İkinci aşama: Paraların kamuya açık yerlerdeki hareketlerini takip etmek

Bugün, çalınan coinlerin izini süren bir sayfa yayınlıyoruz: 19 Eylül 2026 tarihli Blink saldırganının coinlerinin izi. Bu sayfada, saldırganla ilişkilendirebildiğimiz ve bugün yayınlayabildiğimiz tüm adresler, işlemler ve Lightning kanalları listelenmiştir; herkes bunları halka açık blok zincirinde tek tek kontrol edebilir.

3 Ekim’de, 19 Eylül’deki saldırıya ilişkin olay sonrası analizimizi yayınladık: Bir saldırganın 24 Blink hesabından yaklaşık 6,61 BTC’yi nasıl çaldığı, etkilenen her müşterinin zararı nasıl telafi edildiği ve çalınan fonlar için %50’lik bir ödül duyurusu. O zamandan beri, kodumuzla ilgili güvenlik bildirisi de yayınlandı: GHSA-w9wx-p7xr-7jvp. Olay analizi, Blink'in içinde neler yaşandığını ele alıyordu. Bu yazıda ise paranın nereye gittiği ve bunu neden paylaştığımız anlatılıyor.

‍

Neden elimizden gelen her şeyi sergiliyoruz?

Ödül programında çalışan herkesin, bizim sahip olduğumuz verilerin aynısına ve bizimkiler kadar güncel bilgilere sahip olmasını istiyoruz; böylece mümkün olduğunca verimli çalışabilsinler. Bu sayfa, söz konusu verileri içermektedir: Kripto paralar hareket ettiğinde ve yeni bir bilgiyi doğruladığımızda sayfayı güncelliyoruz.

Onu kendi başımıza yakalamamız pek olası değil, bu yüzden daha fazla kişinin göz kulak olmasını istiyoruz. O çok dikkatli davranıyor: Ana Lightning düğümüne yalnızca Tor üzerinden erişilebiliyor ve faaliyetleri günün her saatine yayılmış durumda. Saklayamadığı şey ise kripto paralar: Her hareket ettiklerinde, bu işlemler herkese açık olarak gerçekleşiyor.

Zaten izlendiğinin farkında. Yayınlanan bilgiler, kendi madeni paraları hakkında ona yeni bir şey söylemiyor. Ne kadar çok kişi bakarsa, madeni paraların müşterilerini tanıyan bir servise ulaşmasını birinin görme olasılığı o kadar artar.

Bir bağlantı, bir talebin işlenmesinden daha hızlıdır. Resmi kanallar (anlaşmalar, hukuk firmaları, kayıt talepleri) önemlidir ve biz de bunları kullanırız, ancak bu süreçler haftalar sürer ve çok maliyetlidir. Her kuralı göz ardı eden biri, bu süreçlerden daha hızlı hareket eder. Halka açık bir sayfa, borsalara, analistlere ve diğer ekiplere aynı gün ulaşır.

Gizlilik konusunda birkaç söz. Çalışmalarımızı insanların gizliliğini korumak amacıyla yürütüyoruz ve bunu sürdüreceğiz. Bu sayfa ise farklıdır: Çalınan paranın, onu çalan kişi tarafından nasıl aktarıldığını takip eder, kimseyi isimlendirmez ve hiçbir kişisel veri içermez. Topluluğumuz, herkesin kullandığı aynı gizlilik araçlarıyla aktarılan çalınan coin’ler konusunda henüz kesin bir cevaba sahip değildir. Yaklaşımımız, zincirin hırsızın coin’leri hakkında gösterdiği bilgileri yayınlamak ve hatalarımızı kamuoyu önünde düzeltmektir. Başkalarının bu durumu nasıl ele alacağını duymak isteriz.

‍

Hâlâ faaldir ve kademeli bir saldırı hazırlıyor olabilir

Haftalarca hazırlık yaptı: Blink’e yapılan saldırıdan on gün önce Lightning düğümünü kurmaya başladı ve saldırıdan dokuz gün önce halihazırda yaklaşık 14 BTC’yi kontrol ediyordu. O günden beri durmadı. Ekim ayı başında ana düğümü yeni bir kanal açtı (1 Ekim), ikinci bir düğümü ortaya çıktı (2 Ekim), ana düğümünde iki kanal daha belirdi (3 Ekim) ve ilk kanalı kapatılıp yeni bir kanal açıldı (6 Ekim).

Aynı hafta içinde, 5 Ekim’de, Bitcoin ödemelerini gerçekleştirmenin yeni bir yolu olan Ark’ın kendi versiyonunu “Bark” adıyla geliştiren Second şirketine saldırdı. Second’ın Ark sunucusundaki bir hatayı istismar ederek, Second’ın kendi fonlarından 0,75 BTC aldı ve 6 Ekim’e kadar sunucuyu incelemeye devam etti; hiçbir kullanıcı fonu etkilenmedi (bkz. Second’ın açıklaması). Saldırıyı, Blink’ten çalınan coin’leri aldığı aynı cüzdandan finanse etti ve en azından kısmen de bu coin’leri kullandı.

Hâlâ bu kadar aktif olduğunu göz önünde bulundurursak, onun kademeli bir saldırı hazırlığında olabileceğini düşünüyoruz: Her hedeften elde ettiklerini bir sonrakini finanse etmek için kullanarak, her turda elinde daha fazla kaynak bırakıyor. Sıradaki hedefin kim olacağını bilmiyoruz. O aktif olduğu sürece, Bitcoin’i günlük para olarak kullanan ekiplerin ekstra dikkatli olmaları için ek bir neden olabilir.

