Analiz: Çalıntı kripto varlıkları harcamak, aklama ağlarını soruşturmacılar için görünür kılıyor

Kuzey Koreli hackerlar Şubat 2025'te Bybit'ten yaklaşık 1,5 milyar dolar çaldı. FBI, hırsızlığı 26 Şubat 2025'te Kuzey Koreli hackerlara atfetti, faaliyeti TraderTraitor olarak tanımladı ve çalınan varlıkların binlerce blokzincir adresine dağıtılmadan önce Bitcoin ve diğer kripto paralara dönüştürüldüğü uyarısında bulundu. Çalınan kripto varlıkları harcanabilir satın alma gücüne dönüştürmek, müşterilerle kurdukları ilişkiler soruşturmacılara fırsatlar sunan aracılar gerektiriyor.

Takma isim kullanan blokzincir araştırmacısı ZachXBT, herkese açık Telegram ve Discord gruplarında Bybit'ten çalınan fonları içeren işlemler için yardım arayan 15'ten fazla hesap gördüğünü söyledi. ZachXBT birkaç hesapla iletişime geçti ve kendisini ağlar arasında kripto para transferi için yardıma ihtiyacı varmış gibi tanıtan, Telegram'da Jimmy Green takma adını kullanan biriyle ilişki kurdu. ZachXBT, 6 Mart 2025'te yeni bir Ethereum adresine 349.700 USDC aktardığını ve bağlantısı üzerinden USDC'yi Tron ağında USDT ile takas ettiğini, tamamlanan her işlemde %5 kaybı kabul ettiğini söyledi. 349.700 USDC, açıklanmış net soruşturma kaybı değil, işlemlere tahsis edilen sermayeydi. Aracının fonlarla birlikte ortadan kaybolması riski bulunuyordu. Özel yazışmalarda, Solana'ya transfer de dahil olmak üzere planlanan fon hareketleri, ilgili blokzincir hareketi gerçekleşmeden önce açıklandı.

ZachXBT, bu ilişki sayesinde edinilen bilgilerin birkaç ağda Bybit'le bağlantılı 12 milyon doların üzerinde fon içeren bir grubun belirlenmesine yardımcı olduğunu söyledi. ZachXBT, ağın Bybit saldırısı da dahil olmak üzere Kuzey Kore'nin Lazarus Group'uyla bağlantılı kripto para hırsızlıklarından 1 milyar doların üzerinde fonu akladığına inanıyor. ZachXBT, soruşturmanın Kuzey Kore saldırısıyla bağlantılı 442.000 USDT'nin Tether tarafından dondurulmasına katkıda bulunduğunu bildirdi. 12 milyon doların üzerindeki fonların izinin sürülmesi, tutarın tamamının dondurulduğunu kanıtlamaz; 442.000 USDT'nin dondurulması da bu varlıklara el konulduğunu veya Bybit'e geri ödendiğini göstermez. Tether, Bybit hırsızlığıyla bağlantılı daha büyük tutarlarda dondurma işlemlerini ayrıca açıkladı. ZachXBT'nin soruşturması, FBI'ın resmi kaydıyla tamamen örtüşmüyor.

Merkezi olarak ihraç edilen sabit coinler, ihraççıları belirlenmiş adreslerden transferleri kısıtlama olanağını koruyabildiği için müdahale imkânı sunabiliyor. Yerel Bitcoin'in ihraççı tarafından kontrol edilen benzer bir kısıtlama mekanizması yok; ancak yetkililer, gerekli erişim ve hukuki yetkiye sahip olduklarında saklama hizmeti sağlayıcılarındaki varlıkları kısıtlayabilir veya kontrol anahtarlarına el koyabilir. Mahkeme kararları ve aracıların işbirliği, tam geri alımı garanti etmeksizin Bybit'in varlıkları geri alma çabası sürerken fonları kısıtlayabilir. Varlıkların cüzdanlar, ağlar ve karşı taraflar arasında parçalanması ise ek kanıt veya hukuki süreç gerektirebilir.

Adalet Bakanlığı, Mart 2020'de Çin vatandaşları Tian Yinyin ve Li Jiadong'u, büyük ölçüde borsa saldırılarıyla bağlantılı faaliyetler yoluyla 100 milyon doların üzerinde kripto para aklamakla suçladı. Hazine Bakanlığının yaptırım duyurusunda, Tian'ın yaklaşık 1,4 milyon dolarlık Bitcoin'i ön ödemeli Apple iTunes hediye kartlarına dönüştürdüğü belirtildi. Hazine Bakanlığına bağlı Mali Suçları Araştırma Ağı (FinCEN), Mayıs 2025'te Kamboçya merkezli Huione Group'u başlıca kara para aklama endişesi yaratan bir finans kuruluşu olarak tanımladı ve Ağustos 2021-Ocak 2025 arasında en az 4 milyar dolarlık yasa dışı gelirin aklandığını tespit etti. FinCEN, bu tutarın en az 37 milyon dolarını Kuzey Kore'nin siber hırsızlıklarından kaynaklanan kripto para olarak belirledi; diğer gelirleri ise yatırım dolandırıcılığı ve siber dolandırıcılıklarla ilişkilendirdi. FinCEN, ciddi kara para aklamayı önleme ve müşteri doğrulama eksiklikleri tespit etti; bunlar arasında, yetersiz kontrollerin bir bileşenin Kuzey Kore soygunuyla bağlantılı fonları dolaylı olarak almasına olanak sağladığı yönündeki kabul de vardı. Pazaryerlerindeki işlem hacimleri ile belirlenen yasa dışı gelirler farklı faaliyetleri ölçer; bu nedenle bir platformdan geçen tüm fonlar kanıtlanmış suç geliri sayılamaz.

