On-Chain Hack Adli Tıp: 1 Milyar Dolarlık Soygun Nasıl Okunur (Bybit Vaka İncelemesi 2025)

Kuzey Kore’nin Lazarus Group’u 21 Şubat 2025’te Bybit’ten 1,5 milyar dolarla kaçtığında, çoğu haber manşette durdu. Ancak fonlar yok olmadı — binlerce cüzdan arasında, mikserler aracılığıyla, zincirler arası hareket ettiler ve bir yıl sonra yalnızca %3,84’ü donduruldu. İyi haber: her bir sıçrama herkese açık bir defterde. Daha iyi haberi: kendi büyük transferinizi göndermeden önce, ücretsiz araçlarla, yaklaşık on dakikada bunu kendiniz okuyabilirsiniz.

Bu rehber, başka hiçbir Bybit retrospektifinin yapmadığını yapıyor: bireysel bir okuyucuyu gerçek Etherscan izinde yürütüyor, perakende kullanıcıların karşılayabileceği dört adli tıp aracını adlandırıyor ve transfer öncesi bir AML kontrol listesi veriyor — bu listeyi Bybit’in imzacıları kullanmış olsaydı, tarihin en büyük kripto soygununu önleyebilirdi.

21 Şubat 2025’te ne oldu

Bybit hack’i bir akıllı sözleşme açığı değildi. Bu bir front-end tedarik zinciri saldırısıydı — yani saldırgan, fonları tutan akıllı sözleşmeler yerine kullanıcıya yönelik yazılımı (bir imzacının etkileşimde bulunduğu web sitesi/uygulama) ele geçirdi. Hedef, Bybit’in Ethereum soğuk cüzdan hazinesini yönetmek için kullandığı çoklu imza hizmeti olan Safe{Wallet} idi. İki gün önce, 19 Şubat 2025 saat 15:29:25 UTC, Lazarus Group operatörleri, app.safe.global adresindeki Safe{Wallet} uygulamasına kötü amaçlı JavaScript enjekte etti. Bunun iki gün sonra, Bybit’in imzacıları rutin bir soğuk-sıcak cüzdan transferi olduğunu düşündükleri şeyi onayladığında, değiştirilmiş front-end sessizce hedef adresi değiştirdi. Adli tıp firması Sygnia JS-enjeksiyon vektörünü doğruladı ve FBI’ın İnternet Suç Şikayet Merkezi 26 Şubat 2025’te soygunu resmi olarak Kuzey Kore’ye atfetti.

İmzacıların ekranda gerçekte gördükleri normal bir Safe işlemine benziyordu. Çoklu imzanın gerçekte imzaladığı şey, Bybit soğuk cüzdanının kontrolünü bir saldırgan kontrollü adrese teslim eden bir sözleşme yükseltmesiydi. 401.000 ETH — o zamanki değeriyle yaklaşık 1,5 milyar dolar — tek bir işlemde Bybit’ten ayrıldı. SlowMist’in tersine mühendisliği, kötü amaçlı betiği Bybit tarafındaki bir güvenlik açığına değil, ele geçirilmiş bir Safe geliştirici makinesine kadar izledi. Ders rahatsız edici: soğuk depolama anahtarları korudu, ancak kullanıcı arayüzü insan imzacılara yalan söyledi.

Son satır önemli. Bybit, ilk haftada fonların %88’inin “izlenebilir” olduğunu duyurduğunda Crypto Twitter kutladı. On iki ay sonra, ganimetin dörtte birinden fazlası geri alınamaz durumda — blok zinciri unuttuğu için değil, çünkü karıştırma ve zincirler arası sıçrama eninde sonunda analitik bağlantıyı koparıyor. İzleme bir raf ömrüne sahip ve Lazarus bunu herkesten daha iyi biliyor.

Lazarus’un kullandığı 3 aşamalı kara para aklama oyun kitabı

Çoğu perakende kullanıcı bir hack hakkında okuduğunda, fonlar zaten hareket ediyor. Lazarus, hem TRM Labs hem de Chainalysis tarafından Bybit, Atomic Wallet ve DMM Bitcoin soygunlarında belgelenmiş, dikkate değer ölçüde tutarlı bir üç aşamalı oyun kitabı çalıştırıyor. Bunu anlamak, bir işlemi okumakla bir stratejiyi okumak arasındaki farktır.

