15 Milyar Dolarlık Kripto Hırsızlığının Ardında: Zincir Üstü Batman, Kuzey Koreli Hackerların Kara Para Aklama Ağını Çözüyor

Orijinal başlık: 1,5 milyar dolarlık kripto çalmak kolay, asıl tuzak nakde çevirmek

Orijinal yazar: Andjela Radmilac

Orijinal çeviri: Saoirse, Foresight News

Şubat 2025'te Kuzey Koreli hackerlar Bybit'ten yaklaşık 1,5 milyar dolar değerinde kripto para çaldı. Bu hack olayı geniş çapta haberleştirilip analiz edilmiş olsa da, olayın sonrası ve çalınan fonların akıbeti pek ilgi görmedi.

Bu devasa yasadışı fonu taşımak için hackerlar, çalınan varlıkları işlemeye istekli bir insan ağına güvenmek zorunda. Yeterli para yatırılırsa, bu ilişki zincirine sızılabilir.

ZachXBT takma adlı bir blok zinciri araştırmacısı bu yöntemi benimsedi. 349.700 USDC ayırarak, bir Çinli kara para aklama ağının müşterisi gibi davrandı ve her işlemde %5 zararı kabul etti. Sonunda Bybit hırsızlığıyla bağlantılı 12 milyon doları aşan fonun izini sürmesini sağlayan kritik ipuçları elde etti; ona göre bu bilgiler Tether'in 442.000 USDT'yi dondurmasına da yardımcı oldu.

Soruşturması bir kara para aklama ağını ortaya çıkardı. Bu ağın, Bybit saldırısının gelirleri de dahil olmak üzere Kuzey Koreli Lazarus Group'un kripto hırsızlıklarından 1 milyar doları aşkın parayı akladığını değerlendirdi.

Bu soruşturma, ABD yetkililerinin son iki yıldır mücadele ettiği büyük ölçekli bir yasadışı finansal hizmetler karaborsasına işaret ediyor.

Aynı yılın Eylül ayında ABD Hazine Bakanlığı, Xinbi Guarantee'ye yaptırım uyguladı. ABD'ye göre, bu ticaret platformu 2022'den bu yana sisteminden 240 milyar doları aşkın dijital varlık ve itibari para işlemi geçirdi; Kuzey Koreli hackerlar da hizmetlerini kullanan yasadışı oluşumlardan biri.

Hazine Bakanlığı ayrıca, Huione Group'a yaptırım uygulanmasının ardından suçluların yasadışı faaliyetlerine devam etmek için Xinbi Guarantee'ye yöneldiğini belirtti. Bu, tek bir ticaret platformunu kapatmanın arkasındaki ağı ve suç talebini ortadan kaldıramayacağını gösteriyor.

İnanması güç ama kripto para borsasına sızıp fon çalmak, tüm suç zincirinin yalnızca nispeten basit bir halkası. Asıl zorluk, çalınan kripto parayı itibari paraya veya gerçek satın alma gücüne sahip diğer varlıklara dönüştürmek.

Nakde çevirmek için hackerlar çeşitli ödeme hizmetlerine ve gri ağlara güvenmek zorunda; bu da araştırmacılara ve düzenleyicilere müdahale alanı bırakıyor.

349.700 USDC yatıran 'gizli müşteri'

26 Şubat 2025'te ABD Federal Soruşturma Bürosu (FBI), Bybit hırsızlığının TraderTraitor kod adlı Kuzey Koreli hackerlar tarafından yapıldığını doğruladı ve uyarı yayınladı: Çalınan varlıklar Bitcoin ve diğer kripto paralara dönüştürülüp binlerce blok zinciri adresine dağıtılıyor.

Hackerların kimliği hızla tespit edilse de, çalınan fonları işleyen aracı kurumları bulmak ciddi bir soruşturma çalışması gerektirdi.

ZachXBT, Telegram ve Discord'daki herkese açık gruplarda Bybit'ten çalınan fonlarla ilgili işlem yapan 15'ten fazla hesap tespit ettiğini söyledi. Bu, en azından kara para aklamanın bazı aşamalarında aracıların açıkça müşteri aradığı ve işlemleri kolaylaştırdığı anlamına geliyor.

