Ledger İmplant Hırsızı, Görev Dolandırıcılığı Operatörünün 60'tan Fazla Bitcoin (BTC) Varlığını Süpürdü

Üç Soğuk Cüzdandan 60 BTC Tek Vuruşta Süpürüldü

60 BTC'den fazlasını barındıran ve o günkü Bitcoin (BTC) fiyatı seviyelerinde yaklaşık 4,8 milyon dolar değerinde olan üç Ledger soğuk depolama adresi, 9 Ekim Cuma günü her biri tek transferle boşaltıldı. Zincir üstü analitik firması Chainalysis, bu adreslerin sahibinin bir görev dolandırıcılığı (task scam) operatörü olduğunu tespit etti. Firma, 15 Ekim Perşembe akşamı X平台上 yayımladığı ayrıntılı gönderide bu mağduru, Ledger donanım implantı davasındaki en ağır tekil kayıplar arasında sıralıyor. Bu bulgu, iki ayrı suç ipliğini, yani dolandırıcılıktan elde edilen geliri ile cihaz manipülasyonunu, ilk kez tek bir para akışında birleştiriyor. Dava, Güneydoğu Asya'da manipüle edilmiş cihazlar kullanıcıların varlıklarını boşaltmaya başladığından beri açık; ancak bu güncelleme, en büyük tekil kayıplardan birinin kimin coinlerinden oluştuğunu gösteren ilk veri. Dolandırıcılığın senaryosu tanıdıktı, sonu ise soğuktu: İşe alınanlar gerçek ürünlerin sahte satışlarını ve yorumlarını yapmaları için para kazanıyordu, ardından negatif bakiyeyle karşılaşıyor ve bu borcu kapatmanın tek yolunun kendi paralarını yatırıp sözde kazançlarını serbest bırakmak olduğu söyleniyordu. Bu yöntemle çekilen gelirler 22 Eylül Salı günü üç ayrı Ledger adresine taşındı ve orada on yedi gün soğuk depoda bekledi; bir tür istemeyen HODL deneyimi, sonunda bir süpürme operasyonuyla noktalandı. Saldırgan, üç adresi de tek transferle, halihazırda çalıntı fon taşıdığı işaretlenmiş olan aynı hedef cüzdana boşalttı. Bu kümeleme, ele geçirilen miktarı zincirin izlenen kripto balina kümelerinin yanına yerleştiriyor. Coin başına 80.000 dolara yakın bir ortalama ile bu tek mağdurun kaybı, davada şimdiye kadar atfedilen en büyük tekil tutarlar arasında yer alıyor. Adresler, transfer zamanlaması ve ortak hedef cüzdan zincir üzerinde doğrulanabilir durumda; mağdurun kimliği ise yayımlanmadı ve analitik gönderi, bu bağlantının kamuya açık birincil kaydı olarak duruyor.

Casus İmplant, CryptoBilis ve Artan Toplam Zarar

Anahtarların cihazlardan hiç çıkmasına rağmen nasıl ele geçirildiği sorusunun cevabı, Ledger'ın kendi olay hesabında. Şirketin blog yanıtına göre suç grubu orijinal donanım cüzdanları satın alıyor, kutularını açıyor ve sahipleri cihazları ilk kurarken 24 kelimelik Ledger kurtarma anahtarını yakalamak için tasarlanmış gizli bileşenler takıyor; sonra manipüle edilmiş stok, Güneydoğu Asya'daki distribütörler üzerinden yeniden satışa sürülüyor. Böyle bir cihazın temel vaadi, tohum ifadesinin (seed phrase) güvenli ortamından asla çıkmamasıdır; bu gizli çip tam da bu vaadi çökertiyor, ifadeyi sahibi hiçbir şeyi doğrulayamadan, üretildiği anda okuyor. Şirket, kendi çiplerinin, işletim sisteminin ve sunucularının hiçbir zaman ihlal edilmediğini belirtiyor; bu da hatayı tamamen şirketin altyapısı yerine ikinci el satış tedarik zincirine yerleştiriyor. Elde edilen cihazların bağımsız incelemesi, gizli çipin ifadenin tamamını mobil şebeke üzerinden, LTE ya da bir eSIM ile iletebildiğini doğruluyor; yani tamamen çevrimdışı bir kurulum oturumu bile sızıntıyı engelleyemezdi. Şimdiye kadar doğrulanan her kayıp, CryptoBilis adlı bayinin sattığı cihazlara geri izleniyor. Davanın büyüklüğü konusunda Ledger hâlâ resmi bir toplam yayımlamadı. Yürütülen zincir üstü sayım, blockchain ağırlıklı olmak üzere altı zincirdeki 324 cüzdanda yaklaşık 102 milyon dolara ulaştı; olayın ilk günlerinde dolaşımdaki tahminler ise 93,2 milyon dolar ile 94,5 milyon dolar arasındaydı. Tether, olayla ilgili yaklaşık 10 milyon dolarlık USDT'yi dondurdu. İki rakam arasındaki fark, izlenen listeye yeni eklenen adreslerden geliyor ve bu toplamların tamamı, şirketin henüz doğrulamadığı zincir üstü tahminler olarak okunmalı.

Kurulum Anında Yakalanan Anahtar, Bitcoin'deki Bir Kırık Değil

Yatırım ile süpürme arasındaki on yedi günlük boşluk, bu dosyanın nasıl okunacağını belirleyen ayrıntı. 22 Eylül'de soğuk depoya giren coinler, 9 Ekim'de, implant dosyasının kitlesel çıkışlar ürettiği aynı gün boşaltıldı; bu zamanlama, anahtarın cihaz kurulumu sırasında ele geçirildiğine işaret ediyor, Bitcoin'in kendisinde bir kırık olduğuna değil. Olay bir tekrar oynatma saldırısı (replay attack) değil, bir kriptografik başarısızlık da değil; mnemonik, oluşturulduğu yerde okundu. Ledger kurtarma anahtarı bir kez sızdırıldığında soğuk depolamanın önemi kalmıyor, çünkü saldırgan anahtarlarla imza atıyor ve cihaza hiç ihtiyaç duymuyor. Kök neden bu olduğundan çözüm de buradan çıkıyor: Etkilenen distribütör kanalından alan herkes kurulumu tehlikede saymalı ve varlıklarını yeni üretilmiş anahtarlara taşımalı. Açık kalan tek nokta, ihlalin resmi bilançosu: Ledger implantı doğruladı ama hiçbir resmi zarar toplamı yayımlamadı.