Baskı süreci sırasında Telegram, Huione Guarantee ile bağlantılı binlerce kanalı kaldırdı; satıcılar alternatif pazaryerlerine yöneldi. Adalet Bakanlığı, Haziran 2026'da Huione iştiraklerinin suç gelirlerini taşıdığı iddia edilen arka uç altyapısını barındıran bir bulut bilişim hesabına el konulduğunu duyurdu. Hazine Bakanlığı, 9 Eylül'de Xinbi Guarantee'ye yaptırım uyguladı ve şirketi suç örgütlerini finansal hizmetler, teknoloji ve diğer operasyonel kaynakları sunan satıcılarla buluşturan bir pazaryeri olarak tanımladı. Bakanlık, Xinbi'nin yaklaşık 2022'den bu yana ağırlıklı olarak Güneydoğu Asya işlemlerini destekleyerek dijital varlık ve itibari para cinsinden 24 milyar doların üzerinde işlem gerçekleştirdiğini söyledi. Hazine Bakanlığı, Xinbi'nin hizmetlerini kullandığı bildirilen yasa dışı aktörler arasında Kuzey Koreli hackerları açıkça belirtti. Bakanlık, siber suçluların FinCEN'in önceki adımının ardından Huione bağlantılı hizmetlerden Xinbi'ye geçerek faaliyetlerini sürdürmeye çalıştığını, örtüşen müşteriler için büyük ölçüde benzer hizmetler aldığını söyledi.

Tether'in bir dizi dondurma işlemi, Xinbi'nin faaliyetleriyle bağlantılı en az 22 cüzdandaki 45 milyon doların üzerinde USDT'yi kısıtladı. Xinbi, kullanıcılara USDD'ye geçeceğini söyledi; USDD, USDT'deki gibi ihraççının adresleri dondurmasına imkân veren bir mekanizma sunmuyor. Eylül ayındaki baskı sürecinde yetkililer Xinbi bağlantılı altyapıyı hedef aldı ve 52 milyon doların üzerinde kripto paraya kısıtlama getirdi. Bu sırada para çekme işlemleri hızlandı ve rakip pazaryerlerinin kara para aklamayla bağlantılı satıcıları kısıtladığı bildirildi. Kamuya açık haberler, bu gelişmelerin ZachXBT'nin bildirdiği 442.000 USDT'lik dondurma işlemiyle aynı adresleri, katılımcıları veya fonları içerdiğini ortaya koymuyor. Kısıtlamalar, aklama hizmetlerine yönelik talebi ortadan kaldırmak yerine işlemleri farklı kontrollere tabi ödeme araçlarına yönlendirebilir.

Yaptırım ve adli müdahaleler, dondurulan bakiyeler, sonuçlanmayan ödemeler ve erişilemeyen karşı taraflar yoluyla maliyet yaratıyor ancak altta yatan suç kârlı kaldığı sürece talep sürüyor. Yerleşik aracılar itibar ve tercih edilen karşı taraflar geliştiriyor; bunların yerini aynı ölçüde uygun fiyatlı ve güvenilir hizmetlerle doldurmak zor olabiliyor. Çalınan fonları almak, alıcının niyetini veya ne bildiğini kanıtlamadığı için soruşturmacıların özel yazışmaları gözlemlenebilir faaliyetler ve diğer kayıtlarla karşılaştırması gerekiyor. Varlıklara el konulması, finansal kısıtlamalar, kovuşturmalar ve ödeme süreçlerini kontrol edenlerin belirlenmesi aklama işletmelerinin ekonomisini değiştirebilir; ancak maliyetlerin yasa dışı geliri aştığı nokta işletmeden işletmeye farklılık gösterir. Çalınan tutar, aracılar üzerinden aktarılan tutar, harcanabilir satın alma gücüne dönüştürülen değer ve geri alınan tutar birbirinden ayrı ölçütlerdir. Bu nedenle bir hırsızlığın değeri, belirli bir askeri veya devlet faaliyeti için harcanabilir gelir ya da harcama olduğunu kanıtlamaz.