Drift protokolünün Nisan ayındaki siber saldırısıyla ilişkilendirilen bir Ethereum cüzdanı, 20 Ekim'de Tornado Cash karıştırıcısı aracılığıyla yaklaşık 63,1 milyon dolar değerinde 25.710 ETH'yi transfer etti. İşlem, mağdurların kurtarma taleplerini belirsizliğe sürükledi.
Kripto para ticaret protokolü Drift'i Nisan ayında hedef alan ve Kuzey Kore bağlantılı siber casusluk grubu UNC6862'ye atfedilen büyük soygunla bağlantılı bir cüzdan, 20 Ekim tarihinde yaklaşık 63,1 milyon dolar değerindeki 25.710 Ethereum'u (ETH) Tornado Cash karıştırıcısına aktardı. Etherscan tarafından Drift Exploiter 5 olarak etiketlenen cüzdan, yalnızca iki saat 13 dakika süren 258 ayrı işlemle bakiyesini neredeyse sıfırlarken, platformdaki kullanıcıların kayıplarını telafi etmeye yönelik kurtarma iddiaları ve DFX token talepleri soru işaretleriyle baş başa kaldı.
İki Saatten Kısa Sürede Gerçekleşen 258 Transfer
On-chain verilerine göre, cüzdandan yapılan ilk çıkış işlemlerinin tamamlanması yalnızca iki saat 13 dakika sürdü. 20 Ekim sabahı saat 07:08:35 UTC'de 26,232,203 numaralı blokta başlayan transfer zinciri, saat 09:21:35 UTC'de 26,232,865 numaralı blokta son buldu. Bu süreçte cüzdan, her biri 100 ETH'den oluşan 257 başarılı işlemin yanı sıra 10 ETH'lik son bir transferle toplam 25.710 ETH'yi Tornado Cash yönlendiricisine gönderdi. O tarihteki ortalama 2.450 dolarlık ETH fiyatı üzerinden yaklaşık 63,1 milyon dolar değer taşıyan bu hareketin ardından cüzdanda 4 ETH'den daha az bir bakiye kaldı.
On-chain analiz profili Lookonchain, saldırganın kontrolündeki diğer cüzdanlarda hâlâ önemli miktarda varlık bulunduğunu, takip edilen adreslerde toplamda 81.864 ETH civarında fon tutulduğunu rapor etti.
Nisan Ayındaki Vurgun ve Kuzey Kore İzi
Söz konusu fon hareketliliği, Drift protokolünün Nisan başında maruz kaldığı ve yaklaşık 280 ila 295 milyon dolar arasında değişen kayıplarla sonuçlanan büyük siber saldırıdan altı aydan uzun bir süre sonra gerçekleşti. Nisan ayının başlarında yayımlanan ilk raporlar, saldırganların protokolün Güvenlik Konseyi idari yetkilerini ele geçirdiğini ortaya koymuştu. Saldırganların kalıcı nonce hesaplarını kullanarak işlemleri önceden imzaladığı ve yürütülmelerini geciktirerek yetkisiz onaylar elde ettiği belirlenmişti.
Drift tarafından Haziran başında paylaşılan güncellemelerde, güvenlik firması Mandiant yürütülen soruşturma neticesinde saldırının arkasında Kuzey Koreli tehdit grubu UNC6862'nin bulunduğunu doğrulamıştı.
Kurtarma Havuzu ve DFX Talepleri Askıda Mı?
Saldırının ardından kullanıcı mağduriyetlerini gidermek için adımlar atan Drift, dondurmalar, ödül programları ve kolluk kuvveti işbirlikleriyle ele geçirilen varlıkların aktarıldığı bir Kurtarma Havuzu kurmuştu. Ayrıca platform, 1 Ekim itibarıyla doğrulanmış kayıpların her bir USDT'si için bir DFX token tahsis ederek DFX talep ve geri alım sürecini başlatmıştı. Kullanıcılar, ellerindeki DFX tokenleri mevcut piyasa teklif fiyatları üzerinden USDT ile takas edebiliyor; takas edilen DFX tokenler ise aynı işlemde yakılıyor.
Ancak 4 Ekim verilerine göre bir DFX'in redemption teklifi yaklaşık 0,0104 USDT seviyesindeydi (kaybedilen her USDT başına yaklaşık bir cent). Hacker'ın ele geçirdiği fonların önemli bir kısmını Tornado Cash gibi gizlilik odaklı araçlar üzerinden aklaması, gelecekte kurtarılabilecek varlıkların miktarını ve mağdurların bu havuzdan ne oranda ödeme alabileceğini belirsiz bir konuma getiriyor.
Sürecin Arka Planı ve Beklentiler
20 Ekim tarihinde gerçekleştirilen transferler, toplam 25.710 ETH'nin Tornado Cash'e aktarılmasıyla sonuçlanırken, işlemin 07:08 ile 09:21 UTC saatleri arasında 258 ayrı adımda tamamlandığı doğrulandı. Nisan ayındaki soygunun Mandiant raporuna göre Kuzey Koreli UNC6862 grubuna atfedildiği bilinirken, Drift'in 1 Ekim'de başlattığı DFX token tabanlı talep süreci hacker'ın aklama faaliyetleri nedeniyle gölgelenmiş durumda.