Bu hesaplardan birkaçıyla iletişime geçti ve sonunda Telegram'da Jimmy Green takma adlı bir kişiyle bağlantı kurdu; bu kişi kripto paraların zincirler arası transferine yardımcı olabileceğini iddia ediyordu.

ZachXBT, 6 Mart 2025'te 349.700 USDC'yi yepyeni bir Ethereum adresine aktardığını ve bu kişiyi kullanarak Ethereum zincirindeki USDC'yi Tron zincirindeki USDT'ye çevirdiğini belirtti. Gerçek bir müşteri kimliği oluşturmak için daha dezavantajlı kur koşullarını kabul etti.

Bu 349.700 USDC, işlem için kullanılan fondu; soruşturmanın net zararı değildi. Normal zincir üstü analizle elde edilemeyecek istihbarat karşılığında her işlemde %5 zararı göze aldı.

Bu tür işlemlerin de riski var: Aracı kurum parayı alıp kaçabilir.

Hackerların güvendiği aracılar da güvenilmez olabilir ve çalınan fonları zimmetine geçirebilir. Uygulanabilir ticari güvenceler olmadığında, ağ içindeki itibar ve kişisel ilişkiler bu iş birliğini sürdürmenin temelini oluşturuyor.

Bu da ZachXBT'ye sızma fırsatı verdi: Hizmet sağlayıcılar için tekrar tekrar işlem yapmaya istekli müşteriler daha değerlidir.

Bu gizli ilişki sayesinde elde ettiği bilgiler artık yalnızca cüzdan adresleriyle sınırlı değildi. Aracılar, işlemi gerçekleştirmeden önce onunla fon transfer planlarını tartışıyordu. ZachXBT, özel yazışmaları halka açık blok zincirinde saklanan işlem kayıtlarıyla çapraz kontrol edebildi.

Bir keresinde, bir işlem gerçekleşmeden önce bir aracı onunla fonları Solana zincirine taşımayı tartıştı. Diğer işlem kayıtları ve cüzdan bağlantı ipuçlarının, Bybit hırsızlığıyla ilgili bir grup varlığı tespit etmesine yardımcı olduğuna inanılıyor.

Bu, soruşturmanın kritik dönüm noktasıydı: Zincir üstü veriler yalnızca işlem davranışını kaydedebilir; işlemin arkasındaki aktörleri ve gerçek niyetlerini doğrulayamaz. İki taraf arasındaki özel yazışma kayıtları, fonları kontrol edenleri belirlemenin ve fonların kullanım amacını netleştirmenin temel kanıtıdır.

ZachXBT'nin soruşturma sonuçları FBI'ın resmi kayıtlarıyla tam olarak örtüşmese de, bu yine de son yılların en önemli soruşturma operasyonlarından biri. Yalnızca blok zinciri verileriyle tamamlanamayan işlerin, kişisel ilişkiler ve ticari etkileşimlerle desteklenebileceğini kanıtladı; benzer yöntemler diğer kripto hırsızlığı soruşturmalarına da uygulanabilir.

12 milyon doların izini sürmek ≠ 12 milyon doları başarıyla geri almak

ZachXBT, Jimmy Green ile kurduğu bağlantı sayesinde birden fazla halka açık zincirde dağılmış, toplamı 12 milyon doları aşan Bybit bağlantılı bir grup fon tespit ettiğini söyledi.

Ayrıca Tether'in daha sonra Kuzey Koreli hacker davasıyla bağlantılı 442.000 USDT'yi dondurduğunu açıkladı. Bu, çalınan fonlar hâlâ USDT ve USDC gibi ihraççı tarafından kontrol edilen token'larda dururken, çalınan varlıkların hızla tespit edilmesinin zararın geri kazanılması için kritik olduğunu gösteriyor.

İki veri grubunu ayırt etmek gerekiyor: 12 milyon doların izini sürmek, bu fonların tamamının dondurulduğu anlamına gelmiyor; 442.000 USDT'nin dondurulması da bu token'ların müsadere edilip Bybit'e iade edildiği anlamına gelmiyor.

442.000 USDT rakamı ve bu dondurmanın soruşturmayla bağlantısı, ZachXBT'nin kişisel beyanına dayanıyor; Tether de Bybit hırsızlığıyla ilgili daha büyük ölçekli dondurma operasyonları duyurmuştu.

