Binance’e yönelik 29 Ekim tarihli büyük saldırıda çalınan varlıkların hareketi yeni bir aşamaya geçti. Blokzincir analiz şirketi Elliptic’in 6 Kasım tarihli güncellemesine dayanan verilere göre saldırganlar, yaklaşık 42 milyon XRP’yi ağırlıklı olarak THORChain üzerinden Bitcoin’e dönüştürdü. İşlem sırasında dönüştürülen XRP’nin değeri yaklaşık 50 milyon dolar seviyesindeydi.
Binance’in 3 Kasım’da yayımladığı ilk olay raporuna göre saldırı sırasında beş sıcak cüzdandan saldırganın kontrolündeki adrese toplam 233,46 milyon XRP aktarılmıştı. Aynı saldırıda yaklaşık 970 bin 500 SOL, 44,2 milyon OP ve 18 bin 270 BTC de Binance cüzdanlarından çıkarılmıştı. Binance, olaydan etkilenen dijital varlıkların toplam değerini yaklaşık 6,34 milyar dolar olarak açıklamıştı.
6 Kasım itibarıyla saldırganlarla bağlantılı adreslerde yaklaşık 192 milyon XRP bulunmaya devam ediyor. Elliptic’in analizine dayanan verilere göre bu varlıkların değeri yaklaşık 226 milyon dolar seviyesinde. Böylece saldırıda çalınan XRP’nin yaklaşık 42 milyonluk bölümü farklı varlıklara dönüştürülürken, büyük kısmı hâlâ zincir üzerinde izlenebilir durumda.
XRP hareketleri 5 Kasım’da hızlandı
Saldırı sırasında 233 milyonun üzerinde XRP tek bir saldırgan adresine aktarılmıştı. Bu varlıkların önemli bölümü birkaç gün boyunca büyük ölçüde hareketsiz kaldı. Daha sonra bakiyenin altı yeni adrese dağıtıldığı, 5 Kasım itibarıyla ise bu adreslerden ikisinin XRP’yi çok sayıda yeni cüzdana yönlendirmeye başladığı bildirildi.
Yeni cüzdanlara aktarılan XRP’nin önemli bölümü cross-chain takas altyapısı üzerinden başka kripto varlıklara çevrildi. Bu işlemlerde özellikle THORChain öne çıktı. 6 Kasım sabahına gelindiğinde yaklaşık 42 milyon XRP’nin orijinal bakiyeden ayrıldığı ve büyük bölümünün Bitcoin’e dönüştürüldüğü bildirildi.
Bu hareket, saldırının ilk günlerindeki varlık dağılımından farklı bir aşamaya işaret ediyor. Çalınan varlıkların önemli bir kısmı artık yalnız saldırganların kontrolündeki cüzdanlarda tutulmuyor; farklı ağlar, protokoller ve yeni oluşturulan adresler üzerinden yeniden yapılandırılıyor.
Bitcoin adreslerinde 1.650 BTC birikti
Elliptic’in 6 Kasım değerlendirmesine dayanan verilere göre çalınan farklı varlıkların dönüştürülmesi sonucunda yeni oluşturulan Bitcoin adreslerinde yaklaşık 1.650 BTC birikti. Söz konusu Bitcoin’lerin değeri analiz sırasında yaklaşık 124 milyon dolar seviyesindeydi.
Bu tutarın tamamı XRP dönüşümünden kaynaklanmıyor. Solana, Ethereum ve diğer çalınan varlıklardan yapılan önceki dönüşümler de bu Bitcoin bakiyesine dahil. Ancak son artışta XRP’nin THORChain üzerinden Bitcoin’e çevrilmesi önemli rol oynadı.
Bitcoin bakiyesinin bir önceki güne kıyasla neredeyse iki katına çıkması, saldırganların varlıkları tek tek cüzdanlarda tutmak yerine daha geniş bir zincirler arası dönüşüm sürecine soktuğunu gösteriyor.
Bitcoin’e dönüşüm nakde çıkış anlamına gelmiyor
Buradaki en önemli ayrım, çalınan XRP’nin Bitcoin’e dönüştürülmesinin varlıkların nakde çevrildiğini göstermemesi.
Blokzincir üzerindeki veriler, saldırganların varlık türünü değiştirdiğini ve farklı ağlar arasında hareket ettirdiğini ortaya koyuyor. Elliptic’in değerlendirmesine göre çalınan fonların yalnız çok küçük bir bölümünün doğrudan harcanabilir para biçiminde sistem dışına çıkarılmış olması muhtemel.
Varlıkların büyük bölümü hâlâ açık blokzincirlerde bulunuyor ve bu nedenle hareketleri takip edilebiliyor. Bitcoin’e dönüşüm, belirli token ihraççılarının uygulayabileceği dondurma mekanizmalarını devre dışı bırakabilse de zincir üstü izlenebilirliği ortadan kaldırmıyor.
Bu nedenle Bitcoin’e geçirilen varlıkların sonraki aşamada merkezi borsalara, OTC kanallarına veya başka likidite noktalarına taşınıp taşınmayacağı araştırmanın kritik bölümlerinden biri olmaya devam edecek.
