Orijinal başlık: "Kimchi Premium ve Devlet Hacklemesi: Upbit'in Tekrarlanan Hırsızlıklarından Sonra Kuzey-Güney Kore Gizli Akımları"

Orijinal kaynak: Deep Tide TechFlow

Piyasa toparlandı ancak işlem platformu yine hacklendi.

Güney Kore'nin en büyük kripto para borsası Upbit, 27 Kasım'da yaklaşık 54 milyar won'luk (yaklaşık 36,8 milyon ABD doları) varlık kaybına yol açan bir güvenlik açığını doğruladı.

27 Kasım günü Seul saatiyle (KST) 04:42'de, Güney Koreli yatırımcıların çoğu hala uykudayken, Upbit'in Solana sıcak cüzdan adresinde alışılmadık derecede büyük bir para çıkışı yaşandı.

SlowMist gibi güvenlik örgütlerinin zincir üstü izleme verilerine göre, saldırganlar tek bir varlık transfer yöntemi kullanmamış, bunun yerine Upbit'in Solana zincirindeki varlıklarını "temizleyerek" yağmalamışlardır.

Çalınan varlıklar arasında yalnızca çekirdek token SOL ve stablecoin USDC değil, aynı zamanda Solana ekosistemindeki neredeyse tüm ana akım SPL standart tokenları da yer alıyor.

Çalınan varlıkların listesi (kısmi):

• DeFi/Altyapı : JUP (Jüpiter), RAY (Raydium), PYTH (Pyth Ağı), JTO (Jito), RENDER, IO, vb.

• Memler/toplulukla ilgili : BONK, WIF, MOODENG, PENGU, MEW, TRUMP, vb.

Diğer projeler : ACS, DRIFT, ZETA, SONIC, vb.

Bu kapsamlı saldırı, saldırganların büyük ihtimalle Upbit'in Solana ekosistemi için sıcak cüzdanının özel anahtarına eriştiğini veya imzalama sunucusunun doğrudan kontrol edildiğini ve bu sayede o cüzdan altındaki tüm SPL token'larının transferini yetkilendirebildiklerini gösteriyor.

Güney Kore pazar payının %80'ini elinde bulunduran ve Kore İnternet ve Güvenlik Ajansı'ndan (KISA) en yüksek güvenlik seviyesi sertifikasına sahip olmakla övünen dev Upbit için bu şüphesiz acı verici bir ihlal.

Ancak Güney Kore'de bir ticaret platformunun hacklenmesi ilk kez olmuyor.

Zaman çizelgesini genişlettiğimizde, Güney Kore kripto para piyasasının son sekiz yıldır özellikle Kuzey Koreli hackerlar tarafından hedef alındığını göreceğiz.

Güney Kore kripto para piyasası, yalnızca perakende yatırımcılar için dünyanın en çılgın kumarhanesi değil, aynı zamanda Kuzey Koreli bilgisayar korsanları için de en kullanışlı "nakit ineği" konumunda.

Kuzey-Güney Kore çatışmasının sekiz yılı, çalınmış bir tarihçe

İlk kaba kuvvet saldırılarından sonraki sosyal mühendislik sızmalarına kadar saldırı yöntemleri sürekli olarak gelişti ve Güney Koreli ticaret platformlarının çektiği sıkıntıların tarihi de buna bağlı olarak uzadı.

Toplam kayıplar: Yaklaşık 200 milyon dolar (hırsızlık anındaki fiyat baz alındığında; mevcut fiyatlarla hesaplandığında 1,2 milyar doları aşıyor; bunlardan sadece 2019'da Upbit'ten çalınan 342.000 ETH'nin değeri şu anda 1 milyar doların üzerinde).

2017: Vahşi Doğa Çağı - Bilgisayar Korsanları Çalışanların Bilgisayarlarını Hedef Alıyor

2017, kripto boğa piyasasının başlangıcını işaret etti ancak aynı zamanda Güney Kore ticaret platformları için bir kabusun da başlangıcı oldu.

