TRM Labs ve ZachXBT: Binance saldırısının sorumlusu Lazarus Grubu (K.Kore)

Araştırmacılar Pyongyang'ı İşaret Ediyor

Binance saldırganının peşinde olan soruşturmacılar artık baş şüphelisini belirledi. Blockchain analiz şirketi TRM Labs, saldırıyı Kuzey Kore’nin seçkin hack birimi olarak nitelendirdiği Tradertraitor’a (Lazarus ekosisteminin bir parçası) atfediyor. Şirket, zincir içi ve zincir dışı istihbarata dayanarak bu sonuca yüksek bir güvenle ulaştı ve her bir varlığın çalındığı anda elde edilen ganimeti yaklaşık 6,36 milyar dolar olarak değerlendirdi.

Bağımsız araştırmacı ZachXBT, saatler önce benzer bir sonuca varmıştı ve bu para akışının arkasında kimin olduğu sorulduğunda şöyle yanıt verdi:

"Muhtemelen Lazarus Grubu (Kuzey Kore)"

Bununla birlikte, bu paylaşımlar sorumluluğu otomatik olarak teyit etmez ve henüz hiçbir hükümet suçluyu resmi olarak isimlendirmedi.

TRM’nin küresel politika başkanı Ari Redbord, Al Jazeera’ya verdiği demeçte, saldırının eşi benzeri görülmemiş olduğunu ve ileride kripto tarihinin bir dönüm noktası olarak değerlendirileceğini belirterek şunları ekledi:

"Kuzey Kore bu ölçekte hırsızlık yaptığında, bu parayla silah yayılımı ve diğer istikrarı bozan faaliyetler finanse ediliyor."

Bilinen Bir Taktik, Ancak Dört Kat Daha Büyük

TRM ekibi, saldırının düzenlenme şekli ve imza kalıplarının, FBI’ın aynı gruba atfettiği geçen yılın başlarında gerçekleşen Bybit hırsızlığıyla ve Nisan 2026’daki Kelpdao saldırısıyla örtüştüğüne inanıyor. Blockchain analiz şirketi Chainalysis ise ayrı bir tahminde, çalınan miktarın yaklaşık 5,912 milyar dolar olduğunu ve bunun Bybit olayının neredeyse dört katı büyüklüğünde olduğunu belirtti.

Hazırlık metodik bir şekilde gerçekleştirildi; on-chain araştırmacısı 0xQuit, saldırganın aktarıcısının önceki iki gün içinde her biri 0,1 ETH tutarında üç Tornade Cash para çekme işlemiyle finanse edildiğini ve bir delege sözleşmesinin 15:59 UTC'de devreye alındığını tespit etti. Başka bir analist, saldırganın altı saat önce üç yeni cüzdanda, çeşitli token'ların test tutarlarını boşaltarak saldırıyı prova ettiğini belirtti.

Gerçek saldırı, 20:24 UTC'de Binance 14 sıcak cüzdanından 167.464 ETH'nin çekilmesiyle gerçekleşti. Bitcoin.com News, dün cüzdan-delege etme manevrasının nasıl işlediğini ve Binance’in kendi ilk bulgularının, güvenliği ihlal edilmiş bir DevOps mühendisinin dizüstü bilgisayarına işaret ettiğini ayrıntılı olarak aktarmıştı.

Sosyal medya, tüm olaya alaycı bir boyut kattı; bir yorumcu, saldırganın Pump.fun'da bir "LAZARUS" meme coin'i piyasaya sürdüğünü iddia etti. Bitcoin.com News, bu coin'i piyasaya süren kişinin hacker'ın cüzdanlarıyla bağlantılı olup olmadığını doğrulayamadı.

Paranın Gittiği Yer

Çalınan fonların köprüler üzerinden hızla aktarıldığı Bybit'ten farklı olarak, bu para aklama işlemi büyük hacimli işlemler üzerinden gerçekleştirildi. TRM, saldırganın piyasa yapıcılarına yaklaşık 325 milyon USDT'yi %10'un üzerinde bir indirimle yaklaşık 122.300 ETH karşılığında sattığını belirtti. Ayrıca Aave'de 60 milyon USDT karşılığında yaklaşık 19.760 ETH borç aldı.

Dondurma işlemleri büyük bir kısmı geri kazanmayı başardı ve Binance, dondurulan toplam tutarın yaklaşık 3 milyar dolara ulaştığını açıkladı. Yine de TRM, saldırganın 420.000'den fazla ETH ve 18.270 BTC'ye sahip olduğunu ve bu tutarın yaklaşık 2,4 milyar dolarlık kısmının ihraççıların erişiminin dışında olduğunu tahmin ediyor; bitcoin ise fonları uzun bir dizi küçük transferlere bölen bir aklama yöntemi olan "peel chain" yoluyla aktarılıyor.

Onchain Lens, grubun muhtemelen karıştırma işleminden önce 1 milyar doların üzerinde ETH’yi yeni cüzdanlara aktardığını bildirdi. TRM, bir sonraki aşamanın zincirler arası köprüler, takas hizmetleri ve tezgah üstü (OTC) aracı kurumlarını içereceğini öngörüyor.

Kripto Hırsızlığı Açısından Rekor Bir Yıl

Bu soygun, Defillama'nın kripto tarihinin en çok hacklenen yılı olarak nitelendirdiği 2026'da gerçekleşti; 2026'da şu ana kadar 8 milyar dolardan fazla para çalındı. Karşılaştırma olarak, siber suçlular 2025'te yaklaşık 150 olayda 2,87 milyar dolar çalmıştı.

Binance saldırısı, Polymarket'in ayrı bir güvenlik açığı nedeniyle ticareti durdurmasından birkaç saat sonra gerçekleşti; bu da güvenlik ekiplerinin aynı anda kaç cephede mücadele ettiğini gösteriyor.

Sonuçları Eşi Benzeri Görülmemiş Olabilir

TRM, Beacon Network aracılığıyla ortaklarını uyardığını belirtti ve borsalara, etiketlenmiş saldırgan adreslerine karşı para yatırma işlemlerini taramaları konusunda çağrıda bulundu. Aynı zamanda Binance, ön soruşturması tamamlandığında ayrıntılı bir teknik analiz yayınlayacağına söz verdi.

Şu anda en önemli konu hızdır; zira saldırganın ETH ve BTC'leri her saat karışmadan kaldıkça, soruşturmacılara çıkışları tespit etmek için daha fazla zaman tanınırken, Kuzey Kore'nin geçmiş performansı, grubun izler soğumadan önce OTC masaları aracılığıyla parayı nakde çevirmeye çalışacağını göstermektedir.