Çalınan kripto parayı bulmak, olaya karışan aracıları tespit etmek ve çalınan fonlar üzerinde yasal veya teknik kontrol sağlamak arasında büyük bir uçurum var.

Halka açık zincirler, varlıkların yeniden transfer edilmesini engelleyemez. Fonlar soruşturmaya iş birliği yapmayan veya yargı yetkisi dışında kalan hizmet platformlarından geçtiğinde durum daha da karmaşıklaşır.

Merkezi olarak ihraç edilen sabit coin'ler düzenleyicilere müdahale imkânı sunar: İhraççı, belirli adreslere transferleri kısıtlama yetkisine sahiptir. Yerel Bitcoin'de ihraççı tarafından sağlanan bir dondurma mekanizması yoktur; ancak yetkililer yasal izin aldığında, bir saklayıcının elindeki Bitcoin'e el koyabilir veya ilgili özel anahtarları kontrol edebilir.

Bu, soruşturmanın yalnızca hassas takip gerektirmediği; tespit edilen fonların aynı zamanda teknik kapasiteye ve yaptırım yetkisine sahip kurumların yargı alanında olması gerektiği anlamına gelir.

Bybit'in varlık kurtarma sürecinde, mahkeme tedbir kararları finansal aracıların iş birliğiyle birleştiğinde, hırsızlıktan çok sonra bile varlık hareketlerini kısıtlayabilir; ancak tam geri kazanımı garanti edemez.

Sorun şu ki, çalınan kripto paralar farklı cüzdanlar, halka açık zincirler, saklayıcılar ve karşı taraflar arasında sürekli bölünüp dolaşıyor. Fonlar her yeni platformdan geçtiğinde, kurtarma tarafı genellikle yeniden kanıt toplamak ve yeni bir hukuki süreç başlatmak zorunda kalıyor.

Araştırmacıların fon akışını görebilmesine rağmen bir sonraki transferi durduramamasının veya çalınan fonları geri alamamasının nedeni budur.

4 milyar dolarlık kripto para aklama operasyonu

Harici aracılar kullanarak kara para aklamak Bybit hırsızlığına özgü değil. ABD kolluk kuvvetleri kayıtları, yetkililerin uzun süredir çalınan kripto parayı suçluların fiilen kullanabileceği varlıklara dönüştürme konusunda uzmanlaşmış çeşitli gri işletmeleri soruşturduğunu gösteriyor.

Mart 2020'de ABD Adalet Bakanlığı, iki Çin vatandaşı Tian Yinyin ve Li Jiadong'u, çoğu borsa hack'lerinden elde edilen 100 milyon doları aşkın kripto parayı aklamakla suçladı.

Bu suçlamalar, hack'i bizzat gerçekleştirmeseler bile aracı kurumların tüm suç zincirinde merkezi bir rol oynadığını gösteriyor.

Hazine Bakanlığı'nın yaptırım duyurusu ayrıca Tian Yinyin'in yaklaşık 1,4 milyon dolarlık Bitcoin'i Apple iTunes ön ödemeli hediye kartlarına çevirdiğini ortaya çıkardı. Bu, kara para aklama zincirinin sonunun mutlaka karmaşık sınır ötesi finansal hizmetler içermediğini; sıradan perakende ön ödemeli kartların da kullanılabileceğini gösteriyor.

Aynı nakde çevirme talebi, suçlular ile takas, bozdurma ve ödeme hizmeti sağlayıcıları arasındaki işlemleri kolaylaştıran platformlarda çok daha büyük ölçekte işliyor.

Mayıs 2025'te ABD Hazine Bakanlığı Mali Suçları Uygulama Ağı (FinCEN), Kamboçya merkezli Huione Group'u başlıca kara para aklama finans kuruluşu olarak belirledi. Soruşturma, Ağustos 2021'den Ocak 2025'e kadar grubun en az 4 milyar dolar yasadışı gelir akladığını tespit etti.

FinCEN, bunların en az 37 milyon dolarlık kripto paranın Kuzey Kore kaynaklı siber hırsızlıklardan geldiğini doğruladı; geri kalan yasadışı fonlar ise çeşitli yatırım dolandırıcılıkları ve siber sahtekârlıklardan kaynaklanıyor.