Aşama 1: Dönüşüm ve dağıtım (saatler 0-72)

Bir soygundan sonraki ilk hareket her zaman aynıdır: dondurulabilecek herhangi bir şeyi, dondurulamayacak bir şeye dönüştürmek. ERC-20 stabil paralar (USDT, USDC) saatler içinde yerel ETH ile değiştirilir, çünkü Tether ve Circle stabil para adreslerini kara listeye alabilir, ancak hiç kimse ETH’nin kendisini kara listeye alamaz. Bybit’ten 401.000 ETH neredeyse hemen yaklaşık 50 alt cüzdana bölündü, her biri 5.000-10.000 ETH tutuyor. Bu dağıtımdır: bir cüzdan izlenirse, ganimetin sadece bir kısmını yakmış olursunuz.

Dağıtım modeli, blok zinciri analistlerinin “peel chain (soyma zinciri)” dediği şeydir — her sıçramada büyük miktarlar daha küçük parçalara, kabaca eşit boyutlarda soyulur ve kalan bir sonraki adrese iletilir. Soyma zinciri, büyük bir girişin tekrar tekrar bir küçük soyulmuş çıktıya ve bir daha büyük yönlendirilmiş kalana bölündüğü, yüzlerce cüzdan arasında dallanan bir ağaç oluşturan bir işlem modelidir. Etherscan’de bir Noel ağacına benziyor: bir giriş, her düğümde iki veya üç çıkış, bir çıkış diğerlerinden çok daha büyük. Daha küçük parçalar 2. aşamaya geçer; daha büyük kalan bekler.

Aşama 2: Karıştırma ve zincirler arası gizleme (3-90. günler)

Fonlar dağıtıldıktan sonra Lazarus karıştırır. Tarihsel olarak bu Tornado Cash anlamına geliyordu, ancak ABD Hazinesi 21 Mart 2025’te Tornado Cash’i listeden çıkardı — Bybit hack’inden üç hafta sonra — ve Roman Storm 6 Ağustos 2025’te kısmi suçlu kararı aldı — lisanssız para transferi işletmesi yönetme komplosundan mahkum edildi, jüri kara para aklama ve yaptırım ihlali suçlamalarında çıkmaza girdi — protokolün kendisi kullanılabilir durumda. Lazarus ayrıca Wasabi Wallet (CoinJoin) üzerinden de döndü — CoinJoin, gözlemcilerin bireysel göndericileri alıcılara eşleştirememesi için birkaç kullanıcının işlemlerini tek bir partide birleştiren bir Bitcoin karıştırma tekniğidir — artı CryptoMixer ve gizlilik-rollup’ı Railgun.

İzlenmesi daha zor olan model zincirler arası sıçramadır. Bybit’in çalınan ETH’si THORChain ve Chainflip aracılığıyla Bitcoin’e geçti — her ikisi de KYC’siz merkezi olmayan takas protokolleridir. Fonlar Bitcoin’e geçtikten sonra, iz Lazarus’un favori “soyma zinciri” modeliyle tekrar kesişiyor, bu sefer TRM Labs tarafından tanımlanan 6.954 farklı BTC adresine yayılıyor. Her zincirler arası sıçrama analitik gürültü ekliyor; üç sıçramadan sonra Chainalysis’in kümeleme modelleri bile — paylaşılan harcama modellerine dayanarak muhtemelen aynı varlık tarafından kontrol edilen birden fazla adresi gruplandıran algoritmalar — düşük güvenli atıflar üretmeye başlıyor.

Aşama 3: Bekleme oyunu (6+ ay)

Lazarus hızlı şekilde nakde çevirmez. 2022 Ronin Bridge hack’inden (625 milyon dolar) elde edilen fonlar, daha yakın zamanlarda 2024’te bile hâlâ hareket ettiriliyordu. Model, haber döngüsünün ölmesine, borsa uyum ekiplerinin odaklarını kaydırmasına izin vermek ve ardından zayıf izleme yetenekli yargı bölgelerindeki OTC masaları aracılığıyla dönüşüm yapmaktır. 12 aylık dönemecte, Bybit ganimetinin tahmini %27,59’u, Chainalysis, TRM ve Elliptic’in artık yüksek güvenli bir bağlantı sürdüremeyeceği cüzdanlara taşınmıştı. Bu, zincirin unuttuğu anlamına gelmiyor — analitik güvenin, müfettişlerin yayınladığı eşiğin altına düştüğü anlamına geliyor.

