Predict.fun, 29 Cüzdandan Alınan 400 Bin USDT'yi Tamamıyla Geri Ödeyeceğini Açıkladı

Doğrudan Kayıplar İçin Tazminat Sözü

Tahmin piyasası platformu Predict.fun, cüzdan olayında doğrudan zarar gören kullanıcılara tazminatın tamamını ödeyeceğini duyurdu ve hasarı yaklaşık 400.000 USDT olarak açıkladı. Bu tutar, Tether tarafından ihraç edilen ve dolara endeksli stablecoin türü varlığa denk geliyor. 27 Ekim Salı günü yayımladığı açıklamada şirket, az sayıda kullanıcı cüzdanında yetkisiz aktarımlar meydana geldiğini, geri ödeme taahhüdünün de doğrudan zarar gören herkesi kapsadığını bildirdi. Dikkat çekilen nokta şu: Açıklanan rakam hasarın büyüklüğünü gösteriyor, ödemelerin tamamlandığı anlamına gelmiyor. Söz konusu taahhüt yalnızca doğrudan kayıp yaşayan kullanıcıları içeriyor ve şirket bunu tamamlanmış bir ödeme değil, bir bağlılık olarak sunuyor.

Kayıplar iki dalga halinde birikti. İlk aktarımlar 22 Ekim Perşembe günü, ikinci grup ise 27 Ekim Salı günü gerçekleşti ve toplam 29 kullanıcı cüzdanından para çekildi. Blockchain üzerinden takip edilen USDT fiyatı bu süreç boyunca dolar çapasını korudu; yani yaşanan bir piyasa hareketi değil, saklama ve anahtar güvenliği kaynaklı bir arıza. Predict.fun'ın ilk değerlendirmesi, giriş noktası olarak harici bir tedarikçinin barındırdığı API dokümantasyon sitesinde kısa süreli bir ele geçirilme olasılığına işaret ediyor ve şirket söz konusu siteyi soruşturma bitene kadar çevrimdışına aldı. Ancak şirket, dokümantasyon sitesindeki ihlalin başlangıç bir yargı olduğunu vurguluyor; o siteden yetkisiz cüzdan aktarımlarına uzanan yol henüz doğrulanmış değil. Platform, kaç kullanıcının etkilendiğini, ödemelerin ne zaman tamamlanacağını ve etkilenen cüzdanların ortak bir altyapı ya da servis sağlayıcı paylaşıp paylaşmadığını açıklamadı. Soruşturma kapanınca olayların gidişatını ve tekrarı önlemek için alınan önlemleri ortaya koyan bir sonraki adım, şirket bunun yayınlanacağını taahhüt etti.

Tornado Cash Üzerinden Zincir Üstü İz

Zincir üstü analiz firması Bitquery, BNB Chain işlem kayıtlarını inceledi ve toplam 397.708 USDT tutan iki çıkış dalgası hesapladı. Bu toplam, Predict.fun'ın açıkladığı yaklaşık 400.000 USDT'ye yakından oturuyor. 22 Ekim'deki ilk dalga, altı cüzdan üzerinden 125.029 USDT taşıdı. 27 Ekim itibarıyla ölçülen ikinci dalga ise 272.679 USDT'ye ulaştı. Bu ikinci dalganın içinde firma, 19 cüzdanı terk eden yaklaşık 262.000 USDT'lik çıkışı 34 dakikalık bir aralıkta kaydetti; bu yoğunlaşma, elle yapılan çekimler yerine betikle yürütülen bir operasyona işaret ediyor. Boşalan 29 cüzdan toplamı, fonun terk ettiği adresleri sayıyor, etkilenen kullanıcı sayısını değil; çünkü tek kullanıcı birden fazla adres işletebiliyor.

En çarpıcı bulgu imzaların niteliği: Bitquery'nin 33 yetkisiz aktarım üzerine yaptığı analiz, her birinin boşaltılan cüzdanın kendi sahibi anahtarıyla imzalandığını gösteriyor. İşlemlerden hiçbiri Predict.fun'ın piyasa ya da işlem kontratlarını çağırmadı. Her private key imzası, aktarım anında karşı tarafın cüzdana hâkim olduğunu kanıtlıyor; ancak zincir üstü kayıtlar o anahtarların kimde olduğunu ya da nasıl ele geçirildiğini göstermiyor. İz sürme çalışması, paranın bir bölümünün BNB Chain'den Ethereum ağına, oradan da fonun kaynağını gizlemek için tasarlanmış bir kripto mikseri olan Tornado Cash'e aktarıldığını ortaya koydu; soruşturma notu miksere 166,8 ETH yatırıldığını kaydediyor. Fon akışları tek başına parayı kimin hareket ettirdiğini söylemiyor. Predict.fun açıklamasını yayımladıktan yaklaşık bir saat sonra ayrı bir hesaptan 4.900 USDT daha çekildi ve firma bu aktarımı genel toplamına dahil etti. Bu profildeki boşaltmalar bu yıl sektörde tekrarlandı: Güvenlik araştırmacılarının bayrakla işaretlediği 4,85 milyon USDT'lik Ethereum boşaltması ve CoinDCX'te kullanımdan kaldırılan cüzdanlardan 15,99 milyon USDT'lik kayıp bunların başında geliyor.

Kimlik Anahtarı İmzaları Protokol Dışına İşaret Ediyor

Beş güne yayılmış, her biri bireysel sahip anahtarıyla imzalanmış ve platformun kontratlarına hiç dokunmamış 33 aktarım, protokol düzeyinde bir zafiyet yerine kullanıcı anahtarlarının ele geçirilmesi ihtimalini güçlendiriyor. Aralıklı zamanlama, tek bir sızdırılmış seed phrase senaryosuna da karşı konuşur: Tek bir kurtarma ifadesi genellikle tüm cüzdanları aynı anda açar; anahtar başına ele geçirilme, örneğin oltalama, kayıtlarla daha iyi örtüşüyor. Güvenlik araştırmacıları, USDT toplamak için kurulan körü körüne imza tuzaklarında ve sahte sitelerde bu örüntüyü defalarca belgeledi. Bugüne kadar alınan önlemler sınırlı: Şüpheli dokümantasyon sitesi kapalı ve tazminat sözü kayıtlara geçmiş durumda. Açıkta kalanlar ise daha büyük: Doğrulanmış bir saldırı vektörü, 29 ayrı anahtarın nasıl elde edildiğine dair bir açıklama ve tamamlanmış ödemeler. Predict.fun'ın sonraki adım raporu henüz bir niyet, yayımlanmış bir sonuç değil.