Rainbow Bridge Ağustos 2022 saldırısını önledi; SlowMist Ronin’den çalınan fonları izledi

Aurora Labs CEO’su Alex Shevchenko, 22 Ağustos 2022’de 15 paylaşımlık Twitter dizisinde, 20 Ağustos Cumartesi günü Rainbow Bridge’e yönelik başarısız saldırıyı anlattı. Açıklamasına göre otomatik izleme sistemleri girişimi bir dakikadan kısa sürede durdurdu ve kullanıcı fonları kaybolmadı. Saldırgan, o tarihte yaklaşık 8.000 ABD doları değerindeki 5 ETH teminatın tamamını kaybetti. Köprü, seçilmiş aracılara güvenmek yerine protokol doğrulamasına dayanıyordu; bu, bütün güvenlik risklerinin ortadan kalktığı anlamına gelmiyordu.

Saldırgan, NEAR bloklarını Ethereum’a aktaran bir aktarıcı gibi davranarak köprünün akıllı sözleşmesine sahte bir NEAR bloğu sundu. Bu saldırı girişimi Shevchenko’ya göre dört Ethereum bloğu, yani 31 saniye içinde otomatik olarak tespit edilip durduruldu. 5 ETH teminat yalnızca azaltılmadı, tamamen kaybedildi. Mayıstaki benzer girişim de kullanıcı fonları zarar görmeden önlenmişti. Shevchenko, önceki saldırının başlangıç fonunun Ağustos 2022’de ABD yaptırımlarına alınan kripto karıştırıcısı Tornado Cash üzerinden geldiğini belirtmişti. Yaptırım ifadesi, yazının yayımlandığı dönemdeki durumu anlatır.

2022’de Wormhole ve Ronin’de hırsızlık yaşandı; Rainbow Bridge girişimi önlendi

Blokzincirler arası köprüler, DeFi açıklarından yararlanmak isteyen saldırganlar için cazip hedeflerdi. Shevchenko, teminatın artırılmasının düşünüldüğünü ancak bunun “köprüye katılımı daha fazla izne bağımlı hâle getireceği” ve giriş engellerini artırarak merkeziyetsizlik hedefiyle çelişeceği için reddedildiğini açıkladı.
Şubat 2022’de, Solana’yı diğer ağlara bağlayan Wormhole’daki açık kullanılarak yeterli karşılığı olmadan 120.000 wETH oluşturuldu; o dönemdeki değer yaklaşık 320 milyon dolardı. Ronin’e 23 Mart’ta yapılan saldırıda ise 173.600 ETH ve 25,5 milyon USDC çalındı; değerleri o sırada sıklıkla yaklaşık 625 milyon dolar olarak veriliyordu. Bunlar köprü olaylarıydı; Solana veya Ethereum ana zincirinin mutabakatının kırıldığını göstermiyordu. SlowMist daha sonra varlıkların bir bölümünün takas edilip Bitcoin ağına taşındığını bildirdi.

SlowMist’in Ronin’den çalınan fonlara ilişkin incelemesi

SlowMist araştırmacısı BliteZero aktarımları anlattı; analizine göre amaç, fonların izini sürmeyi zorlaştırmaktı. Şirketin blokzincir güvenliği ve kara para aklamayla mücadele konulu yarıyıl raporunda ChipMixer ve Blender gibi hizmetler incelendi. Mayıs 2022’de ABD yaptırımı uygulanan hizmet Blender’dı; iki hizmetin de aynı tarihte yaptırıma alındığı ifadesi yanlıştı.

Kripto borsaları üzerinden geçen fonların takibi

Yazıda, daha sonra HTX adını alan Huobi’ye 5.029 ETH, FTX’e 1.219,98 ETH ve Binance’e 667,39 ETH aktarımından söz ediliyordu. Ayrıca 28 Mart için 6.249,98 ETH toplamı veriliyordu. Oysa üç kalemin toplamı 6.916,37 ETH’dir; açıklama olmadan aynı toplamın bileşenleri sayılamazlar. Farklı kapsamdaki akışlar veya kaynakta sayısal bir uyuşmazlık söz konusuydu. ABD makamları Ronin saldırısını Kuzey Koreli Lazarus grubuyla ilişkilendiriyordu; bir borsadan para geçirilmesi, borsanın hırsızlığa katıldığını tek başına kanıtlamazdı.