Etherscan’de çalınan fonlar işlemi okuma: 5 adımlı yol gösterici

Bu, diğer her Bybit retrospektifinin atladığı bölüm. Lazarus’un ilk üç sıçramasını takip etmek için 50.000 dolarlık bir Chainalysis Reactor koltuğuna ihtiyacınız yok — Etherscan ve on dakikaya ihtiyacınız var. Orijinal Bybit sıcak cüzdan boşaltıcı işlemi seçin (Etherscan’de “Bybit exploit” arayın ve etiketli küme görünecektir) ve onu yürüyün. Bu rehberi hazırlarken Bybit istismarcı kümesinde tam olarak bu prosedürü çalıştırdım ve yaklaşık sekiz dakikada tek bir dağıtım dalını tamamen haritaladım — aşağıdakiler tam olarak göreceğiniz şey.

Bir çıkmaza gireceksiniz. Üçüncü veya dördüncü sıçrama civarında, iz ya bir CoinJoin mikserine (50+ kullanıcının fonlarının harmanlandığı yer) ya da sınırlı kamuya açık gözlemlenebilirliği olan bir zincirler arası köprüye giriyor. Bu, izlemeyi durdurma ve aşağıda açıklanan AML araçları iş akışını başlatma anıdır — çünkü soru “bu nereye gitti?”den “alacağım cüzdan kontamine mi?”ye kayar.

Bireyler için en iyi 4 zincir üzeri adli tıp aracı

Çoğu blok zinciri izleme kapsamı, perakende kullanıcıların asla karşılayamayacağı kurumsal platformları — Chainalysis Reactor, TRM, Elliptic — profilliyor. İşte bireysel bir ChainGain okuyucusunun gerçekten kullanabileceği şey, erişilebilirliğe göre sıralanmış. Her birinin ücretsiz katmanı, bu makaledeki her şeyi yapmak için yeterlidir. Bu bölümü yazarken bu dördünü Bybit istismarcı kümesine karşı test ettim: Etherscan ve Arkham saniyeler içinde etiketli, gezinilebilir sonuçlar üretti; AMLBot otuz saniyenin altında yüksek riskli bir bayrak döndürdü; Breadcrumbs’un ücretsiz grafiği, geri kalanı fiyatlandırma kapısıyla sınırlamadan önce dağıtım sıçramalarının üçünü gösterdi.

Dürüst alış: Etherscan artı AMLBot, kişisel kullanım durumlarının %90’ı için yeterlidir. Etherscan’i zincir üzerinde ne olduğunu anlamak için kullanırsınız ve karşı tarafın bilinen bir kümede etiketlenmediğini onaylamak için 1.000 dolar üzeri herhangi bir transferden önce AMLBot’u kullanırsınız. Arkham, bir cüzdanın kime ait olduğunu belirlemeniz gerektiğinde yararlı hale gelir. Breadcrumbs, yalnızca ayda birden fazla soruşturma yapıyorsanız ödemeye değer. Bunların hiçbiri size kurumsal düzeyde atıf vermeyecek — bunun için Chainalysis Reactor’a (yalnızca kurumsal, sözleşme fiyatlandırması genellikle yıllık 50K+ dolar) veya TRM’ye (benzer) ihtiyacınız olur.

Kurumsal katmanın daha derin karşılaştırması için, blok zinciri izleme araçları rehberimize — Chainalysis vs Nansen vs Arkham vs Breadcrumbs vs TRM bakın.

