Kuzey Kore bağlantılı akyıkıcılar Binance soygunundan 430 bin doları ev yapımı memecoinlerle akladı

NEAR Ağında Altı Tek Kullanımlık Jeton

Kuzey Kore'ye bağlanan akyıkıcılar, 6,4 milyar dolarlık Binance soygunuyla ilişkili yaklaşık 430.000 dolarlık transferi gizlemek için altı tek kullanımlık token oluşturdu. Blok zincir analitiği şirketi Elliptic'in eş kurucusu ve baş bilim insanı Tom Robinson tarafından kaleme alınan, 9 Kasım tarihli rapora göre operatörler, 5 Kasım ile 7 Kasım arasında FUK, OLCCL, MEILI, MMLI, DABI ve SINU adlı tokenleri basmış; her bir memecoin için yaklaşık 25 NEAR, yani kabaca 90 dolar ödemiş.

Plan, merkeziyetsiz bir borsadaki likidite havuzları üzerinden işletildi. Akyıkıcılar her tokeni kendi havuzunda NEAR ile eşleştirdi, ardından yaklaşık 117.000 çalıntı NEAR'ı bu havuzlardan geçirdi. Bir cüzdan kümesi tokenleri çalıntı kripto para ile satın alırken, ikinci bir küme aynı tokenleri havuza geri sattı ve gerçek varlıkları topladı. İki grup arasında havuz durduğu için hiçbir cüzdan doğrudan başka bir cüzdana para göndermedi; böylece alıcı hesaplar, soygun gelirinden çok kâr realizasyonu yapan sıradan yatırımcılar gibi görünebildi.

Hacmin neredeyse tamamı operasyona bağlı cüzdanlardan geldi; dış alıcılar tek bir tokenin işlem hacminde yüzde 1'in altında kaldı ve altı tokenin tamamında ticaret 8 Kasım'a kadar durdu. Bir token, "Elon 2028 President" yazısı altında Elon Musk'ın görselini taşıyordu; ancak Elliptic, Musk'ın tokenlerle herhangi bir bağlantısına dair bir işaret bulunmadığını belirtti. Diğer isimler standart kalıpları izliyordu: aralarında müstehcen bir şaka ve köpek temalı ekler vardı.

Bu teknik daha eski. Elliptic aynı kurguyu 2025 tarihli Bybit soygununun ardından da tespit etti; yöntemin açıklanan etkisi soruşturucuları oyalamak, çünkü ucuza basılan tokenler sonrasında bir kenara bırakılıyor. Şirketin değerlendirmesine göre iz, zincir üzerinde yine de takip edilebilir; firma ayrıca uyum ekiplerini, bir likidite havuzundan gelen fonları varsayılan olarak temiz saymamaları konusunda uyardı.

7.000 ETH Tornado Cash'e Ulaştı

Memecoin rotası, çok daha büyük bir operasyonun küçük bir dilimi. Elliptic'in ayrı bir akyıkama takipçisi, 9 Kasım 13:15 UTC'de güncellenmiş haliyle çalıntı fonları 16 blok zincirinde 20.000'den fazla cüzdanda izliyor; en az 36 servise değen ve kabaca 65.000 işlemi kapsayan bir ağ çiziyor. 8 Kasım'dan bu yana soygunla bağlantılı cüzdanlar, yaklaşık 7.000 ETH, yani yaklaşık 15 milyon dolar değerinde varlık, Tornado Cash'e yatırdı. Bazı yatırımların kaynağı, coinjoin işlemlerinden geçtikten sonra ethere geri çevrilmiş bitcoin.

Yaklaşık 3.000 BTC, yani kabaca 225 milyon dolar, diğer çalıntı varlıklardan yapılan çevrimlerin ardından yeni oluşturulan adreslerde birikti; ana Bitcoin ve Ether varlıkları ise kımıldamadı. Tahminen 3 milyar dolar soygunla bağlantılı adreslerde duruyor, 2,85 milyar dolar dondurulmuş durumda ve fiilen nakde çevrilmiş miktar ihmal edilebilir düzeyde. FBI, 29 Perşembe günü gerçekleşen soygunu 31 Ekim'de Kuzey Kore'nin TraderTraitor grubuna bağladı ve THORChain operatörleri de dahil olmak üzere servisleri bağlantılı işlemleri engellemeye çağırdı. Hackerlar çalıntı varlıkları bite dönüştürmek için THORChain'i zaten kullanmıştı; bite ise hiçbir merkezi ihraççı dokunamıyor.

Binance, sızıntıya dair kendi hesabını 3 Kasım'da yayımladı ve sahte işe alım görüşmeleri ile elden geçirilmiş geliştirici yazılımına dayanan aylar süren bir sızma tablosu çizdi. Eylül'deki bir görüşme sürecinde bir mühendis, ödev deposunu iş bilgisayarına indirmiş; kötücül kod, uç nokta güvenliğini tetiklemeden meşru bir geliştirme aracının yerine geçmiş. 20 Ekim'de saldırgan bu makineyi ve dahili bir yapay zekâ aracını kullanarak iki cüzdan mühendisinin bilgisayarına ulaştı; sonra çalıntı konteyner dağıtım kimlik bilgileri cüzdan imzalama işlemlerine kapı açtı. Blockaid'in teknik bulguları, aktif olarak kullanılan cüzdanın ardışık sayaç değerlerini kapsayan 50 EIP-7702 yetkilendirmesinin tek bir işlemde gönderildiğini saptadı. Binance etkiyi 6,34 milyar dolar olarak açıkladı ve kayıpları karşılamak için tam tutarın üzerinde bir rezerv ayırdığını söyledi. İyileştirme de yönetişimden geçiyor: Arbitrum üzerinde dondurulmuş 8.425,997 ETH ve 74,56 milyon ARB, yalnızca DAO onayıyla yeniden hareket edebilir; Binance bu sürecin yedi hafta ya da daha uzun süreceğini tahmin ediyor.

Akyıkama tasarımı, önceki Kuzey Kore soygunlarının ardından zincir üstü kayıtların gösterdiği şeyi doğruluyor: gizleme iz sürmeyi yavaşlatır ama koparmaz. Havuz oluşturmadan Tornado Cash yatırımlarına kadar memecoin düzeninin her adımı açık defterlerde duruyor ve takipçi, kalan kabaca 3 milyar dolarlık geliri adreslenebilir cüzdanlara bağlıyor. Binance'in olay sonrası incelemesine göre kök neden sızan bir özel anahtar değil, zehirli bir geliştirme aracıyla gerçekleşen uç nokta ele geçirme; bu da düzeltme yükünü anahtar yenileme yerine operasyonel güvenliğe bindiriyor. 2,85 milyar dolar donmuş ve Arbitrum bakiyeleri DAO oylamasını beklerken, kurtarma artık soruşturma işi kadar yönetişim takvimine de bağlı.