O yıl, Güney Kore'nin en büyük çevrimiçi pazar yeri olan Bithumb, etkilenen ilk şirket oldu. Haziran ayında, bilgisayar korsanları bir Bithumb çalışanının kişisel bilgisayarına girerek yaklaşık 31.000 kullanıcının kişisel bilgilerini çaldı. Ardından bu verileri hedefli kimlik avı saldırıları düzenlemek için kullanarak yaklaşık 32 milyon dolar çaldılar. Daha sonra yapılan incelemeler, çalışanın bilgisayarında şifrelenmemiş müşteri verileri bulunduğunu ve şirketin temel güvenlik güncellemelerini bile yüklemediğini ortaya çıkardı.

Bu durum, o dönemde Güney Kore ticaret platformlarındaki güvenlik yönetiminin ne kadar ilkel olduğunu ortaya koydu; "müşteri verilerini kişisel bilgisayarlarda saklamayın" gibi temel ilkeler bile henüz yerleşmemişti.

Daha da önemlisi, orta ölçekli işlem platformu Youbit'in çöküşüydü. Bu platform, bir yıl içinde iki yıkıcı darbe aldı: Nisan ayında yaklaşık 4.000 Bitcoin (yaklaşık 5 milyon dolar) kaybetti ve ardından Aralık ayında varlıklarının %17'si çalındı. Bunalmış durumdaki Youbit, iflasını ilan etti ve kullanıcılar bakiyelerinin yalnızca %75'ini çekebildi, geri kalanı ise uzun bir iflas tasfiye sürecini bekliyor.

Youbit olayının ardından, Güney Kore İnternet Güvenlik Ajansı (KISA), olayın arkasında ilk kez Kuzey Kore'nin olduğunu kamuoyuna açıkladı. Bu da piyasaya bir mesaj verdi:

Ticaret platformu artık sıradan siber hırsızlarla değil, jeopolitik hedefleri olan devlet destekli hacker gruplarıyla karşı karşıya.

· 2018: Sıcak Cüzdan Soygunu

Güney Kore pazarı, Haziran 2018'de bir dizi ağır darbe aldı.

10 Haziran'da, orta ölçekli kripto para borsası Coinrail saldırıya uğradı ve 40 milyon doları aşan bir kayıp yaşandı. Önceki saldırıların aksine, bu sefer saldırganlar Bitcoin veya Ethereum yerine, o dönem popüler olan ICO token'larını (Pundi X'in NPXS'i gibi) hedef aldı. Haberin ardından, Bitcoin'in fiyatı kısa bir süreliğine %10'dan fazla düştü ve tüm kripto para piyasası iki gün içinde 40 milyar doların üzerinde piyasa değeri kaybetti.

Sadece on gün sonra, Güney Kore'nin önde gelen kripto para borsalarından Bithumb da bir güvenlik ihlali yaşadı ve sıcak cüzdanından yaklaşık 31 milyon dolar değerinde XRP ve diğer token'lar çalındı. İşin ilginç yanı, saldırıdan sadece birkaç gün önce Bithumb, Twitter'da "güvenlik sistemini geliştirmek için varlıkları soğuk cüzdanlara aktardığını" duyurmuştu.

Bithumb'ın bir buçuk yıl içinde üçüncü kez hacklenmesi.

Bir dizi temerrüt, piyasa güvenini ciddi şekilde zedeledi. Olayın ardından Güney Kore Bilim ve Teknoloji Bakanlığı, 21 yerel işlem platformunda güvenlik denetimi gerçekleştirdi. Sonuçlar, yalnızca 7'sinin 85 kontrolün tamamını geçtiğini, kalan 14 platformun ise "her an bilgisayar korsanı saldırılarına maruz kalma riski altında" olduğunu ve 12'sinin soğuk cüzdan yönetiminde ciddi güvenlik açıkları bulunduğunu gösterdi.

• 2019: Upbit'in 342.000 ETH'si çalındı

Güney Kore'nin en büyük işlem platformu Upbit, 27 Kasım 2019'da ülke tarihindeki en büyük hırsızlık olayına maruz kaldı.

Bilgisayar korsanları, bir işlem platformunun cüzdan işlemlerindeki duraklamadan yararlanarak tek bir işlemde 342.000 ETH transfer ettiler. Parayı hemen boşaltmak yerine, "soyma zinciri" teknolojisini kullanarak parayı sayısız küçük işleme böldüler ve katman katman aktararak sonunda onlarca KYC dışı işlem platformuna ve coin karıştırıcısına gönderdiler.

