Blockchain analiz şirketi Chainalysis, THORChain saldırısının arkasındaki adreslere ilişkin yeni bulgular paylaştı. Şirketin X platformunda yayımladığı analize göre saldırganlar, saldırıdan haftalar önce zincirler arası karmaşık fon transferleri gerçekleştirerek gelişmiş kara para aklama yöntemleri kullandı.
Chainalysis verilerine göre saldırıyla bağlantılı cüzdanlar, Nisan ayının sonlarından itibaren Monero, Hyperliquid ve THORChain arasında fon hareketleri gerçekleştirdi. Saldırganların cüzdanlarının, Hyperliquid ve Monero gizlilik köprüleri aracılığıyla Hyperliquid üzerindeki pozisyonlara fon yatırdığı, ardından bu varlıkların USDC’ye çevrilerek Arbitrum ağına aktarıldığı belirtildi. Daha sonra Ethereum ağına taşınan fonların bir kısmının THORChain’e gönderilerek yeni katılan bir node için RUNE stake edildiği ve saldırının kaynağının da bu node olduğu değerlendiriliyor.
Analizde saldırganların daha sonra RUNE varlıklarının bir bölümünü yeniden Ethereum ağına köprülediği ve bunları dört farklı bağlantıya böldüğü ifade edildi. Bu bağlantılardan birinin doğrudan saldırganlara gittiği, aracı bir cüzdandan geçtikten sonra saldırıdan yalnızca 43 dakika önce çalınan fonları alacak adrese 8 ETH transfer ettiği kaydedildi. Diğer üç bağlantıda ise fon akışının ters yönde gerçekleştiği aktarıldı.
Chainalysis ayrıca, 14-15 Mayıs tarihleri arasında söz konusu cüzdanların ETH varlıklarını yeniden Arbitrum ağına taşıdığını, ardından Hyperliquid’e yatırıp aynı gizlilik köprüsü üzerinden Monero’ya aktardığını belirtti. Son transferin saldırının başlamasından beş saatten kısa süre önce gerçekleştiği ifade edildi.
Şirket, Cuma öğleden sonra itibarıyla çalınan fonların henüz hareket ettirilmediğini ancak saldırganların zincirler arası gelişmiş kara para aklama kabiliyetine sahip olduğunu ekledi.
*Yatırım tavsiyesi değildir.