Drift Protocol Hackerları 13.400 Ethereum (ETH)'ı Tornado Cash'e Taşıdı

Güncelleme 20:12 UTC: Onchain Lens kaydında paylaşılan döküm, kalan ganimetin nasıl tutulduğunu gösteriyor: saldırganla bağlantılı adreslerde 93.965 Ethereum (ETH), yaklaşık 224,04 milyon dolar değerinde; buna ek olarak 548.980 dolara yakın değerlenen 477.375 adet Ondo US Dollar Yield token'ı ve 1,33 SOL'lik artık bakiye bulunuyor. İzlenen toplam ise 224,59 milyon dolara ulaşıyor.

Drift Saldırganı 5, Tornado Cash'e 13.400 ETH Gönderdi

Geçen bahar Drift Protocol soygununa bağlanan cüzdanlar, yaklaşık iki aylık sessizlikten sonra yeniden hareketlendi. Salı günü zincir üstü takipçileri Onchain Lens ile Lookonchain, saldırganlara ait Arkham varlık panosundan hareketle son bir günde yeni bir karıştırıcı (mixer) depozito dalgası kaydetti. Analistlerin Drift Exploiter 5 olarak etiketlediği bir adres, 13.400 ETH'yi, yaklaşık 32 milyon doları, Tornado Cash'in sözleşmelerine aktardı. Adres, son iki ay boyunca kımıldamamıştı. Tornado Cash, yatırımları ve çekimleri tek bir havuzda birleştiren ve böylece zincir kaydında göndereni alıcıya bağlayan izi koparan bir karıştırma protokolü. Aynı pano, hesapta yaklaşık 195,25 milyon dolar kaldığını, bu tutarın büyük kısmının ether'da tutulduğunu gösteriyor. MistTrack de dahil olmak üzere analitik platformlarıysa ilgili cüzdanlardaki günlük toplam hareketi daha yukarıda, 25.700 ETH'ye kadar, yani yaklaşık 61,5 milyon dolar seviyesinde ölçüyor.

Depozitolar belli bir deseni izliyor. Her transfer tam olarak 100 Ethereum (ETH); takipçiler bu dilim boyutunun, Ethereum fiyatında keskin dalgalanmalar yaratmamak ve son satış noktalarının dikkat çekmemesi için seçildiğini söylüyor. Tek tip dilim, otomatik izleme araçlarının dayandığı o doğrudan gönderici-alıcı bağını da açık ledger'da zayıflatıyor. Karıştırıcılar, Ethereum gizlilik araçları ailesinin daha geniş bir parçası; Aztec Network gibi sıfır bilgi (zero-knowledge) yapıları ise aynı hedefe havuza yatırılan varlıklar yerine kanıtlarla yaklaşıyor. Bu, saldırganların ikinci büyük aklama kampanyası. Temmuz'da aynı cüzdanlar, benzer bir dilimleme yöntemiyle karıştırıcı üzerinden yaklaşık 44 milyon dolar çekmişti. Dokunulmamış olan daha büyük ödül: zincir üstü veriler, saldırgan bakiyelerinin hâlâ 82 bin ile 94 bin ETH arasında, yani 224 milyon dolara kadar değer taşıdığını gösteriyor. Kolluk kuvvetleri Ağustos'ta yalnızca 9,2 milyon doları dondurabildi; şu an karıştırıcıya geçen her dilim, yapılacak bir ek el koymayı hem teknik hem de hukuki olarak daha da güçleştiriyor.

Onchain Lens kaydında paylaşılan bir döküm, kalan ganimetin nasıl tutulduğunu ayrıntılarıyla ortaya koyuyor: saldırganla bağlantılı adreslerde 224,04 milyon dolar değerinde 93.965 Ethereum (ETH), buna ek olarak 548.980 dolara yakın değerlenen 477.375 adet Ondo US Dollar Yield token'ı ve 1,33 SOL'lik küçük bir artık bakiye var. İzlenen toplam 224,59 milyon dolar. Bakiyenin neredeyse tamamı ether'da duruyor; yani bu adreslerden gelecek her yeni hareket ETH olarak gelecek. Platform, rakamın yalnızca izlediği adresleri kapsadığını ve saldırganın ayrı kontrol edebileceği cüzdanlarla daha önceki transferlerle çıkmış fonların bu hesabın dışında kaldığını belirtiyor.