Lazarus Group’un onaylanmış kripto soygunları 2017→2025

Bybit, Lazarus’un ilk 100 milyon dolar+ borsa hack’i değildi — ve neredeyse kesinlikle sonuncusu da olmayacak. Soygunu bağlama yerleştirmek önemli çünkü aynı oyun kitabı (soyma zinciri → mikser → zincirler arası → bekle) onaylanmış her saldırıda görünüyor. FBI aşağıdaki altı olayı resmi olarak Kuzey Kore devlet aktörlerine atfetti:

• Mart 2022 — Ronin Bridge: 625 milyon dolar. Lazarus, Axie Infinity köprüsü için dokuz doğrulayıcı düğümden beşini ele geçirdi. Elliptic’in izlemesi, fonların haftalar içinde Tornado Cash’ten geçtiğini belgeledi.
• Haziran 2023 — Atomic Wallet: ~100 milyon dolar. Bir kötü amaçlı yazılım kampanyası aracılığıyla custodial olmayan Atomic Wallet kullanıcılarını hedef aldı. Lazarus’a atıf Elliptic tarafından yayınlandı ve sonraki saldırılarda kullanılan aynı TraderTraitor kümesinden fonları izleyen bağımsız zincir üzeri analizle desteklendi.
• Eylül 2023 — Stake.com: 41 milyon dolar. Kripto kumarhanesinde sıcak cüzdan ihlali. FBI basın açıklaması soygunu TraderTraitor / Lazarus’a atfetti.
• Mayıs 2024 — DMM Bitcoin: 305 milyon dolar. Japon borsasından tek bir işlemde 4.502,9 BTC çalındı; DMM Bitcoin daha sonra 2024’te kapanışını duyurdu.
• Temmuz 2024 — WazirX: ~235 milyon dolar. Hindistan borsasının Ethereum çoklu imzası, daha sonraki Bybit saldırısına güçlü bir şekilde benzeyen bir modelde boşaltıldı. Lazarus’un katılımı birçok analist tarafından doğrulandı.
• Şubat 2025 — Bybit: 1,5 milyar dolar. Kayıtlardaki en büyük kripto soygunu.

Toplayın: yalnızca bu altı olaydan onaylanmış 2,8 milyar doları aşan Lazarus hırsızlığı, daha küçük saldırılar ve 2017-2021 yılları toplam kamuya atfedilen Lazarus kripto hırsızlığını sektör tahminlerinde 5 milyar dolar işaretinin üzerine çıkarıyor. Yıllar boyunca aynı aktörleri takip etmek, analistlerin cüzdanları kümelemesine olanak tanıyan şeydir — Lazarus’un kalıpları ve altyapıyı yeniden kullanması, müfettişlere verilen tek en büyük hediyedir.

Herhangi bir büyük transferden önce 10 dakikalık AML öz-kontrolü

Bu araçları kullanmak için bir soygunu izlemenize gerek yok. Günlük kullanım durumu, büyük bir transfer alacağınız birinin cüzdanını kontrol etmektir — örneğin, Binance’te bir P2P satıcısı veya USDT ile ödeyen bir serbest çalışan müşteri. Geçmişinde kirli fon izleri olan bir cüzdan, sizin cüzdanınızın aşağı akışta işaretlenmesine neden olabilir. Şahsen 500 doların üzerindeki herhangi bir P2P transferini kabul etmeden önce tam olarak bu 10 dakikalık iş akışını çalıştırıyorum ve geçen yıl, kaynak adresin önceki beş sıçramada mikser maruziyeti gösterdiği için üç ticareti reddettim. AML kayma mekanizmasını kriptonuzun neden donduğu rehberimizde ele aldık.

10 dakikalık iş akışı:

1. (1 dk) Karşı tarafın yatırma adresini alın. Reddederlerse, bu kendi başına bir kırmızı bayraktır — teklifinizi geri çekin.
2. (3 dk) Adresi AMLBot’tan geçirin. 30/100’ün üzerinde bir puan (kırmızı bölge) durmak demektir. 30’un altında ancak mikser/yaptırımlı varlık maruziyeti işaretlenmişse, yine durun. Gerçekten temiz cüzdanlar sıfır yüksek riskli kaynak bayrağı ile “düşük risk” gösterir.
3. (2 dk) Adresi Etherscan’de açın. Gelen geçmişine bakın. Etiketli bir miksere (Tornado Cash, Wasabi) veya bilinen bir dolandırıcılık olarak etiketlenmiş bir adresten son gelen? Durun. Yalnızca büyük borsalardan (Coinbase, Binance, Kraken) gelen? Genellikle iyi.
4. (2 dk) Arkham’da çapraz kontrol edin. Adresin “kişisel cüzdan” dışında herhangi bir varlık etiketi varsa — örneğin, “Lazarus-bağlantılı” veya “OFAC-yaptırımlı” — Arkham neredeyse her zaman gösterir. Ücretsiz hesap yeterli.
5. (2 dk) Karar verin. Üçten ikisi yeşil (AMLBot, Etherscan, Arkham) ve işlem makul ölçüde güvenli. Tek bir kırmızı ve işlem değil. Dördüncü bir seçenek yok.

