan her şeyi kaybetmek için yeterliydi. Kamuya açık kayıtlarda hırsızların kimliği yok; çipli cihaz sayısı ya da satış dönemi için bir rakam da yayımlanmadı. 4,9 milyon dolarlık kayıp, kendisi de suç kapsamına giren tek bir kurbanın üzerinden doğrulanmış en net zarar olarak duruyor.

Boşaltmanın zincir üstü zamanlaması netleşti: işletmeci, elde ettiği paraları 22 Eylül Salı günü üç Ledger adresinde birleştirdi; bakiyeler 9 Ekim Cuma'ya dek durmadan korundu, o gün her üçü tek seferlik transferlerle önceden çalınmış fon barındırdığı işaretlenmiş bir cüzdana boşaltıldı. 60 BTC'lik kayıp, CryptoBilis üzerinden satılan cihazlarda çok daha geniş bir ihlalin içine oturuyor; Bitquery, bu ihlalin toplam zararını yaklaşık 102 milyon dolar olarak hesaplıyor. Bu tutarın içinde Tron ağı üzerinden yaklaşık 79,3 milyon dolar USDT ile Ethereum, Tron ve Bitcoin (BTC) ağlarına dağılmış, değeri 16,8 milyon dolara yakın yaklaşık 203,8 BTC bulunuyor. Ledger, son 90 gün içinde distribütörden cihaz alan kullanıcılarına yeni bir kurtarma ifadesiyle kurulum yapmaları yönünde uyarıda bulundu; Tether ise hırsızlıklarla bağlantılı yaklaşık 10 milyon dolar USDT'yi dondurdu, Chainalysis de aklama akışını Tornado Cash, Zcash, köprüler ve stabilcoin transferleri üzerinden izliyor.

Chainalysis'in 16 Ekim'de yayımladığı daha ayrıntılı anlatım ironiyi keskinleştirirken rakamı da düzeltiyor: görev dolandırıcılığı işletmecisinin çalınmış bitcoin varlığı artık yaklaşık 4,8 milyon dolar değerinde; ilk sırada öne çıkan 4,9 milyon dolarlık okuma hafifçe revize edildi. Firma, kaybın daha geniş Ledger hırsızlığını takip ederken ortaya çıktığını belirtiyor. Süzülen paraların gittiği adresin kendi ayrıntısı da var: 9 Ekim'deki üç transferin tamamını tek cüzmüde toplayan adres, önceden hırsızlık geçmişi gösteriyordu; yani dolandırıcının kazancı başka bir suçlu oyuncunun eline geçti ve daha önce çalınmış fon nedeniyle işaretlenmiş adreslerden geçti. Chainalysis'e göre bu örüntü, çalınan paranın kurulu hırsızlık izleri taşıyan adresler arasında rutin biçimde dolaştığını gösteriyor ve işletmeci, ilk hırsız ile 60 BTC'nin şu anki sahibi aynı aklama zincirinin içinde kalıyor.

Chainalysis'in yayımladığı grafik, akışa bir yönlendirme ayrıntısı daha ekliyor: dolandırıcılıktan gelen paralar, üç Ledger adresine ulaşmadan önce bir konsolidasyon cüzdanından geçti ve her adres, boşaltıldığı anda yaklaşık 1,64 milyon dolar tutuyordu. Firma, dolandırıcının cihazları nereden aldığı konusunda hiçbir bilgi paylaşmadı. İzleme çalışmasına paralel olarak Ledger'in Donjon güvenlik ekibi, çiplin kurulum sırasında 24 kelimelik kurtarma ifadesini ekrandan okuduğunu ve LTE üzerinden ilettiğini bildirdi; Ledger de doğrulanmış tüm kayıpların CryptoBilis üzerinden satılan cihazlara bağlı olduğunu açıkladı. Salı günü Ledger, altı Güneydoğu Asya ülkesindeki ve Hong Kong'daki satıcı ile distribütörlerinden cihaz satışını durdurmasını istedi; zincir üstü araştırmacı Specter ise şüpheli hırsızlıklarda 86 milyon doların üzerinde bir tutarı izledi, Ledger bu rakamı soruşturma sürerken doğrulamadığını belirtiyor.

Ledger, iyileştirme rehberliğinin yanına bir tedarik zinciri açıklaması da ekleyerek altyapısında, sistemlerinde ya da resmî doğrudan satış kanallarında bir ihlale dair hiçbir belirti bulamadığını belirtti; bu durum, kurcalamanın fabrika ile alıcı arasındaki dağıtım ayağında gerçekleştiğini gösteriyor. Şirketin, son 90 gün içinde CryptoBilis üzerinden cihaz satın alanlara yönelik tavsiyesi duruma göre ayrışıyor: açılmamış cihazların hiç başlatılmaması, halihazırda kurulum yapılmış ve varlık tutan cihazların fonlarının ise ayrı, güvenli bir cüzdana taşınması gerekiyor. Alıcılara ayrıca yalnızca resmî ya da yetkili kanallardan satın almaları, paketi teslimatta denetlemeleri ve önceden yapılandırılmış ya da üzerinde yazılı bir kurtarma ifadesi (recovery phrase) gelmiş bir cihazı asla kullanmamaları söyleniyor.

Etkilenen Cihaz Sayısı Hâlâ Açık

Zincir üstü kaydın bizim okumamızda bu olay, sınırları belli ama tamamlanmamış bir dosya olarak duruyor. Boşaltılan tutar, üç adresteki 60 Bitcoin (BTC), doğrudan zincir üstünden doğrulanabilir ve izleme bu adresleri görev dolandırıcılığı işletmecisine bağlıyor; kayıp tarafı tahmin değil, birincil kanıta dayanıyor. Çözülmemiş kenar daha yukarıda: açıklanmış bir cihaz sayısı ya da satış dönemi olmadan, CryptoBilis üzerinden Ledger alan ve hâlâ cihazında fon tutan herkes, kamuyla paylaşılan materyalden kurtarma verisinin cihazdan çıkıp çıkmadığını bilemez. Seri numarası düzeyinde bir kapsam ya da doğrulanabilir bir iyileştirme adımı yayımlanana kadar maruz kalan kitle sınırsız kalıyor ve boşaltılan üç cüzdan, doğrulanmış tek uç nokta olarak duruyor.