Beyaz Şapkalılar, Coldcard Saldırganlarını Yenerek Milyonlarca Dolarlık Bitcoin’i Kurtardı

Bu yaz, güvenlik açığı bulunan cüzdanlardan bitcoin kaybolmaya başladığında Coldcard istismarı tam bir felaket gibi görünüyordu. Saldırganlar, bazı Coldcard tohumlarının çevrimdışı olarak yeniden oluşturulabileceğini keşfetmişlerdi ve maruz kalan coinlere ulaşmak için aniden bir yarış başlamıştı. Ancak Thorn’un araştırması, bu hikayede ilginç bir ayrıntıyı ortaya çıkardı.

Bu cüzdanları boşaltanların bir kısmı aslında hırsız değildi. Onlar, hırsızlardan önce paraya ulaşmaya çalışan beyaz şapkalı hackerlardı ve en az 52,37 BTC bu yarıştan sağ kurtulmuş görünüyor.

Thorn, 52,37 BTC’nin Bir Tröst Hesabına Aktarıldığını Tespit Etti

Thorn Salı günü, “COLDCARD BEYAZ ŞAPKALILARI FONLARI VAKFA AKTARIYOR,” diye yazdı ve ardından zincir üzerinde tespit ettiklerini açıkladı. Galaxy araştırmacısına göre, “Wave 2, Footprints AA, AU, AX kaynaklı coinlerden oluşan 52,37 BTC”, 967.948 numaralı blokta yeni bir adrese aktarılmıştı.

İşlemde “claim:cryptorecoverytrust dot com” yazan bir OP_RETURN mesajı bile yer alıyordu; bu da kurtarılan bitcoin'lerin nereye gittiğini açıklayan bir zincir üstü işaret bırakmış oldu. Thorn, kurtarılan bu coin'lerin “Coldcard istismarının %2,8'ini” oluşturduğunu hesaplıyor. Daha da önemlisi, Thorn’un analizi, fonların çekilmeye başlamasından bu yana araştırmacıların takip ettiği birkaç işlem grubundan biri olan Wave 2’yi çevreleyen tabloyu değiştiriyor.

Thorn, “Artık Wave 2’nin yaklaşık %40’ının, aslında kurbanların fonlarını korumak için coinleri toplayan beyaz şapkalar olduğunu biliyoruz,” diye açıkladı. Bu coinlerin ise, “görünüşe göre artık Crypto Recovery Trust tarafından kontrol edilen bir adrese teslim edildiğini” ekledi; Crypto Recovery Trust, meşru beyaz şapkaların kurtarılan varlıkları kurbanlara geri vermesine yardımcı olmak için kurulmuş bir Wyoming vakfıdır.

Rakamlar Gittikçe Garipleşiyor

52,37 BTC — bu yazının yazıldığı tarihte 4,4 milyon dolardan fazla değere sahip — toplam ganimetin tamamı olmayabilir. Thorn, aynı işlemde Crypto Recovery Trust adresine giren 3,0134 BTC daha fark etti, ancak bunu hesaba katma konusunda kasıtlı olarak temkinli davranıyor.

“Bu coin’leri daha önce görmedik,” diye yazdığı X gönderisinde, ekibinin henüz bunların kaynağını doğrulayamamasına rağmen, bunların “muhtemelen” beyaz şapkalar tarafından geri kazanılan ek Coldcard fonları olduğunu da ekledi.

Bu ihtiyatlılık önemli çünkü Thorn, çok daha fazla paranın söz konusu olduğu bir istismarı yeniden yapılandırmaya çalışıyor. 1., 2. ve 3. Dalgalara ilişkin hesaplamaları, güven fonlarıyla birlikte 1.393 BTC’yi, yani yayınlanan Coldcard istismarı toplamının %76,1’ini kapsıyor. Sadece 1. Dalga, 1.082,57 BTC ile el değmemiş durumda. 3. Dalga’da 116,98 BTC el değmemişken, 97,09 BTC coinjoin işlemine tabi tutuldu veya Thorchain üzerinden Ethereum’a yönlendirildi; ardından saldırganlar, ether’i karıştırmak için Tornado Cash’i kullandı. Buna karşılık, AX, AA ve AU ayak izleri artık “%100 beyaz şapkalı” olarak kabul edilmektedir.

