ZachXBT, AB'li Kuruluştan Çalınan 106 Milyon Dolarlık Kripto Parayı Monero'ya Kadar İzledi

USDC'den Ethereum'a, Oradan Monero'ya

Çalınan dijital varlıkların 106 milyon doları, merkezi borsa hesaplarından çıkıp blockchain üzerinden Ethereum'a, oradan da gizlilik odaklı Monero'ya uzanan bir güzergâha yerleşti. Zincir üstü araştırmacı ZachXBT vakayı 2 Kasım'da duyurdu: adı açıklanmayan bir Avrupa Birliği kuruluşunun, birkaç merkezi borsada tuttuğu hesaplardaki fonlar bir gün önce, 1 Kasım'da, USDC ve USDT biçiminde usulsüz şekilde çekilmişti. Mağdur kurumun kimliği açıklanmadı, olaya karışan platformlardan hiçbiri isimlendirilmedi ve şu ana dek bir geri kazanım haberi gelmedi. Rota üzerinde belgelenen ilk adım, USDC'nin Ether'e (ETH) dönüştürülmesiydi; yani stablecoin'ler (sabit değerli kripto para) emanetten ayrılmasının ardından neredeyse hemen takas edildi ve elde edilen fonlar anlık takas servisleri üzerinden aktarıldı. Bu servisler arasında raporda WellWallet ve Kyrrex isimleri öne çıkıyor. Sonrası zincirin devamı şeklinde işledi: fonlar birden çok ağ arasında geçiş yaptı ve Wagyu adlı bir köprü protokolü servisi, ele geçen miktarın bir bölümünü Monero'ya (XMR) çevirdi. Güzergâhın baştan sona okunabilir kalan tek bölümü Ethereum ayağı; çünkü bu hat üzerindeki her aktarım zaman damgasıyla ve adresiyle kamuya açık kayıtta duruyor. Monero (XMR) ise tam tersine bu amaçla tasarlandı: blockchain yapısı her aktarımda göndereni, alıcıyı ve tutarı gizliyor, bu yüzden izin kaybolması gerektiğinde çalınan fonların yönü sık sık ona çevriliyor. Bu şeffaflık farkı, vakayı sıradan bir borsa ihlalinden ayırıyor; zincir üstü izlemenin nasıl işlediğini Etherscan incelememizde ayrıntılı anlatmıştık. İllüzyonun ilk halkası olan anlık takas servislerinin seçimi de ehemmiyet taşıyor: bu platformlar, varlıkları büyük bir borsanın sekiz haneli taze bir çekim talebine uyguladığı bekleme sürelerine ve kimlik kontrollerine takılmadan hızla dönüştürüyor. Büyük bir bakiyeyi çok sayıda adıma bölmek ise her seferinde sıradan bir gas ücreti ödemekten fazlasına mal olmuyor.

ZachXBT, çalının arkasında Lazarus Group'un, yani Kuzey Kore bağlantılı siber saldırı kümesinin bulunma olasılığını "son derece düşük" olarak değerlendirdi. Bu yargıyı kurbanın profilinden değil, aklama yönteminin kendisinden çıkardı. Karar, bir haftanın üstüne bindi. 29 Ekim Perşembe günü Binance'te kabaca 6,3 milyar dolar büyüklüğünde bildirilen bir çıkış yaşandı ve FBI resmî bir açıklamayla o saldırının arkasında Kuzey Kore'yi gösterdi. İki vakanın ayrımının tartıldığı nokta tam da burası: devlet bağlantılı bir küme, çaldığı fonları genellikle zaman içinde eriyebileceği araçlar üzerinden yavaş yavaş piyasaya sürüyor. Aynı günlerde kripto platformlarına yönelik saldırılar da üst üste geldi. Brezilya'nın büyük borsalarından Mercado Bitcoin, sistemlerinden birinde güvenlik olayı tespit etmesi üzerine 2 Kasım Pazartesi günü para yatırma ve çekme işlemlerini askıya aldı; borsanın kendi duyurusunda müşterilerin zarar görmediği ve veri sızmadığı belirtildi. Blockchain güvenlik şirketi Hypernative ise şirkete bağlı cüzdanlardan 40 milyon doların üzerinde fonun boşaltıldığını tahmin ediyor. Açık kaynaklı Bitcoin ödeme altyapısı BTCPay Server, kendi kendine barındırılan örneklerin hot cüzdanlarından yetkisiz çekimler yapıldığı yönündeki haberlerin ardından 1 Kasım'da işletmecilere ödeme sunucularını durdurmalarını söyledi. Proje tasarım gereği kullanıcıların kendi sunucularında çalıştığı için etkilenen alan işletmeciden işletmeciye değişti. Ekip, saldırıların 23 Temmuz 2026 Perşembe günü yayımlanan 2.4.1 sürümünden önceki sürümleri çalıştıran sunucuları hedeflediğini saptadı ve hâlâ eski sürümde kalanlara kalan tüm hot cüzdan bakiyesini başka bir yere taşımalarını, ayrı bir sunucuya taze bir cüzdanla geçmelerini tavsiye etti. Borsa hesabı, ödeme sağlayıcısı ya da işletmeci düğümü farketmeksizin hot cüzdanlar, haftanın olaylarının ortak paydası olarak öne çıkıyor.

Emanet Hesapları, Sözleşmeler Değil

Bu olay bir akıllı kontrat (smart contract) başarısızlığı değildi. Fonlar emanetçi borsa hesaplarında duruyordu ve çekimler üzerinden ayrıldı; Lazarus'un elenmesindeki gerekçe de bir kod istismarı değil, aklama tasarımının kendisiydi. Piyasadaki şeffaflık, bir balinanın beş saat içinde 62,97 milyon doları 27.553 ETH'ye dönüştürmesini herkesin izleyebilmesine ya da Kanye West bağlantılı bir cüzdanın Binance'ten 2.074 ETH'lik çekimini işaretlenebilmesine imkân veriyor; araştırmacının bu rotanın Ethereum ağı ayağını adım adım okuyabilmesi de aynı şeffaflıktan kaynaklandı. Wagyu üzerinden Monero'ya yapılan dönüşüm, görünürlüğün sona erdiği nokta. Okunamayan bu son ayak, zaten bütün operasyonun amacı. 2 Kasım tarihli rapor itibarıyla çalınan fonların belgelenmiş son konumu, Wagyu üzerinden Monero'ya yapılan zincirler arası dönüşüm; kayıtta ondan ötesine dair hiçbir iz bulunmuyor.