Kuzey Kore bağlantılı olduğu öne sürülen SquidSquad, BNB Chain üzerinde 2,84 milyon dolarlık kripto para hırsızlığıyla ilişkilendiriliyor. Fonların Tornado Cash ve Tron üzerinden hareketi inceleniyor.
Kuzey Kore bağlantılı olduğu öne sürülen SquidSquad adlı hacker grubunun, kurumsal bir kripto para yatırımcısından yaklaşık 2,84 milyon dolar değerinde varlık çaldığından şüpheleniliyor. Blockchain araştırmacısı ZachXBT, 21 Ekim’de yaptığı açıklamada 8 Ekim’de BNB Smart Chain üzerinde gerçekleştiği belirtilen saldırının ardından fonların farklı cüzdanlar ve blockchain ağları üzerinden taşındığını ortaya koydu.
ZachXBT’nin işlem analizine göre saldırgan, çalındığı belirtilen varlıkları bir süre hareketsiz tuttuktan sonra 20 Ekim’de yeniden transferlere başladı. Saldırganın 1.111,2 ETH’yi Tornado Cash’e yatırdığı, ardından fonları üç farklı Ethereum adresinden çektiği bildirildi.
Araştırmacı, transferlerde kullanılan cüzdanlarla daha önce Kuzey Kore bağlantılı kripto para operasyonlarıyla ilişkilendirilen adresler arasında finansal bağlantılar tespit etti. Ancak bu bulgular zincir üstü işlem analizine dayanıyor. Saldırıdan etkilenen kurumun kimliği henüz açıklanmadı.
Çalınan fonlar Tornado Cash üzerinden aktarıldı
ZachXBT’nin incelemesine göre Tornado Cash’ten çekilen varlıklar, üç ayrı Ethereum adresine dağıtıldı. Fonlar daha sonra USDT0 aracılığıyla Ethereum ağından Tron ağına taşındı. USDT0, desteklenen blockchain ağları arasında transfer yapılmasını sağlayan, Tether’ın dolara sabitli stablecoin altyapısını kullanan bir varlık olarak öne çıkıyor.
Transferlerin sonunda fonlar, araştırmacının belirlediği iki Tron adresinde toplandı: TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU ve TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Söz konusu cüzdanların, daha önce Kuzey Kore bağlantılı kripto para faaliyetleriyle ilişkilendirilen adreslerle işlem geçmişine sahip olduğu belirtildi. Fonlar, bu adreslerde birleştirildikten birkaç dakika sonra aracı cüzdanlar üzerinden Çin’deki tezgâh üstü (OTC) kripto para satıcılarıyla ilişkilendirilen adreslere aktarıldı.
ZachXBT, transferlerin hızlı biçimde gerçekleştirilmesinin Tether’ın USDT varlıklarını dondurma ihtimalini azaltmayı amaçlamış olabileceğini değerlendirdi. Bununla birlikte, fonların itibari paraya çevrilip çevrilmediği veya çalınan varlıkların herhangi bir bölümünün dondurulup dondurulmadığı henüz doğrulanmadı.
Lazarus grubu bağlantılı para ağı da incelenmişti
Bu olay, ZachXBT’nin 5 Ekim’de Kuzey Kore’nin Lazarus Group grubuyla bağlantılı olduğu öne sürülen bir kripto para aklama ağını araştırdığını açıklamasının ardından geldi.
Araştırmacı, 2025’te Bybit’ten çalınan 1,5 milyar dolarla bağlantılı işlemleri takip etmek amacıyla müşteri gibi davranarak 349.700 dolar harcadığını belirtmişti. İncelemede, birden fazla kripto para saldırısıyla bağlantılı olarak 1 milyar doların üzerinde işlem gerçekleştirdiği iddia edilen Çin merkezli bir operasyon tespit edildi. Ancak ağın toplam işlem hacmi kamuya açık ABD kolluk kuvvetleri kayıtlarıyla bağımsız biçimde doğrulanmış değil.
ZachXBT, aynı inceleme sırasında farklı blockchain ağlarında 12 milyon doların üzerinde Bybit bağlantılı fonun hareketini belirlediğini açıkladı. Araştırmacının aktardığına göre Tether, operasyon kapsamında tespit edilen cüzdanlarla bağlantılı 442.000 USDT’yi dondurdu.
Bununla birlikte, önceki soruşturmada tespit edilen kişilerle SquidSquad vakasında fonların ulaştığı OTC adresleri arasında doğrulanmış bir bağlantı bulunmuyor.
Tornado Cash benzer saldırılarda da kullanıldı
Tornado Cash, farklı kripto para saldırılarının ardından fon hareketlerini gizlemek amacıyla kullanıldığı iddialarıyla da gündeme geldi.
20 Ekim’de Drift Protocol saldırısıyla ilişkilendirilen cüzdanlardan yaklaşık 25.700 ETH, o günkü değerle 61,56 milyon dolar, Tornado Cash’e aktarıldı. Drift Protocol, nisan ayında yaklaşık 285 milyon dolarlık kayıpla sonuçlanan bir saldırıya uğramıştı. Siber güvenlik şirketi Mandiant, sonraki incelemesinde saldırıyı UNC6862 adlı Kuzey Kore bağlantılı olduğu belirtilen tehdit grubuna atfetmişti.
Aynı protokol, 2024’te yaklaşık 50 milyon dolarlık kayıpla sonuçlanan Radiant Capital saldırısının ardından da Tornado Cash kullanımının belgelendiği olaylar arasında yer alıyor.
SquidSquad vakası ile Drift Protocol işlemlerinin aynı gün gündeme gelmesine rağmen, iki olayın aynı saldırganlar tarafından gerçekleştirildiğine veya koordineli olduğuna ilişkin doğrulanmış bir bulgu bulunmuyor.