Soruşturmada, çalınan ETH'nin yüzde 57'sinin Kuzey Kore tarafından işletildiğinden şüphelenilen borsalarda piyasa fiyatının yüzde 2,5 altında Bitcoin ile değiştirildiği, kalan yüzde 43'ünün ise 13 ülkedeki 51 borsa aracılığıyla aklandığı ortaya çıktı.

Güney Kore polisi, olayın Kuzey Koreli hacker grupları Lazarus Group ve Andariel tarafından gerçekleştirildiğini ancak beş yıl sonra, Kasım 2024'te resmen doğruladı. Araştırmacılar, saldırganları IP takibi, finansal akış analizi ve saldırı kodunda geçen Kuzey Kore'ye özgü "흘한일" (anlamı "önemli değil") ifadesi sayesinde tespit etti.

Güney Koreli yetkililer, varlıkları takip etmek için ABD FBI ile iş birliği yaptı ve dört yıllık yasal sürecin ardından nihayet İsviçreli bir ticaret platformundan 4,8 Bitcoin'i (yaklaşık 600 milyon won) kurtardı ve Ekim 2024'te Upbit'e iade etti.

Ancak çalınan toplam miktarla karşılaştırıldığında geri kazanılan miktar yok denecek kadar azdır.

· 2023: GDAC Etkinliği

9 Nisan 2023'te orta ölçekli ticaret platformu GDAC'ye saldırı düzenlendi ve bu saldırı sonucunda yaklaşık 13 milyon dolarlık bir kayıp yaşandı; bu da şirketin toplam saklama altındaki varlıklarının %23'üne denk geliyor.

Çalınan varlıklar arasında yaklaşık 61 BTC, 350 ETH, 10 milyon WEMIX token ve 220.000 USDT bulunuyordu. Bilgisayar korsanları, GDAC'nin sıcak cüzdanının kontrolünü ele geçirdi ve Tornado Cash karıştırıcısını kullanarak fonların bir kısmını hızla akladı.

· 2025: Altı yıl sonra aynı gün, Upbit yine kurban gitti.

Altı yıl önce aynı gün (27 Kasım), Upbit 342.000 ETH kaybetmişti.

Tarih tekerrür etti. Saat 04:42'de Upbit'in Solana sıcak cüzdanında alışılmadık bir para çıkışı yaşandı ve yaklaşık 54 milyar won (36,8 milyon ABD doları) tutarındaki varlık bilinmeyen bir adrese aktarıldı.

2019'daki Upbit olayının ardından Güney Kore, 2020 yılında Özel Finansal Bilgiler Yasası'nı (Specific Financial Information Act) resmen yürürlüğe koydu ve tüm işlem platformlarının ISMS (Bilgi Güvenliği Yönetim Sistemi) sertifikası almasını ve bankalarda gerçek adla hesap açmasını zorunlu kıldı. Gereksinimleri karşılayamayan birçok küçük işlem platformu piyasadan çekilmek zorunda kaldı ve sektör, "yüzlerce borsanın birbiriyle mücadele ettiği" bir ortamdan, birkaç devin hakim olduğu bir ortama dönüştü. Kakao grubunun kaynaklarıyla desteklenen ve sertifika alan Upbit, bir zamanlar %80'i aşan bir pazar payına sahipti.

Ancak altı yıl süren uyumluluk çalışmaları Upbit'i bu krizden kurtaramadı.

Baskıya hazırlandığımız sırada Upbit, kullanıcıların kayıplarını kendi varlıklarıyla tamamen telafi edeceğini duyurdu ancak şirket henüz saldırganın kimliği ve saldırı yolu hakkında detaylı bilgi paylaşmadı.

Kimchi primi, devlet düzeyindeki bilgisayar korsanları ve nükleer silahlar

Güney Kore ticaret platformlarının sıklıkla hacklenmesi, yalnızca teknik yetersizliğin bir sonucu değil, aynı zamanda jeopolitiğin trajik bir yansımasıdır.