Peki ya Bitcoin'in geri kalanı?

Gizem tam olarak çözülmüş değil. Thorn, araştırmacıların Dalga 2 fonlarının geri kalan %60’ının kötü niyetli saldırganlar tarafından mı yoksa başka bir beyaz şapkalı grup tarafından mı ele geçirildiğini hâlâ bilmediklerini söyledi. Söyleyebileceği tek şey, bu iki kısmın farklı operatörler tarafından gerçekleştirilmiş gibi göründüğü. Thorn ayrıca, Wave 2’nin her iki kısmında da yer alan bireysel Coldcard mağdurlarıyla görüştü ve bu işlemler ile daha geniş kapsamlı Coldcard olayı arasındaki bağı güçlendirdi.

“Wave 2’de ele geçirilen fonların geri kalan %60’ının da beyaz şapkalı olup olmadığını bilmiyoruz,” diye yazdı Thorn. Beyaz şapkalı olsun ya da olmasın, kalan coin’lerin, bitcoin’leri nihayetinde Crypto Recovery Trust’a ulaşan gruptan “farklı bir operatör (veya operatörler)” tarafından yönetilmiş gibi göründüğünü belirtti. Başka bir deyişle, araştırmacılar başlangıçta çalınmış gibi görünen bitcoin’lerin büyük bir kısmını artık açıklayabiliyor, ancak geri kalan önemli bir miktar için ise herkes tahminde bulunmak zorunda.

Bitcoin’in Gerçek Sahibini Kanıtlamak

Coin’leri geri kazanmak başka bir sorunu da beraberinde getiriyor: Hem mağdur hem de saldırgan, cüzdana erişim sağlayabilecek kimlik bilgilerine sahipken, bir vakıf coin’lerin gerçek sahibini nasıl belirleyebilir? Bir X kullanıcısı bu soruyu Thorn’a yönelttiğinde, Thorn, tek bir kesin teste güvenmek yerine birleştirilebilecek birkaç kanıt parçası olduğunu söyledi.

“Bunu birkaç yolla yapabiliriz,” diye yanıtlayan Thorn, “birkaç kanıtın bir araya gelmesinin bir üstünlük oluşturduğunu” ima etti. Sıraladığı kanıtlar arasında, tohumun ilk olarak kim tarafından oluşturulduğunu gösteren cihaz adli tıp analizleri, daha sonra boşaltılan bir adrese yapılan para çekme işlemlerini gösteren borsaların “müşterini tanı” kayıtları, kurbanların daha önce kendisine sağladığı xpub veya zpub genişletilmiş açık anahtarı ve erken dönem bir FBI raporu yer alıyordu.

Crypto Recovery Trust ayrıca Coldcard mağdurlarının adreslerini arayarak, bitcoinlerinin beyaz şapkalılar tarafından kurtarılan fonlar arasında olup olmadığını belirlemelerine olanak tanıyor.

Yarışı Başlatan Coldcard Hatası

Thorn’un dedektiflik çalışmasının arkasında, cüzdan tohum oluşturma sürecini zayıflatarak saldırganların tohumları uzaktan yeniden oluşturmasına olanak tanıyan bir Coldcard donanım yazılımı hatası yatıyor. 30 Temmuz’dan itibaren bu güvenlik açığı, nihayetinde 8.600’den fazla adresi ve yaklaşık 1.779 BTC’yi etkiledi.

Thorn’un son bulgusu olaya yeni bir boyut katıyor. Temel olarak, beyaz şapkalılar da güvenlik açığı bulunan coin’leri keşfettiler, saldırganlardan önce 52,37 BTC’ye ulaştılar ve bu miktarı koruyucu gözetim altına aldılar. Şimdi önümüzdeki zorluk, sahipliği kanıtlamak ve bitcoin’leri hak sahiplerine iade etmektir.