Binance'i ele geçiren hackerlar, ganimetlerini meme coinleri aracılığıyla aklıyor

Binance'ten yaklaşık 6,3 milyar doları sızdıran ekip, meme coin basmaya başladı. Bunları kimsenin satın alması beklenmiyor. Bu coinler, çalınan paranın birkaç saatliğine saklanabileceği bir yer olması için var.

Haber, StalkHQ'nun meme coin lansmanlarını işaretlediği X platformunda hızla yayıldı; ayrıntılar ise blok zinciri analiz şirketi Elliptic'in Pazartesi günkü raporundan geliyor. Elliptic'e göre, Kuzey Kore'nin TraderTraitor grubu için çalışan kara para aklayıcılar, 5-7 Kasım tarihleri arasında NEAR ağında en az altı adet tek kullanımlık token oluşturdu. Bunlardan birinde pembe fiyonklu bir maymun, bir diğerinde ise ABD bayrağına sarılmış bir ördek yer alıyor. Birinde ise "Elon 2028 Başkan" yazılı bir afişin altında Elon Musk gösteriliyor; ancak Elliptic, bunun Musk ile hiçbir ilgisi olmadığını belirtiyor. Token isimleri arasında FUK ve SINU da bulunuyor.

Miktarlar küçük. Altı token üzerinden yaklaşık 117.000 NEAR, yani kabaca 430.000 dolar geçti; bu, çalınan toplamın%0,01'inden az. Dikkat edilmesi gereken kısım ise kullanılan yöntem.

Saldırı gerçekleştiğinde bu konuyu daha önce ele almıştık. Kısaca özetlemek gerekirse: 29 Ekim'de saldırganlar yaklaşık 20 dakika içinde milyarlarca dolarlık para aktardılar ve CEO Richard Teng daha sonra saldırganın, işlem sırasında kullandığı araçları ve izleri silen bir kendini imha mekanizması kullandığını söyledi. FBI, iki gün sonra TraderTraitor’ı suçladı. Bu, FBI’ın 2025’teki 1,4 milyar dolarlık Bybit hırsızlığından sorumlu tuttuğu grupla aynıdır.

Değersiz Bir Token Nasıl Gerçek Parayı Aklar?

Hile basit ve ucuz. Her bir tokenin piyasaya sürülmesi yaklaşık 25 NEAR'a, yani 90 dolara mal oluyor. Kara para aklayanlar, bu tokeni merkeziyetsiz bir borsadaki likidite havuzunda NEAR gibi gerçek bir varlıkla eşleştiriyor. Bir grup cüzdan, çalınan parayı havuza yatırır ve karşılığında yeni tokeni alır. İkinci bir grup cüzdan ise tokeni aynı havuza satar ve temiz görünen NEAR'ı çeker.

Çalınan para, ilk cüzdan grubundan ikinci gruba asla doğrudan aktarılmaz. Havuz aradaki rolünü üstlenir ve parayı alan cüzdanlar, bir meme coin’i kârla satan sıradan tüccarlar gibi görünür. Elliptic’in kurucu ortağı Tom Robinson, X’te bunu açıkça ifade etti: coin’ler bir kılıftır, ancak her adım blok zincirindedir ve Elliptic bunu izlemiştir.

Bu tokenlerin hiçbir zaman gerçek bir piyasası olmadığına dair Elliptic’in sunduğu kanıtlara karşı çıkmak zor. Para aklama ağındaki cüzdanlar, altı tokenin tamamının satışını gerçekleştirdi ve bunlardan beşinin her bir birimini satın aldı. Altı yaratıcıdan beşi, birkaç dakika önce bir önceki token'ı satan bir cüzdan tarafından finanse edildi, yani her bir coin bir sonrakinin masrafını karşıladı. Altı token'ın tamamı, piyasaya sürülmesinden sonraki üç saat içinde satıldı ve ardından piyasaya döküldü. 8 Kasım'dan bu yana hiçbiri işlem görmedi ve dördünün yaratıcıları o öğleden sonra kalan likiditeyi çekti.

Yeni değil, sadece daha büyük

Kuzey Kore bunu daha önce de yapmıştı. Elliptic, bunu ilk olarak Bybit saldırısının ardından, Tron’da en az 24 milyon doların değersiz bir token üzerinden aktarıldığı sırada fark etmişti. Bu sefer ekip, birkaç gün içinde olaya müdahale etti. 2 Kasım'da bir Tron token'ı ortaya çıktı ve 3 Kasım'da çalınan SOL, USDC karşılığında satılmadan önce işlem hacmi düşük Solana token'larına dönüştürüldü. NEAR grubu ise haftanın ilerleyen günlerinde ortaya çıktı.

Meme coin'ler iyi bir kamuflaj sağlar çünkü her gün binlerce yeni coin piyasaya sürülür ve çoğu birkaç gün içinde ortadan kaybolur. Geçmişinde yeni bir çizgi film token'ı bulunan bir cüzdan, paranın nereden geldiği kontrol edilmedikçe, kara para aklayıcı değil, spekülatör gibi görünür.

Ana sistemin yan gösterisi

Elliptic, bu katmanın hiçbir şeyi gizlemediğini açıkça belirtiyor. Bu katman, soruşturmacıları yavaşlatıyor ve para aklama yarışında asıl amaç gecikme yaratmaktır.

Daha büyük operasyon ise farklı bir görünüm sergiliyor. Elliptic’in verileri şu anda 16 blok zinciri ve en az 36 hizmet üzerinde 20.000’den fazla cüzdanı kapsıyor. Hafta başında şirket, fonların yaklaşık her 25 saniyede bir yeni bir cüzdana aktarıldığını belirtti ve Robinson bunu, muhtemelen insan denetimi altında otomatikleştirilmiş, “otomatik pilotta” gerçekleşen bir kara para aklama işlemi olarak tanımladı. Elliptic’in kendi uyarısı, statik listeler ve tek seferlik kontrollerle böyle bir kümenin gözden kaçacağı yönündeydi. Chainalysis de kara para aklamanın arkasındaki otomasyona dikkat çekti.

Başka yollar da mevcut. Pazar gününden bu yana yaklaşık 7.000 ETH, yani yaklaşık 15 milyon dolar, Tornado Cash'e aktarıldı. Yaklaşık 3.000 BTC, yani yaklaşık 225 milyon dolar, şu anda yeni bitcoin adreslerinde bulunuyor ve çalınan fonların bir kısmı, podcast sunucularının FBI'ın atıf bağlamında zaten tartıştığı THORChain üzerinden aktarıldı.

Çalınan paranın bir kısmı ise hiç bu fırsatı bulamadı. FBI, Tether, Circle, Ripple, Arbitrum ve Optimism tarafından zincir üzerinde 2,85 milyar doların dondurulduğunu belirtiyor. TRM bu rakamı 2,7 milyar dolara yakın olarak belirlerken, Binance ise yaklaşık 3 milyar dolar olduğunu söylüyor. Elliptic ayrıca, yaklaşık 43,7 milyon dolar değerindeki 11,8 milyon çalınan NEAR'ın henüz hareket etmediğini bildirdi.

Kuzey Kore'yi takip ederek geçimini sağlayan kişilerden bir uyarı geldi. DTEX'ten Michael Barnhart, Recorded Future News'e verdiği demeçte, TraderTraitor'ın parayı Çinli kara para aklama ağlarına hızlı bir şekilde aktarma eğiliminde olduğunu, bu nedenle analistlerin blok zincirinde gördüklerinin bir kısmının bu ağların faaliyetleri olabileceğini belirtti. Elliptic ise meme coin faaliyetlerini hâlâ Kuzey Kore kaynaklı olarak nitelendiriyor.

Uyum ekiplerinin nelere dikkat etmesi gerektiği

Elliptic’in tavsiyesi, likidite havuzu fonlarını varsayılan olarak “temiz” kabul etmeyi bırakmaktır. Bir takas yoluyla fonlanan bir cüzdan, çalınan paradan sadece iki adım uzakta olabilir. Uyarı işaretleri arasında son birkaç gün içinde oluşturulan bir token, sadece birkaç tüccarın bulunduğu bir havuz, yalnızca alım ya da yalnızca satım yapan cüzdanlar ve işlemlerin başlamasından kısa bir süre önce yuvarlak tutarlarda fonlanan yeni cüzdanlar yer alıyor. Şirket ayrıca Binance hack adreslerinin bulunduğu ücretsiz bir engelleme listesi yayınlıyor ve bu listeyi sürekli güncellediğini belirtiyor.

Şu an için takip edilmesi gereken rakam, el değmemiş 11,8 milyon NEAR'dır.