Son derece merkezileşmiş, likidite primlerinin son derece yüksek olduğu ve coğrafi konumunun benzersiz olduğu bir piyasada, Güney Kore ticaret platformları, nükleer caydırıcılık hedefleri olan ulusal düzeydeki bir bilgisayar korsanlığı gücüne karşı mücadele etmek için esasen ticari bir şirketin güvenlik bütçesini kullanıyor.

Bu birimin bir ismi var: Lazarus Grubu .

Kuzey Kore Keşif Genel Bürosu'na (RGB) bağlı Lazarus, Pyongyang'ın en seçkin siber savaş güçlerinden biri.

Kripto paralara yönelmeden önce, geleneksel finans sektöründeki güçlerini kanıtlamışlardı.

2014 yılında Sony Pictures'ın güvenliğini ihlal ettiler; 2016 yılında Bangladeş Merkez Bankası'ndan 81 milyon dolar çaldılar; 2017 yılında ise 150 ülkeyi etkileyen WannaCry fidye yazılımı saldırısını düzenlediler.

Lazarus, 2017'den itibaren kripto para alanına odaklandı. Sebebi basit:

Geleneksel bankalara kıyasla, kripto para alım satım platformları daha gevşek düzenlemelere tabidir ve tutarsız güvenlik standartlarına sahiptir. Dahası, bir dolandırıcılık gerçekleştiğinde, uluslararası yaptırımları atlatarak, zincir içi işlemler aracılığıyla fonlar hızla sınırlar ötesine aktarılabilir.

Güney Kore ideal bir avlanma alanıdır.

Öncelikle, Güney Kore jeopolitik çatışmanın doğal hedefidir . Kuzey Kore için Güney Koreli şirketlere saldırmak, yalnızca fonlara erişim sağlamakla kalmaz, aynı zamanda "düşman bir ülkede" kaos yaratarak aynı anda iki hedefe ulaşmak anlamına gelir.

İkincisi, kripto paralara olan prim, kârlı bir fon havuzunu yansıtıyor . Güney Koreli perakende yatırımcılar, kripto paralara olan tutkularıyla dünya çapında tanınıyor ve bu prim, esasen arzın talebi karşılamaması ve sınırlı sayıdaki kripto varlıklarını kovalamak için büyük miktarda Kore wonunun piyasaya akın etmesiyle ortaya çıkıyor.

Bu, Güney Koreli işlem platformlarının sıcak cüzdanlarının diğer piyasalara kıyasla çok daha fazla likiditeye sahip olduğu anlamına geliyor. Bilgisayar korsanları için bu bir altın madeni.

Üçüncüsü, dil konusunda bir avantajları vardı . Lazarus'un saldırıları yalnızca kaba kuvvet tekniklerine dayanmıyordu. Sahte iş ilanları hazırlamak, kimlik avı e-postaları göndermek ve doğrulama kodlarını elde etmek için müşteri hizmetleri gibi davranmak gibi sosyal mühendislik yöntemlerinde de ustaydılar.

Kuzey ve Güney Kore aynı dili ve kültürü paylaşıyor ve dil engeli bulunmuyor. Bu da Güney Koreli çalışanlara ve kullanıcılara yönelik hedefli kimlik avı saldırılarının başarı oranını önemli ölçüde artırıyor.

Çalınan paralar nereye gitti? Hikayenin en ilginç kısmı bu olsa gerek.

BM raporuna ve çeşitli blockchain analitik firmalarının takibine göre, Lazarus'un çaldığı kripto para en sonunda Kuzey Kore'nin nükleer silah ve balistik füze programlarına aktı.

Reuters daha önce, Kuzey Kore'nin füze geliştirme programını finanse etmek için çalınan kripto para fonlarını kullandığını belirten gizli bir BM raporuna atıfta bulunmuştu.

Beyaz Saray Ulusal Güvenlik Danışman Yardımcısı Anne Neuberger, Mayıs 2023'te Kuzey Kore'nin füze programına ayrılan fonun yaklaşık %50'sinin siber saldırılar ve kripto para hırsızlığından geldiğini kamuoyuna açıkladı; bu rakam, Temmuz 2022'de verdiği "yaklaşık üçte bir" rakamından daha da fazlaydı.

Başka bir deyişle, Güney Kore'ye ait bir ticaret platformu her hacklendiğinde, dolaylı olarak 38. paralelin diğer tarafındaki nükleer savaş başlıklarının geliştirilmesine katkıda bulunabilir.