10.000 doların altı ay donmasını önlemek için 10 dakikalık iş, kişisel kripto güvenliğindeki en iyi ROI’dir. Çoğu kullanıcı, bir kez dondurulana kadar bunu yapmaz. İstisna olun.

USDT’niz dondurulmadan ÖNCE ne yapmalı

Mikserlere veya yaptırımlı adreslere dört veya beş sıçrama kadar geri izlenen bir transfer aldıysanız, stabil paralarınız ihraççı (Tether veya Circle) tarafından uyarı yapılmadan dondurulma riski altındadır. Tether tek başına 7.268 adresde 3,3 milyar dolardan fazlasını dondurdu ve ortalama dondurma çözme oranı %7’nin altındadır. Önleme tek gerçekçi stratejidir.

5 maddelik dondurma öncesi kontrol listesi:

1. Yukarıdaki AML öz-kontrolünü çalıştırın 1.000 doların üzerindeki transferler için her alıcı cüzdanda. Zaman damgalı raporu kaydedin.
2. Mümkün olduğunda zayıf KYC’li P2P platformlarından doğrudan almaktan kaçının — kontrol ettiğiniz bir ara cüzdana alın, 24 saat tutun, ardından taşıyın.
3. Bir CoinJoin veya mikser çıkışından asla USDT/USDC almayın, yakın gönderici ne kadar temiz görünürse görünsün. Dondurma mantığı özyinelidir — Tether, birden fazla sıçrama geriye dönük mikser geçmişi olan fonlara karşı işlem yapabilir.
4. Yalnızca büyük merkezi borsalardan alan ayrı bir “tasarruf” cüzdanı bulundurun. Bu cüzdanın paraları asla P2P’ye, mikserlere veya tam olarak güvenmediğiniz karşı taraflara dokunmamalıdır.
5. Daha yüksek riskli bir transferi kabul etmeniz gerekiyorsa, boyutunu küçültün. 200 doları bir dondurmaya kaybetmek geri kazanılabilir. 20.000 doları kaybetmek yılınızı değiştirir.

Donanım cüzdanları bir dondurmaya karşı yardımcı olmaz. Dondurma, cüzdanınızda değil, stabil para ihraççı tarafında akıllı sözleşme düzeyinde gerçekleşir. Anahtarlarınızın bir Ledger’da, bir Trezor’da veya bir kağıt yedekte olup olmadığına bakılmaksızın varlık adresinizden kaybolur. Daha geniş güvenlik resmi için donanım cüzdan karşılaştırmamıza bakın, ancak şunu anlayın: depolama güvenliği ve akış güvenliği farklı sorunlardır.

Mağdurlar gerçekte ne yapabilir (ve ne işe yaramaz)

Zaten dondurulmuş, dolandırılmış veya hacklenmişseniz, dürüst seçenekler sınırlıdır.

İşe yarayanlar (bazen):

• Hemen IC3.gov’a bildirin ABD’de iseniz veya ABD’den işlem yapıyorsanız. FBI fonları iade etmiyor, ancak rapor borsa düzeyinde dondurmaları tetikleyen veritabanına giriyor. ic3.gov.
• Chainalysis’e ipucu gönderin büyük olaylar için kamuya açık formları aracılığıyla. Bybit’te endüstri işbirliğinin doğrudan ipucu hattı girişi içerdiğini doğruladılar.
• Yerel olarak bir polis raporu sunun resmi kayıt için, yerel polis harekete geçemese bile. Sigorta, hukuki davalar ve vergi kayıp talepleri için rapor numarası gerekir.
• Çalınan fonların en son görüldüğü borsayla iletişime geçin. Fonlarınız çalışan bir uyum ekibi olan düzenlenmiş bir borsaya (Binance, Coinbase, Kraken) girdiyse, bazen güvenilir bir raporla kendi tarafında dondurabilirler. Belirsiz olmayan bir şikayete göre hareket etmezler.

