SquidSquad, BNB Akıllı Zincirinde Kurumsal Bir Cüzdandan 2,84 Milyon Dolar Boşalttı

8 Ekim'de Kurumsal Bir Aktörün Cüzdanı Boşaldı

BNB Akıllı Zincir üzerindeki kurumsal bir kripto para aktörünün cüzdanından 8 Ekim'de yaklaşık 2,84 milyon dolar boşaltıldı ve 21 Ekim Çarşamba günü yayımlanan izleme çalışmasında bu hırsızlığın Kuzey Kore bağlantılı SquidSquad grubuna dayandığı öne sürüldü. İzlemenin kaynağı, kripto borsası dışındaki düzenleme çevrelerini iyi bilen zincir üstü araştırmacı ZachXBT. Eldeki bulgular, ele geçirilen paraların birkaç ara cüzdandan geçtikten sonra Çin merkezli tezgah üstü (OTC) kripto satıcılarına bağlı adreslere ulaştığını gösteriyor. ZachXBT, transferlerde kullanılan cüzdanlarla daha önce Kuzey Kore'ye bağlı operatörlere atfedilen adresler arasındaki finansal bağları tespit etti ve SquidSquad etiketi bu örtüşmeye dayanıyor. Yani elimizde kesin bir mahkeme kararı değil, bir zincir üstü atıf var; güven düzeyi, önceki Kuzey Kore faaliyetiyle cüzdan düzeyindeki örtüşmeye yaslanıyor, içeriden bilgi iddiasına değil. Zarar gören kurumun kimliği açıklanmadı, varlıkların nasıl ele geçirildiği de açıklanmadı. Aktörün kaybı yetkililere bildirdi mi, bilinen bir kamuya açık kayıt yok. İlk ele geçirme anının nasıl gerçekleştiği de yayımlanan bulgularda yer almıyor: imza anahtarlarının mı, bir çalışanın cihazının mı yoksa üçüncü taraf bir entegrasyonun mu başarısız olduğu henüz bilinmiyor. Herhangi bir saklama (custody) platformunun ya da sağlayıcının kaybı bağımsız olarak doğrulayan bir açıklama da yok. Zincir üstü hareketler, saldırganın ele geçirdiği paraların kontrolünü kırılmanın ardından yaklaşık iki hafta elinde tuttuğunu, ilk büyük hareketin ise yalnızca 20 Ekim'de geldiğini gösteriyor. O ana kadar varlıklar blok zinciri üzerinde görünür bir iz bırakmadı. Yayımlanan bulgularda BNB fiyatına ya da ağın işleyişine dair bir olumsuzluk yok; ele geçirilme, BNB üzerindeki tek bir kurumsal aktörün saklama katmanında gerçekleşmiş durumda.

Tornado Cash ile 1.111,2 ETH Taşındı

20 Ekim'deki hareket, zincirin şu ana kadarki en yoğun adımı oldu. Saldırgan, gönderen ve alan cüzdanlar arasındaki görünür bağı koparan bir gizlilik protokolü olan Tornado Cash'e 1.111,2 ETH yatırdı, ardından üç ayrı Ethereum adresine çekti. Oradan varlıklar, Tether'ın dolara sabitlenmiş sabit kripto parasının (stablecoin) ağlar arasında doğrudan, kullanıcıların normalde zincirler arası köprüler üzerinden kurduğu yönlendirmeye gerek kalmadan taşınmak üzere tasarlanmış sürümü USDT0 üzerinden Tron'a geçti. Transferler TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU ve TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux numaralı iki Tron adresinde birleşti; her iki adres de daha önce Kuzey Kore operasyonlarına bağlanan adreslerle işlem örtüşmesi gösteriyor. Bu birleşmenin ardından dakikalar içinde fonlar ara cüzdanlardan geçip Çin merkezli OTC satıcılarına atfedilen adreslere ulaştı. Bu hız, dondurma emrini geçiştirme çabası olarak okunuyor: Tether, desteklediği ağlardaki adreslerdeki USDT bakiyelerini kısıtlayabiliyor. Bulgular, operatörlerin parayı fiat paraya çevirip çevirmediğini, yani genellikle kripto parayı nakde çevirme olarak tanımlanan adımı atıp atmadığını ortaya koymuyor; çalınan varlıkların bir kısmının o tarihten bu yana dondurulmuş olup olmadığı da belirsiz. 2026 tarihli Kuzey Kore kripto para tehdit değerlendirmesi, SquidSquad'i kripto kurucularına, yöneticilerine ve servetli yatırımcılara yönelik kampanyalara bağlıyor. Grup, Telegram ve LinkedIn'te girişim sermayedarlarını, yatırımcıları ve iş ilişkilerini taklit ederek kötü amaçlı belge ya da yazılım dağıtıyor; araştırmacılar onu RustBucket, SwiftBucket ve NimDoor kötü amaçlı yazılım aileleriyle ilişkilendirdi ve Tornado Cash, çalınan fonların taşınmasında kullanılan servisler arasında listelendi. Vaka, ZachXBT'nin 2025'teki 1,5 milyar dolarlık Bybit hırsızlığıyla bağlantılı işlemleri izlerken bir müşteri gibi davranıp 349.700 dolar harcadığını söylediği 5 Ekim'deki açıklamanın peşine düşüyor: o çalışma, 1 milyar doların üzerinde işlem yaptığı ileri sürülen Çin merkezli bir operasyona işaret etti ve Tether, orada ortaya çıkarılan cüzdanlarla bağlantılı 442.000 USDT'yi dondurdu. Mandiant'ın Kuzey Kore grubu UNC6862'ye attettiği 285 milyon dolarlık Nisan ayındaki Drift Protocol sömürüsüyle bağlantılı cüzdanlar da aynı gün, 61,56 milyon dolar değerinde 25.700 ETH'yi Tornado Cash'e taşıdı; iki vaka arasındaki bir koordinasyon ise ortaya konmuş değil. Benzer bir yol 2024'teki yaklaşık 50 milyon dolarlık Radiant Capital hırsızlığında da izlendi; Ekim 2025'e kadar CertiK, o saldırıyla bağlantılı cüzdanlardan karıştırıcı üzerinden 2.834 ETH, kabaca 10,8 milyon dolar saydı ve Radiant Haziran 2026'da faaliyetini sonlandırdı. BNB Akıllı Zincir üzerindeki güvenlik baskısı bu vakadan önce de vardı; ağdaki Cysic köprüsünün durdurulması haberini COINOTAG ayrıca ele almıştı.

Konsolidasyondan OTC Masalarına Dakikalar

Bu dosyada başlıktaki rakamdan daha çok iki ayrıntı tartılacak. Biri zamanlama: Tron'daki birleşmeden OTC masalarına dakikalar, günler değil, ayrıldı ve bu temponun amacı Tether'ın verebileceği bir dondurma emrini geçmek. Diğeri çıkış rotası. blok zinciri düğümü işleten herkes zincirin her adımını görebiliyor, ama iz yine de yayımlanan bulguların dışındaki karşı taraflarda bitiyor; fonların geri kazanma şansı tam da orada inceliyor. BNB'nin piyasa tarafı, ayrıca ele aldığımız BNB teknik analizi ve 37. çeyreklik otomatik yakım gibi arz olayları üzerinden kendi sürücüleriyle ilerliyor. Güncel açıklama itibarıyla 2,84 milyon doların çevrilmiş, dondurulmuş ya da kurtarılabilir olup olmadığı bildirilmedi.