Doğrudan çalınan 18.270 Bitcoin hâlâ hareket etmedi
Binance’in ilk olay raporunda saldırganların doğrudan 18 bin 270 BTC’yi de kontrol ettikleri adrese aktardığı açıklanmıştı. 6 Kasım itibarıyla bu büyük Bitcoin bakiyesinin hareket etmediği bildiriliyor.
Benzer şekilde çalınan Ethereum varlıklarının da büyük bölümü henüz taşınmış durumda değil. Bu nedenle şu ana kadar görülen zincirler arası dönüşümler toplam saldırı büyüklüğünün sınırlı bölümünü temsil ediyor.
Elliptic’in güncel analizine dayanan verilere göre saldırıyla bağlantılı hareketler 20 binden fazla cüzdan, 16 blokzincir, en az 36 servis ve yaklaşık 65 bin işlem üzerinden izleniyor. Bu ölçek, tek bir saldırgan adresini takip etmenin yeterli olmadığı, varlık hareketlerinin çok sayıda zincir ve hizmet arasında izlenmesi gereken bir sürece dönüştüğünü gösteriyor.
Zincirler arası altyapı finansal suç takibini zorlaştırıyor
Saldırganların farklı blokzincirleri, merkeziyetsiz borsaları ve cross-chain servisleri birlikte kullanması, kripto varlıkların izlenmesinde yeni bir operasyonel sorun yaratıyor.
Tek bir blockchain üzerinde gerçekleşen transferler görece kolay biçimde takip edilebilirken, varlıkların farklı tokenlara çevrilmesi ve başka ağlara aktarılması araştırmacıların çok sayıda altyapıyı aynı anda izlemesini gerektiriyor.
Bu nedenle THORChain gibi zincirler arası işlem altyapılarının bu saldırıda öne çıkması önemli. Burada söz konusu olan platformların doğrudan saldırıya dahil olması değil; saldırganların mevcut blockchain altyapısını varlıkları farklı ağlara dağıtmak için kullanması.
Bu yapı finansal suçlarla mücadelede yalnız cüzdan adreslerinin takibini yetersiz hale getiriyor. Borsalar, blockchain analiz şirketleri ve kolluk kuvvetlerinin varlığın kaynağını zincirler arasında takip edebilmesi gerekiyor.
Binance 2,85 milyar dolarlık varlığın dondurulduğunu açıkladı
Binance, 3 Kasım tarihli resmi raporunda saldırıdan etkilenen dijital varlıkların toplam büyüklüğünü yaklaşık 6,34 milyar dolar olarak açıkladı. Şirket aynı tarih itibarıyla yaklaşık 2,85 milyar dolarlık varlığın kolluk kuvvetleri, blockchain analiz şirketleri ve sektör paydaşlarıyla yürütülen çalışmalar sonucunda dondurulduğunu veya engellendiğini bildirdi.
Şirket ayrıca etkilenen token varlıklarının yüzde 98’inin 31 Ekim itibarıyla yeniden karşılandığını ve zararın kullanıcılara yansıtılmayacağını belirtti. Binance saldırının ardından etkilenen cüzdan sistemlerini yeniden kurduğunu, ilgili cihazları ve erişim bilgilerini değiştirdiğini, davranışsal anomali tespit sistemlerini güçlendirdiğini açıkladı.
Saldırının araştırılması ise devam ediyor.
Binance saldırısında 50 milyon dolarlık XRP’nin Bitcoin’e dönüştürülmesi, olayın artık yalnız “ne kadar varlık çalındı?” sorusuyla takip edilemeyeceğini gösteriyor. Yeni aşamada önemli olan, çalınan varlıkların hangi ağlara dağıtıldığı, hangi altyapılar üzerinden dönüştürüldüğü ve hangi noktalarda dondurulabileceği.
Özellikle XRP hareketleri burada dikkat çekici. 233 milyonun üzerinde XRP’nin önemli bölümü birkaç gün boyunca bekletildikten sonra çok sayıda cüzdana dağıtılıyor ve bir kısmı cross-chain altyapı üzerinden Bitcoin’e çevriliyor. Bunun sonucunda tek bir varlık ve tek bir blockchain üzerinden yürütülebilecek takip süreci çok daha karmaşık hale geliyor.
Buna rağmen Bitcoin’e dönüşüm, saldırganların parayı başarılı biçimde sistem dışına çıkardığı anlamına gelmiyor. Büyük miktardaki fon hâlâ açık blockchainler üzerinde ve izlenebilir durumda. Bu nedenle saldırının bundan sonraki en kritik aşaması, varlıkların hangi kanallardan nakde dönüştürülmeye çalışılacağı olacak.
Binance vakasının sektör açısından verdiği daha geniş mesaj ise açık. Milyarlarca dolarlık bir saldırıda güvenlik yalnız cüzdan altyapısıyla sınırlı kalmıyor. Saldırı sonrasında onlarca blockchain, binlerce adres ve çok sayıda cross-chain servis finansal suç takibinin parçasına dönüşüyor. Kripto güvenliğinin bundan sonraki aşamasında saldırıyı engellemek kadar, çalınan varlıkları zincirler arasında gerçek zamanlı takip edebilmek de kritik hale geliyor.