BliteZero’nun takibine göre Huobi ve FTX üzerinden çekilen yaklaşık 439,78 BTC, Blender.io’ya gönderildi. Yazıda ayrıca 4 Nisan–19 Mayıs arasında Tornado Cash’e yaklaşık 175.000 ETH aktarıldığı belirtiliyordu. SlowMist’in ayrıntılı incelemesindeki tutar, çalınan USDC’nin takası sonrasında 175.100 ETH idi; dolayısıyla yalnızca başlangıçta çalınan ETH’lerden oluşmuyordu.

Blender, ABD’de yaptırım uygulanan ilk kripto karıştırıcısı oldu; OFAC kararı 6 Mayıs 2022 tarihliydi. ABD Hazine Bakanlığı, hizmetin çalıntı fonlardan 20,5 milyon doların üzerinde bir kısmı işlediğini açıkladı. BliteZero bazı adresleri Ronin ile ilişkilendirerek Huobi ve FTX’ten çekilen 439,78 BTC’yi yaklaşık 20,72 milyon dolar olarak değerledi. Farklı zamanlardaki bu tahminler iki ek hırsızlığı veya OFAC’ın onayladığı kesin bir kur hesabını ifade etmiyordu.

ETH ve renBTC’den Bitcoin ağına aktarım

Saldırganlar, sahte çekimleri onaylatmak için Ronin doğrulayıcılarının ele geçirilmiş özel anahtarlarını kullandı. SlowMist’e göre Tornado Cash’ten geçen fonlar daha sonra Uniswap ve 1inch üzerinden renBTC’ye çevrildi ve Ren aracılığıyla karşılık gelen değer Bitcoin ağına taşındı. renBTC, Ethereum üzerinde BTC’yi temsil ediyordu; bu mekanizmadan yararlanmak finansal kaldıraç kullanmak demek değildi.
SlowMist, ChipMixer ve Blender’a devam eden akışların yanı sıra Wasabi’nin CoinJoin tekniğinin kullanıldığını da anlattı; Coinjoin ayrı bir blokzincirin adı değildi. Yazı, 6 Nisan’dan itibaren aktarımlardan, ChipMixer çekimleri sonrasında yeniden karıştırmadan ve Binance, WhiteBIT ile Coinbase üzerinden takaslardan söz ediyordu. Karıştırma sonrası bağlantıların bir bölümü olasılığa dayalı zincir analizine dayanıyordu; sonraki bütün varış noktaları kesin olarak saptanamıyordu. Ren üzerinden dönüşüm tamamlandığında varlıklar hâlâ sarılı renBTC değil, Bitcoin ağındaki BTC idi.

2022’de kripto karıştırıcılarının kullanımı

Raporlar, hem mahremiyet amacıyla hem de suç gelirlerinin izini gizlemek için karıştırıcı kullanımının arttığını anlatıyordu. Bu teknikler işlemler arasındaki bağlantıyı zorlaştırabilir, ancak anonimliği garanti etmezdi. Chainalysis’e göre karıştırıcılara gelen kripto değerinin 30 günlük hareketli ortalaması 51,8 milyon dolara, yuvarlandığında yaklaşık 52 milyon dolara, 19 Nisan 2022’de ulaştı. Bu, tek bir işlemin ortalama tutarı veya yalnızca çalınmış paraların toplamı değildi. Olaylar makamların incelemelerini artırdı; bütün karıştırma tekniklerine yönelik genel bir yasak anlamına gelmiyordu. Buradaki yaptırım bilgileri 2022 dönemine ilişkindir.