Bybit hack olayının ardından zincir üstü araştırmacı ZachXBT, Kuzey Kore'nin Lazarus grubu için çalışan Çinli bir kara para aklama ağını gizlice infiltre etti. Yürütülen on-chain operasyon ve istihbarat paylaşımı sayesinde Tether ve güvenlik güçleri milyonlarca doları dondurmayı başardı.
Kripto para ekosisteminin en büyük siber saldırılarından biri olan ve şubat ayında gerçekleşen 1,5 milyar dolarlık Bybit hack olayının ardından, zincir üstü araştırmacı ZachXBT dikkat çekici bir operasyona imza attı. Araştırmacı, Kuzey Kore devlet destekli Lazarus grubunun finansal operasyonlarını yürüten Çin merkezli bir kara para aklama şebekesini gizlice infiltre ettiğini duyurdu. Operasyon, Telegram ve Discord üzerindeki halka açık yardımlaşma kanallarından yola çıkılarak adım adım örüldü.
Telegram ve Discord Üzerinden Kurulan Temas
Bybit soygununun hemen ardından, çalınan fonlarla doğrudan bağlantılı işlemler konusunda yardım talep eden 15'ten fazla şüpheli hesap sosyal medya platformlarında ve mesajlaşma gruplarında tespit edildi. ZachXBT, bu hesapların bir kısmıyla doğrudan iletişime geçme kararı aldı. Bu süreçte Telegram üzerinde Jimmy Green takma adını kullanan bir kullanıcıyla temas kurularak sızma süreci başlatıldı.
İnfiltrasyon operasyonunu yürütmek adına ZachXBT, Ethereum ağı üzerindeki bir cüzdan adresine 349.700 USDC yükleyerek Jimmy Green ile işlemlere başladı. Karşı tarafın gönderdiği stablecoin adresine transfer gerçekleştiren araştırmacı, gelen USDT'lerin Tron ağı üzerinden iade edildiğini tespit etti. İlk işlemde dikkat çeken en kritik detay, Jimmy Green'in gas ücretlerini ödemek için kullandığı cüzdan adresinin, Bybit hack’inden elde edilen ve karalisteye alınan çalınan fonlarla doğrudan izlenebilir bir bağlantıya sahip olmasıydı.
On-Chain İzleme ve Solana Kümesi
Güven kazanmak amacıyla gerçekleştirilen küçük transferlerin ardından şebeke üyeleri operasyonun arka planına dair daha fazla detay paylaştı. Jimmy Green, ekibin Bybit'ten çalınan 1,5 milyar doların büyük kısmını akladığını öne sürerek Hong Kong ve Çin ana karasındaki organizasyonel yapı hakkında bilgi verdi. Her işlemde yüzde 5 oranında kayıp vermeyi göze alan araştırmacı, istihbarat toplamaya devam etti.
Süreç ilerledikçe Jimmy Green’in gönderdiği bir köprü transferi ekran görüntüsü, ZachXBT tarafından Bybit hack olayına bağlandı. Bu ipucu sayesinde ortaya çıkarılan üç Solana adresi, Bybit soygunundan kaynaklanan 12 milyon doların üzerindeki bir fon kümesini gün yüzüne çıkardı. Söz konusu fonların anlık olarak BTC - ETH - SOL - Tron rotası üzerinden dönüştürüldüğü belirlendi. Bu tespitin ardından Tether, bu kümeyle bağlantılı 442.000 USDT'yi dondurdu.
Yeni Yöntemler ve Dondurulan Fonlar
ZachXBT’nin sızma operasyonu sırasında yalnızca eski yöntemler değil, aynı zamanda Uniswap likidite havuzlarının likit olmayan token'larla birleştirildiği yeni bir kara para aklama yöntemi de tespit edildi. Şebeke üyeleri görüşmeler sırasında, 2024 yılında Poloniex borsasına yönelik gerçekleştirilen saldırıyla bağlantılı 332.000 doların dondurulduğunu ve Huione Guarantee gibi yasa dışı pazar yerlerinin sıcak cüzdanları üzerinden başka müşteriler adına 3 milyon dolarlık fonun aklandığını da belirtti.
Elde edilen tüm on-chain veriler ve istihbarat güvenlik güçleriyle paylaşılırken, ZachXBT'nin bugüne kadar yürüttüğü çalışmalar neticesinde Kuzey Kore bağlantılı olaylarda dondurulan toplam fon miktarının 75 milyon doları aştığı bildirildi.