4 milyar dolarlık rakam, yukarıda belirtilen tüm suç faaliyetlerinin toplam tutarını temsil ediyor; 37 milyon dolar ise kurumun doğruladığı Kuzey Kore bağlantılı fonların asgari tahminidir.

FinCEN'in değerlendirme raporu, grubun kara para aklamayı önleme ve müşteri kimlik doğrulama mekanizmalarında ciddi zafiyetler olduğunu belirtti. Kimlik doğrulamanın olmaması, grubun yan kuruluşlarının Kuzey Koreli hacker saldırılarından gelen fonları dolaylı olarak almasına olanak tanıdı.

Bu soruşturmanın önemi tek bir işlemle sınırlı değil. Bir aracı kurum sürekli ödeme kanalı sağlayabiliyorsa, birden fazla suç örgütünün paylaştığı bir suç altyapısı hâline gelir ve her suç grubunun kendi nakde çevirme kanalını kurmasına gerek kalmaz.

Büyük miktarda fonun bu tür platformlarda yoğunlaşması, onları yaptırımlar, varlık müsaderesi ve bankacılık iş birliğinin kesilmesi gibi kolluk eylemlerinin hedefi hâline getiriyor.

Huione Group'un ticaret platformu muazzam miktarda işlem ve yasadışı faaliyet işledi. Telegram ağın bazı kanallarını engellese bile, platform operatörleri işlerini sürdürmeye çalıştı.

Platformun toplam işlem hacmi ile FinCEN'in doğruladığı yasadışı gelirlerin istatistiksel standartları aynı değildir; platformdan geçen tüm fonlar doğrudan doğrulanmış suç geliri olarak nitelendirilemez.

Suç platformları kapatılabilir, ancak suçlu müşteriler varlığını sürdürür

Zorluk şu: Yasadışı ticaret platformunun altyapısı yok edilse bile, suçlular alternatif hizmet sağlayıcılara erişebildiği sürece bu tür işleri doğuran suç talebi ortadan kalkmaz.

Haziran 2026'da ABD Adalet Bakanlığı, Huione Group yan kuruluşlarının kullandığı bulut sunucularının arka ucuna el konulduğunu duyurdu. Bildirildiğine göre bu sunucular, dolandırıcılık, siber suç ve diğer yasadışı faaliyetlerden elde edilen gelirleri transfer etmek için kullanılıyordu.

Bu operasyon, ABD'nin gruba yönelik önceki kısıtlamalarının ardından, yasadışı fon transferini ve varlık gizlemeyi destekleyen teknik altyapıyı hedef aldı.

Ancak altyapıyı yok etmek, suçlu müşteriler ile sipariş alan aracılar arasındaki bağlantıyı otomatik olarak kesmez.

9 Eylül'de Hazine Bakanlığı'nın yaptırım duyurusu bu sınırı açıkça ortaya koydu: Yetkililer Xinbi Guarantee'ye yaptırım uyguladı. Bu, suç örgütlerini finansal hizmetler, teknoloji ve diğer kaynaklar sağlayabilen satıcılarla buluşturan yasadışı bir ticaret pazarı.

Hazine Bakanlığı, yaklaşık 2022'den bu yana Xinbi'nin işlediği dijital varlık ve itibari para toplam işlem hacminin 240 milyar doları aştığını ve ağırlıklı olarak Güneydoğu Asya pazarını hedeflediğini belirtti.

Bu kadar büyük bir ölçek, platformu kolluk kuvvetlerinin suç örgütlerinin finansal altyapısına yönelik operasyonlarının kilit hedefi hâline getiriyor.

Hazine Bakanlığı ayrıca, FinCEN'in Huione'ye yönelik operasyonunun ardından siber suçluların faaliyetlerini sürdürmek için işlerini Xinbi'ye taşıdığını belirtti. Bu yeni platform, aynı müşterilere neredeyse aynı hizmetleri sunuyor.

Düzenleyiciler, piyasa güdümlü bir gri ekosistem tablosu çiziyor: Mevcut kanallar kolluk eylemleri nedeniyle güvenilmez hâle geldiğinde, katılımcılar bir sonraki hizmet sağlayıcıyı arıyor.