Bu arada, kara para aklama yöntemleri oldukça karmaşıktır: Çalınan varlıklar önce "şeritleme zinciri" teknolojisi kullanılarak sayısız küçük işleme bölünür, ardından kökenleri para karıştırıcılar (Tornado Cash ve Sinbad gibi) tarafından gizlenir, daha sonra Kuzey Kore yapımı bir ticaret platformu aracılığıyla indirimli olarak Bitcoin ile değiştirilir ve son olarak Çin ve Rusya'daki yeraltı kanalları aracılığıyla itibari para ile değiştirilir.

Güney Kore polisi, 2019 yılında Upbit'ten 342.000 ETH çalınmasıyla ilgili soruşturmanın sonuçlarını resmen açıkladı. Soruşturma, çalınan ETH'nin %57'sinin Kuzey Kore tarafından işletildiğinden şüphelenilen üç borsada piyasa değerinin %2,5 altında Bitcoin ile takas edildiğini, kalan %43'ünün ise 13 ülkedeki 51 borsa aracılığıyla aklandığını ortaya koydu. Tüm süreç birkaç yıl sürdü ve fonların büyük çoğunluğu henüz kurtarılamadı.

Güney Kore ticaret platformlarının karşı karşıya olduğu temel ikilem şu olabilir:

Bir tarafta ulusal kaynaklarla desteklenen, 7/24 faaliyet gösterebilen ve her miktarda parayı yatırmaya hazır bir hacker gücü olan Lazarus var; diğer tarafta ise Upbit ve Bithumb gibi ticari şirketler yer alıyor.

Sansürü geçen önde gelen ticaret platformları bile devlet destekli yüksek kalıcı tehdit saldırıları karşısında hâlâ güçsüz kalıyor.

Bu sadece Güney Kore'nin sorunu değil.

Sekiz yıl, ondan fazla saldırı ve yaklaşık 200 milyon dolarlık kayıp; eğer bunlar Güney Kore'nin kripto sektöründe yalnızca yerel haberler olarak değerlendiriliyorsa, o zaman büyük resim gözden kaçıyor.

Güney Koreli ticaret platformunun yaşadığı çile, kripto para sektörü ile ulusal düzeydeki bir rakip arasındaki mücadelenin bir ön izlemesi niteliğinde.

Kuzey Kore en göze çarpan oyuncu, ancak tek değil. Bazı yüksek tehditli Rus saldırı grupları birden fazla DeFi saldırısıyla ilişkilendirildi, İranlı bilgisayar korsanları İsrailli kripto şirketlerine saldırılar düzenledi ve Kuzey Kore, savaş alanını çoktan Güney Kore'den küresel arenaya genişletti; örneğin 2025'te 1,5 milyar dolarlık Bybit saldırısı ve 2022'de 625 milyon dolarlık Ronin saldırısı gibi, kıtalar arası kurbanları olan saldırılar.

Kripto endüstrisinin yapısal bir paradoksu var: Her şeyin merkezi bir giriş noktasından geçmesi gerekiyor.

Blockchain'in kendisi ne kadar güvenli olursa olsun, kullanıcıların varlıkları eninde sonunda ticaret platformları, zincirler arası köprüler ve sıcak cüzdanlar gibi "dar geçitlerden" geçmek zorunda kalacak.

Büyük miktarda fonun yoğunlaştığı bu düğümler, sınırlı bütçelere sahip ticari şirketler tarafından işletiliyor; devlet destekli hackerlar içinse oldukça verimli bir avlanma alanı .

Saldıran ve savunan tarafların kaynakları temelde eşitsizdir; Lazarus yüz kere başarısız olabilirken, ticaret platformu yalnızca bir kere başarısız olabilir.

Kimchi primi, küresel arbitrajcıları ve yerel perakende yatırımcıları cezbetmeye devam edecek. Lazarus, ifşa olduğu için durmayacak. Güney Koreli işlem platformları ile devlete ait bilgisayar korsanları arasındaki mücadele henüz bitmedi.

Umarım bir dahaki sefere paranız çalındığında, bu sizin paranız olmaz.

Orijinal bağlantı

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia