ZachXBT, Batı Avrupa’daki bir kurumun 133 milyon dolarlık bir siber saldırıyı gizlediğini iddia etti

Pazartesi günü, parayı kimin kaybettiği kimse tarafından bilinmiyordu. Çarşamba sabahı geldiğinde ise mağdurun bir adı, bir açıklaması ve yanıtlaması gereken pek çok soru vardı.

Her şey 2 Kasım'da, ZachXBT'nin Telegram kanalında bir uyarı yayınlamasıyla başladı. ZachXBT, ismi açıklanmayan bir AB kuruluşunun bir gün önce birkaç merkezi borsa hesabından 106 milyon dolardan fazla para kaybettiğini söyledi. Saldırgan, tüm parayı USDC ve USDT olarak çekti, ardından anlık borsalar arasında geçiş yaparak ETH’ye dönüştürmeye başladı ve bir kısmını da Monero’ya çevirdi. 11 adresi yayınladı. DEGEN NEWS, birkaç saat içinde X’te bu uyarıyı yayınladı ve Wu Blockchain de bunu aktardı.

Bir gün sonra bu rakam 133 milyon dolara ulaştı. ZachXBT, borsalardan yapılan para çekimlerinde 27 milyon dolarlık bir tutar daha tespit etti; bunların bir kısmı ilk paylaşımından sonra gerçekleştirilmişti. ZachXBT’nin öne sürdüğü teoriye göre, Batı Avrupa’daki büyük bir finans kurumu istismar edilmişti ve olay “şu anda örtbas ediliyordu.” Onu en çok rahatsız eden şey, olayın zamanlamasıydı. Anlattığına göre, olay düzgün bir şekilde açıklanmış olsaydı AB kolluk kuvvetlerinin dondurması mümkün olan 30 milyon dolardan fazla para aklanmıştı.

3 Kasım gecesi, kurumun adını açıkladı: Crédit Mutuel Arkéa, yaklaşık 211,5 milyar avro varlığa ve 5,6 milyondan fazla müşteriye sahip bir Fransız kooperatif bankası. Saldırının birkaç gün sürdüğünü söyledi. “OTC faaliyetlerini de hesaba kattığımızda çalınan miktarın daha fazla olduğunu sanıyorum,” diye ekledi.

Bankanın Yanıtı

Hikayenin “hala gizleniyor” kısmı uzun sürmedi. 4 Kasım’da Arkéa, Cryptoast ve France Télévisions dahil olmak üzere Fransız medya kuruluşlarına, dolandırıcılık işlemlerine yol açan bir saldırıya uğradığını bildirdi. Banka, olayın artık kontrol altına alındığını, müşterilerin herhangi bir mali zarara uğramadığını ve bazı işlemlerin geçici olarak askıya alındığını belirtti. Banka, kayıp rakamını açıklamadı ve saldırganların nasıl içeri girdiğine dair bir açıklama yapmadı.

Böylece banka, adı geçtikten bir gün sonra olayı kabul etti. Paranın transfer edilmesinden önce AB yetkililerine bildirilip bildirilmediği ayrı bir sorudur ve bu konuda herhangi bir cevap bulamadım.

Belki de Çalınan Kripto Para Değildi

İşte burada işler tuhaflaşıyor. Cryptoast’a göre, gazeteci Grégory Raymond, paranın bankadan düz fiat para olarak çıkmış ve ancak daha sonra, para aklama aşaması olarak kripto paraya dönüştürülmüş olabileceğini bildirdi. Kaynağı, organize bir “mule” hesap ağıdan bahsetti. Fransız haberleri, dolandırıcılığı Arkéa’nın çevrimiçi bankası Fortuneo ile ilişkilendirdi. Bir kaynak iki açıklama öne sürdü: Fortuneo’nun ödeme sistemlerinin ele geçirilmesi ya da CEO dolandırıcılığı tarzında bir sosyal mühendislik operasyonu. Başka bir kaynak ise, fonların KYC’yi atlatan sahte kimliklerle açılmış borsa hesaplarına aktarıldığını belirtiyor. Bitquery’in zincir üzerindeki verileri incelediğinde, saldırganın borsa giriş bilgilerini kontrol ettiği yönünde ipuçları ortaya çıkıyor. Bunların hiçbiri teyit edilmedi ve hesaplar birbiriyle tam olarak uyuşmuyor.

Tutar da hâlâ belirsiz. 133 milyon dolar, yaklaşık 118 milyon avroya denk geliyor. Bazı Fransız haber kaynakları “100 milyon avrodan fazla” diyor. ZachXBT ise gerçek toplamın daha yüksek olduğunu düşünüyor.

Zincir Verileri Ne Gösteriyor?

Bitquery, yaklaşık 21 saatlik bir süre içinde Kraken, Crypto.com ve OKX'teki hesaplardan 108,8 milyon dolarlık USDC'nin çıktığını tespit etti. Dört saatlik bir zaman aralığında, yaklaşık 62,98 milyon dolarlık stabilcoin 27.553 ETH'ye dönüştürüldü. 2 Kasım saat 13:47 UTC itibarıyla, saldırganlarla bağlantılı cüzdanlarda hâlâ yaklaşık 78,3 milyon dolar bulunuyordu; 30,5 milyon dolar ise izlenen adreslerden çoktan çıkmıştı ve Circle'ın dondurabileceği USDC sadece 3,74 milyon dolardı.

Kraken, olayla bağlantılı hesaplara kısıtlama uyguladığını açıkladı. Crypto.com ise ilgili fonları bloke ettiğini belirtti. Her iki platform da kendi sistemlerinin güvenliğinin ihlal edilmediğini vurguladı. OKX'in ise iddiaları incelediği bildirildi.

Her iki açıklama da doğru olabilir. Yine de, uyum ekiplerine sahip üç büyük platformdan 100 milyon doların üzerinde paranın 21 saat içinde hesaplardan çıkması oldukça uzun bir süre.

ZachXBT ayrıca “yüksek bir güven derecesiyle” bunun Lazarus operasyonu olmadığını belirtiyor. Para aklama yolu farklı: anlık borsalar, Monero dönüşümü için Wagyu ve çok sayıda zincir atlama işlemi kullanılmış. Zamanlama dikkat çekicidir: olay, FBI’ın Kuzey Kore’nin TraderTraitor grubuna atfettiği, Binance’in yaklaşık 6,4 milyar dolarlık hacklenmesinden birkaç gün sonra gerçekleşmiştir. Bu olay daha küçük ve daha dağınıktır ve saldırganın kimliği henüz bilinmemektedir.

Hala Belirsiz Olanlar

Miktar, yöntem ve saldırganın kimliği henüz teyit edilmemiştir. Arkéa, son güvenlik kontrolleri tamamlandıktan sonra normal faaliyetlerin yeniden başlayacağını belirtiyor. Kalan fonların geri kazanılıp kazanılamayacağı, bu cüzdanlarda hâlâ ne kadar para kaldığına bağlıdır ve bu rakam hızla değişiyordu.