Huione'ye yönelik operasyon sırasında Telegram, Huione Guarantee ile bağlantılı binlerce kanalı kaldırdı ve ilgili satıcılar alternatif ticaret platformlarına akın etti.

Dolayısıyla operasyonun etkinliği yalnızca kapatılan web sitesi, hesap veya sunucu sayısıyla ölçülemez. Suçlu müşteriler yasadışı finansal hizmetlere talep duyduğu sürece, hâlâ faaliyet gösteren hizmet sağlayıcıları bulup fon kanallarını yeniden inşa edeceklerdir.

Elbette kolluk eylemleri yine de suç maliyetini artırır; örneğin varlık dondurma, takas başarısızlıkları ve tanıdık karşı tarafların ortadan kaybolması gibi. Ancak suç faaliyeti kârlı kaldığı sürece, yasadışı fonları transfer etmenin ekonomik teşviki her zaman var olacaktır.

Kolluk kuvvetlerinin karşılaştığı ikilem, tüm alternatif hizmet sağlayıcı ağı genelinde suç maliyetini sürekli artırmak ve iş istikrarını azaltmak zorunda olmasıdır.

Tether'in dondurma operasyonları kripto para aklama ağlarını başka ödeme araçlarına yönelmeye zorluyor

Xinbi Guarantee'ye yönelik kolluk operasyonları, finansal kısıtlamaların suç faaliyetlerini sekteye uğratabileceğini, ancak suç gruplarını ödeme kanallarını değiştirmeye de zorlayabileceğini gösteriyor.

Tether, Xinbi ile bağlantılı en az 22 cüzdanda toplam 45 milyon doları aşkın USDT'yi donduran bir dizi dondurma işlemi gerçekleştirdi.

Bunun ardından ticaret platformu kullanıcılarına USDD'ye geçeceğini bildirdi. Bu sabit coin, USDT gibi adres dondurma yetkisine sahip değil.

Bu kritik bir dönüşüm: İlgili fonlar hâlâ ihraççının kontrolü altındayken token dondurma özelliği araştırmacılar için son derece değerlidir; düzenlemeden kaçmaya çalışan suçlu müşteriler ise farklı kontrol mekanizmalarına sahip varlıkları tercih etme eğilimindedir.

Bu durum, ödeme sistemindeki bir halka kısıtlandığında işlemlerin başka kanallara aktığını gösteriyor. Araştırmacıların varlıkların akışını izlemesi ve bu kanalları sağlayan hizmet sağlayıcıları soruşturması gerekiyor.

Eylül ayındaki operasyonda yetkililer ayrıca Xinbi'nin ilgili altyapısını hedef alarak 52 milyon doları aşkın değerde kripto paraya el koydu. Aynı zamanda varlık çekme hızı arttı ve bildirildiğine göre rakip ticaret platformları kara para aklayan satıcıların katılımını kısıtlamaya başladı.

Yukarıdaki dava ile ZachXBT'nin bahsettiği Kuzey Koreli hackerlarla bağlantılı 442.000 USDT'nin dondurulması iki bağımsız olaydır. Kamuya açık raporlar, ikisinin aynı adresleri, kişileri veya fonları içerip içermediğini doğrulayamaz.

Ancak her iki vaka da bir gerçeği doğruluyor: Suç grupları finansal aracılara büyük ölçüde bağımlıdır. İlk hırsızlık tamamlanmış olsa bile, aracılık hizmetleri düzenleyici müdahale için bir pencere bırakır.

Token ihraççısı varlıkları dondurma yeteneğine sahipse, risk tanımlanabilir adreslerin bakiyelerinde yoğunlaşır. Bir platform birden fazla suç grubuna hizmet veriyorsa, zafiyetleri altyapıyı, satıcı ağını ve takas düzenlemelerini içerir.

Her iki yol da yasadışı fonları transfer etmenin ve kullanmanın maliyetini ve riskini artırabilir.

İşlemleri kolaylaştıran aracıların yerini doldurmak daha zordur

ZachXBT'nin soruşturmasındaki atılım, ücretli gizli müşteri ilişkisi kurmanın, işlemleri düzenleyenlerin kimliğini ortaya çıkarabileceğini kanıtlamasıdır.

Uzun süredir çalınan kripto paraları işleyen aracılar, çevrelerinde itibar biriktirir, sabit iş ortaklarını seçer ve hangi hizmetlerin yasadışı fonları engellemeden işlemleri tamamlayabileceğini bilir.

