Zincir-üstü araştırmacı ZachXBT, Binance'ten çalınan fonların, geçen ay 388 milyon dolar soyulan Bitget'in fonlarıyla THORChain üzerinden aynı adreste birleştiğini gösterdi. Bulgu, iki saldırının da aynı failin — Kuzey Kore bağlantılı olarak gösterilen TraderTraitor'un — işi olduğu ihtimalini güçlendiriyor. Bu arada dondurulan toplam varlık 3 milyar dolara ulaşırken Ripple da yaklaşık 200 milyon doları kilitledi.
Binance soygununda fail sorusuna bugün gelen en çarpıcı kanıt bir önceki büyük soygunla kurulan bağ oldu. Zincir-üstü dedektif olarak bilinen araştırmacı ZachXBT, Binance’in 6,3 milyar dolarlık soyulan fonları ile geçen ay gerçekleşen 388 milyon dolarlık Bitget soygununun fonlarının, THORChain adlı zincirler-arası takas protokolü üzerinden aktarıldıktan sonra aynı cüzdan adresinde birleştiğini açıkladı. Bulgusunu ‘bu iki olayın muhtemelen aynı failin eseri olduğuna işaret ediyor’ diye değerlendiren ZachXBT, Bitget soygununun zaten Kuzey Kore bağlantılı TraderTraitor grubuna atfedildiğini ve aynı grubun önceki Kelp DAO istismarıyla da örtüştüğünü hatırlattı.
Bulgunun ağırlığı zincirlerin tanıklığında: İki ayrı borsadan çalınan fonların tek adreste birleşmesi, saldırganın tek bir operasyon merkezi tarafından yönetildiğinin en güçlü zincir-üstü işareti. Bu tablo bugün gelen kurumsal atıflarla da örtüşüyor — Chainalysis CEO’su Jonathan Levin saldırıyı ‘muhtemel TraderTraitor’ olarak nitelemiş, Blockaid de saldırının Kuzey Kore el izine benzediğini söylemişti. Yani artık hem davranış analizi hem fon akışı aynı yöne bakıyor. Saldırganın Binance kapısını bir DevOps mühendisinin ele geçirilmiş dizüstü bilgisayarından açtığı, özel anahtarların değil imza sisteminin kandırıldığı önceki bulgularla birleştiğinde ortaya çıkan portre, seri ve kurumsal düzeyde kaynak gerektiren bir devlet bağlantılı operasyon.
Geri alma cephesi de hız kazandı. Binance kurucusu Yi He’nin açıklamasına göre Ripple, saldırıyla bağlantılı yaklaşık 200 milyon doları ‘derhal’ dondurdu. Bu, World Liberty Financial’ın 27 milyon dolarlık USD1 ve yaklaşık 2 milyon dolarlık WLFI dondurması ile Arbitrum Güvenlik Konseyi’nin 30,5 milyon dolarlık zincir-üstü müdahalesinin üzerine eklendi; Binance’in doğrulanmış toplam dondurma rakamı 3 milyar dolara ulaştı. Borsa, kolluk kuvvetleri, token ihraççıları ve zincir analizi firmalarıyla ek varlıkları izlemeye devam ettiğini, yalnızca teyit edilmiş rakamları paylaşacağını bildirdi.
Teknik cephenin özeti ise değişmedi: Saldırgan, Ethereum’un Pectra yükseltmesiyle gelen EIP-7702 özelliğini kullanmak için önceden topladığı 50 imzalı yetkilendirmeyi — her biri farklı sıra numarasıyla — tek seferde gönderdi; geçerli olan tek imza yetti ve saniyeler içinde milyarlar hareket etti. Binance olayın ‘çoklu etken’ içerdiğini söyleyip kök-neden üzerine tam rapor sözü verdi.
Bütün tablo tek bir soruya daralıyor: TraderTraitor kimliğindeki bu el, Bitget ve Binance dışında kaç borsanın kapısında daha bekliyor? ZachXBT’in fon haritası genişledikçe seri haline gelen soygunlar, merkezî borsaların tek cüzdan-imza mimarisinin artık devlet ölçeğindeki saldırganlara karşı tutunamadığını gösteriyor. Kullanıcı fonlarının karşılanacağı taahhüdü duruyor — ama sektörün güven maliyeti her soygunla bir kat daha büyüyor.