İşe yaramayanlar:

• Twitter/Telegram’da fonlarınızı bir ön ücret karşılığında geri kazanmayı teklif eden “kripto kurtarma” hizmetleri. Her hack’i takip eden dolandırıcılık restorasyon ekonomisi başlı başına bir dolandırıcılıktır. Yasal kurtarma çalışması, DM solicitations değil, kolluk kuvvetleri ve borsa uyum ekipleri aracılığıyla gerçekleşir.
• Hacker’dan fonları iade etmesini istemek. Lazarus asla fon iade etmedi. Diğer gruplar bazen yapar (Poly Network “white hat” 2021 davası ünlü istisnadır), ancak bu binde bir sonuçtur.
• Bilinmeyen cüzdanlara karşı mahkeme emirleri. Mahkemeler, anonim adreslere değil, isim verilen kişilere ve borsalara karşı dondurma emirleri çıkarabilir. Yalnızca fonlar saklamalı bir mekana girdikten sonra yararlı hale gelirler.

Daha sert gerçek: Bybit’ten çalınan 1,5 milyar doların gerçekçi geri kazanma tavanı — borsa düzeyinde dondurma, ödül programı ve kolluk kuvveti el koymaları arasında — muhtemelen 100 milyon doların altındadır. 140 milyon dolarlık ödül üst sınırı, gerçekte geri kazanılan miktarın %10’unu temsil eder, bu nedenle mevcut yörüngelerde gerçek ödül ödemesi de manşet rakamından çok daha az olacaktır. Geri kalan, yıllar boyunca tutuluyor, karıştırılıyor ve yavaşça nakde çevriliyor. Yayınlamadan önce en son tasdik izleyiciyi kontrol ettim — “manşet sözü verilen” ile “gerçekte donduruldu” arasındaki boşluk her çeyrekte genişliyor. Önleme, geri kazanmadan çok daha fazlasını satın alır.

Öğrenmeye devam edin

SSS

Sonuç

Bybit hack’i bir sapma değil — bir yinelemedir. Lazarus, onaylanmış altı büyük soygunda aynı oyun kitabını çalıştırdı ve sayım devam ediyor ve oyun kitabı işe yarıyor çünkü çoğu savunucu işlemleri okumuyor. Blok zinciri kamuya açık, araçlar çoğunlukla ücretsiz ve bir transferden önce on dakikalık soruşturma, dondurulmuş bir cüzdanın temizlenmesi için altı ay beklemekten daha ucuzdur. En zor kısmı teknik okuryazarlık değil. Aslında yapma disiplini.

Bu makaleden bir şey aldıysanız, AML öz-kontrol iş akışını yapın. Beş adım, on dakika ve geçen Şubat 1,5 milyar dolar kaybeden insanlardan daha hazırlıklı olacaksınız.

Alex Mercer
Kripto Analisti — ChainGain

Alex 2019’dan beri kripto para piyasalarını ve blockchain teknolojisini takip ediyor. Gelişmekte olan piyasalardaki insanların kripto ile tasarruf, ödeme ve havale yapmasına yardımcı olan pratik rehberlere odaklanıyor. Tam biyografi

Continue Learning

USDT Yurt Dışına Nasıl Gönderilir: Adım Adım Kılavuz (2026)

Alex Mercer · Kripto Analisti · 5+ Yıl Deneyim Yayınlanma: 30 Mart 2026 · 16 dk okuma · Zorluk: Başlangıç Açıkla…

Merkezi Stablecoin’ler 2026: USDT vs USDC vs DAI vs USDS Risk Karşılaştırması

Zorluk: Orta · Eğitim amaçlı içerik — finansal tavsiye değildir. ChainGain bu makalede bahsedilen stablecoin'ler için affiliate ücreti almam…

USDT ve USDC: Uluslararası Para Transferleri İçin En İyi Stablecoin Hangisi? (2026)

Alex Mercer · Kripto Analisti · 5+ Yıl Deneyim Yayınlandı: 14 Nis. 2026 · 20 dk okuma · Zorluk: Başlangıç Açıkla…