Bu ilişkiler, özellikle müşteriler kimliklerini ifşa etmek istemediğinde veya karşı tarafın parayı alıp kaçmasından endişe ettiğinde büyük transferler yapması gerektiğinde, suç faaliyetini zamanla daha verimli hâle getirir.

Ancak mevcut hizmet sağlayıcılar kapatıldığında, bu iş birliği ağını hızla yeniden inşa etmek zordur. Alternatif hizmet sağlayıcılar genellikle daha yüksek ücretler talep eder, şüpheli fonları reddeder veya iş istikrarından yoksundur.

Bu bağımlılık aynı zamanda soruşturma için yeni bir istihbarat kaynağı sağlar. Hizmet sağlayıcılar gelecekteki işlem planlarını, diğer katılımcıları ve siparişleri tamamlamak için gereken ödeme altyapısını ifşa edebilir.

Araştırmacılar yine de istihbaratı zincir üstü kayıtlar ve diğer kanıtlarla birleştirip doğrulamalıdır. Hırsızlıkla bağlantılı fon alan bir adres, alıcının bilgili olduğu veya suça öznel olarak katıldığı anlamına gelmez.

Ancak özel sohbet kayıtlarını sonraki blok zinciri fon akışlarıyla çapraz kontrol etmek, yalnızca işlem akışını izlemenin ulaşamayacağı şekilde bilgi belirsizliğini azaltabilir.

Daha fazla kolluk vakası, yasadışı finansal hizmetlerin cazibesini zayıflatmak için yalnızca düzenli olarak web sitelerini kapatmanın yeterli olmadığını gösteriyor. Bu tür işleri doğuran müşteri tabanı ve kâr güdüsü, web sitesi sunucularının varlığından daha uzun süre varlığını sürdürecektir.

Ancak varlıklara el koymak, finansal kanalları kesmek, hizmet sağlayıcıları kovuşturmak ve takas kontrolörlerini hedeflemek, suç davranışının maliyet-fayda oranını değiştirebilir. Sadece farklı hizmet sağlayıcıların tolere edebilecekleri risk için farklı eşikleri vardır.

Bu aynı zamanda çalınan kripto paranın toplam tutarının, suçluların başarıyla nakde çevirip tasarruf edebildiği fonlara eşit olmadığını; bu fonların belirli askeri veya devlet harcamaları için kullanıldığının da doğrudan çıkarılamayacağını açıklıyor.

Başlangıçta çalınan tutar, aracı adreslerden geçen tutar, başarıyla gerçek satın alma gücüne dönüştürülen tutar ve nihayetinde kolluk kuvvetleri tarafından geri kazanılan tutar, ayrı ayrı kanıtlanması gereken dört bağımsız istatistiksel standarttır.

Kuzey Koreli hackerlar için, sızma başarılı olsa bile kara para aklama hizmetlerine güvenmek sonradan riskler doğurabilir. Çalınan varlıkları ele geçirmek, birinin bunları kabul etmeye, bozdurmaya ve nihayetinde harcamaya istekli olduğu anlamına gelmez.

ZachXBT'nin gizli operasyonu, bu nakde çevirme talebinin müşteri ilişkilerini soruşturma için bir atılım noktasına dönüştürebileceğini gösteriyor. ABD'nin Huione ve Xinbi'ye yönelik operasyonları da, suçlu müşteriler sürekli yer değiştirse bile gri hizmet sağlayıcıların kendilerinin kolluk eylemlerinin hedefi olabileceğini kanıtlıyor.

Suç davranışının temel zafiyeti, kripto para çalmanın ve kripto parayı fiilen kullanmanın tamamen farklı iki şey olmasıdır. İkincisi hâlâ ticari ortaklıklara dayanır ve tüm katılımcıların korunması gereken varlıkları, itibarları ve ekonomik çıkarları vardır.

Kuzey Koreli hackerlar yasadışı fonları tasarruf edilebilir paraya dönüştürmek istiyorlarsa, yeniden güven gerektiren bir kişisel ilişkiler ağına adım atmak zorundadır; aynı zamanda hizmet sağlayan aracılar da mali kayıp riskini üstlenmek zorundadır.