Altı Ay Hazırlık, 12 Dakikada 285 Milyon Dolar Boşaltıldı

Şimdi karıştırıcıda eriyen ether, 1 Nisan 2026 Çarşamba günü çalınmıştı. O gün Solana'nın bir Katman 1 blok zinciri üzerinde otomatik piyasa yapıcı (automated market maker) modeliyle çalışan merkeziyetsiz borsa Drift Protocol, 12 dakikada 285 milyon dolar kaybetti. Soygun yılın en büyükleri arasında yer alıyor ve soruşturma bulguları, olayı siber güvenlik çevrelerinde vaka çalışmasına dönüştüren bir hazırlık düzeyini anlatıyor. TRM Labs ve Chainalysis gibi blok zinciri istihbarat firmaları saldırıyı, Citrine Sleet adıyla da izlenen Kuzey Kore destekli UNC4736 grubuna bağlıyor. Operasyon altı ay boyunca kuruldu. Bu süre, grup harekete geçmeden önce örtü, bağlantı ve itibar inşa etmesine izin verdi. Grup meşru bir girişim fonu gibi göründü, Drift geliştiricileriyle uluslararası konferanslarda yüz yüze görüştü ve temiz bir sicil oluşturmak için kendi parasından 1 milyon doları platformun havuzlarına yatırdı. Son aşama, platformun ekibinin her gün kullandığı yazılım üzerinden ilerledi: Cursor ve VSCode'daki gizli açıklar, saldırganların borsanın Güvenlik Konseyi üyelerinin cihazlarını ele geçirmesini ve yönetici anahtarlarını kesmesine olanak verdi. Cursor ve VSCode, yazılım sektöründe yaygın biçimde kullanılan kod editörleri. Sahte bir CarbonVote token'ı ise kurgusal teminat görevi gördü, hazinenin arkasında duruyormuş gibi sunuldu ve platformun gerçek rezervleri bu görüntüye dayanarak çekildi. Bu dizi sayesinde saldırganlar anahtarlar eline geçtiği anda platformu 12 dakikada boşalttı.

Drift'in şu ana kadarki yanıtı bu kayıplara karşı mütevazı kalıyor. DFX token'ları üzerine kurulan bir tazminat programı, Tether'in desteğiyle oluşturulan bir geri alım fonuyla birlikte 1 Ekim Perşembe günü başladı. Program mevcut aşamada kullanıcıların net kayıplarının yalnızca yüzde 1'ini karşılıyor; ekip, çalınan paralar açık piyasada el değiştirmeye devam ederken havuzu gelecekteki platform gelirleriyle büyütmeyi planladığını söylüyor. Tam geri ödemeye açılan boşluğu kapatan bir takvim yayımlanmış değil.

Lookonchain'in güncellenmiş okuması, günün toplam karıştırıcı akışını ilk rapor edilenden yukarı taşıyor: cüzdan, Salı günü iki saat içinde Tornado Cash'e 25.700 ETH, yaklaşık 61 milyon dolar yatırdı ve Arkham artık bağlantılı adreslerin 194 milyon dolara yakın değerle 81.454 ETH tuttuğunu gösteriyor. Drift'in kendi olay bildirimleri kaybı yaklaşık 295 milyon dolar olarak dile getiriyor; bu, daha önce verilen 285 milyon dolarlık rakamın üzerinde. Borsa ayrıca Mandiant'ın adli incelemesinin saldırıyı, Kuzey Kore kaynaklı bir tehdit grubu olan UNC6862'ye bağladığını açıklıyor. DFX kurtarma havuzu 1 Ekim'de yaklaşık 3,1 milyon dolarla açıldı; kaynak, borsa geliri ve geri kazanılan fonlardan besleniyor. DefiLlama sömürüyü 2026'nın üçüncü büyük hack'i olarak sıralıyor; önünde 387 milyon dolarlık Bitget ihlali ile 320 milyon dolarlık Liquid Network sömürüsü var.

224 Milyon Dolarlık Arz Yükü

Karıştırıcı turu, anlık satış baskısından çok geri kazanım açısından önemli. Ganimetin ana kısmı Tornado Cash'e girdiğinde, Ağustos'ta dondurulan 9,2 milyon dolar neredeyse tüm el koyma sicili olarak kalıyor ve kalan bakiye, öngörülemeyen saatlerde ether olarak su yüzüne çıkabilecek bir arz yüküne dönüşüyor. Ethereum'un piyasa değerinde bir varlık için bu damla tarzı akış gürültü sayılmaz. Baskı, masamızın zaten izlediği akışların üzerine binen Hypeflow benzeri hareketlerle, örneğin yakın zamanda Hyperliquid'e yapılmış 20 milyon dolarlık bir USDC balina hareketiyle üst üste geliyor ve bölünmüş bir piyasaya düşüyor: Dan Gambardello, son bir aydaki yüzde 13'lük düşüşü olağan bir düzeltme olarak nitelendiriyor. Güvenlik araçları da paralelde büyüyor; Mastercard'ın stablecoin güvenlik riski aracı 2027'de devreye alınacak. Drift kullanıcıları için hesap ise daha zayıf: şimdiye dek yüzde 1'lik geri ödeme, bir yanda da açık piyasada el değiştirmeye devam eden çalınmış ether.