Lightning düğümü, federasyon, takas hizmeti veya borsa işletiyorsanız, sayfadaki bilgileri kendi durumunuzla karşılaştırın. Projenizde benzer bir durum yaşandıysa bize yazın: Öncelikle elimizdeki bilgileri paylaşacağız, ardından görüşeceğiz.

‍

Sayfada neler gösteriliyor?

Sayfa, bu hikayeyi altı bölüm halinde anlatıyor; her bölümde tıklayarak inceleyebileceğiniz bir grafik ve bunun arkasındaki adreslerin ve işlemlerin tam listesi yer alıyor.

1. Lightning Hırsızlık olayı, 19 Eylül. Para çekme hedefleri olarak girdiği sekiz adres, Blink’in 12 ödeme işlemi ve Lightning adresine yapılan iki takas işlemi; bu işlemler sayesinde adresindeki paranın bir kısmı bir saat içinde tekrar blok zincirine geri döndü.
2. Paraların izini sürmek. 20 Eylül’de çalıntı paraları kendi paralarıyla nasıl birleştirdiğini, sonraki günlerde bir zincirler arası takas hizmetine paraları parçalar halinde nasıl yatırdığını ve 28 Eylül’de çalıntı paraları, saldırıdan önce zaten elinde bulunan paralarla birlikte nasıl harcadığını (3. bölüm).
3. Saldırıdan önce, 10–11 Eylül. Fedimint federasyonlarında e-para olarak elinde bulundurduğu yaklaşık 14 BTC: kendi adreslerinden birine yapılan 435 itfa işlemi (peg-out) ve daha sonra çalıntı coinlerle birlikte harcadığı coinler. Federasyonların bu olayla bir ilgisi yoktur: bunlar birçok kişi tarafından kullanılan topluluk federasyonlarıdır ve hâlâ bunların içinde bulunan coinler diğer kullanıcılara aittir.
4. Lightning ’daki düğümleri. Blink’in ödeme kayıtları, Lightning adresinden yapılan para çekimlerinin en az 146.639.697 sat’ının onun düğümü olan aegis-ln’e aktarıldığını gösteriyor. Bu düğümün kapasitesinin büyük bir kısmı, büyük bir düğüm operatörü olan LNBiG tarafından açılan gelen likiditeden oluşuyordu; bu para ona ait değil, LNBiG’e aittir. İkinci bir düğüm olan green ise 2 Ekim’de ona ait olduğu ortaya çıktı.
5. Second's Ark sunucusu, 5–6 Ekim. Second's Ark sunucusuna yuvarlak tutarlarda para yatırdığı (bunların bir kısmı çalıntı paraydı) ve bu paraları hemen kendi iki adresine geri aktardığı, ayrıca 6 Ekim'de bu adreslerden birinden 50.000.000 sat'ı aegis-ln üzerindeki yeni bir kanala aktardığı.
6. Lightning adresindeki cüzdanı. Kanal geçmişi Ocak 2024’e kadar uzanan Lightning adresindeki cüzdan. 5 Ekim’de bu cüzdandan 35.000.000 sats, onun cüzdanına aktarıldı ve bunun bir kısmı Second’a yönelik saldırıya kullanıldı; o öğleden sonra kanal kapatıldı. Cüzdanın kendisini olası bir bağlantı olarak değerlendiriyoruz: Onunla olan bağlantı, bu tek işlem üzerinden kuruluyor.

Her ürünün üzerinde, ne kadar emin olduğumuzu belirten bir etiket bulunur:

‍

Sayfa ayrıca coinlerin şu anda nerede olduğunu da gösteriyor. Yaklaşık 0,87 BTC, orijinal adreslerden beşinde hâlâ dokunulmamış olarak duruyor. 4,84 BTC ise muhtemelen kendisine ait olan bir adreste bulunuyor ve 28 Eylül'den beri harcanmamış durumda. Yaklaşık 1,64 BTC daha ise Second'a yapılan saldırıda kullandığı adreslerde bulunuyor. Her bir öğe, zincirde ilk ne zaman göründüğünü ve bizim onu ilk kez kaydettiğimiz tarihi gösterir; listenin tamamı CSV formatında indirilebilir.

‍

Sayfada yer almayan şeyler

"Elimizden gelen her şey"in sınırları vardır ve biz bu sınırlara bağlı kalırız:

• Başkalarının bize gizlilik içinde anlattıkları. Bizimle bilgi paylaşan şirketler ve projeler, bunu anlaşmalar çerçevesinde ya da güven temelinde yaptılar. Biz de bu geleneği sürdürüyoruz.
• Kişisel veriler. İsim, e-posta adresi, telefon numarası veya IP adresi yok; müşterilerimizle ilgili hiçbir bilgi yok.
• Çözülmemiş güvenlik sorunları. İster bizim olsun ister başkasının, düzeltilene kadar.
• Sahibini tespit edemediğimiz adresler. O, kişilere ve hizmetlere ödeme yaptı; gönderdiği bir coin, alıcıya ulaştığı anda artık ona ait değildir. Coin alan hizmetler, karşı taraf olarak gösterilir; asla ona ait olarak gösterilmez.
• Diğer ekiplerin yaşadığı olaylar. Eğer izler başka bir projeye yöneliyorsa, bunu ancak ilgili ekip onay verdiğinde veya kendisi kamuoyuna duyurduğunda anlatırız.

‍

Nasıl yardımcı olabilirsiniz?

Adresleri takip edin. Bu adreslerden para transferi gerçekleşirse, özellikle bir borsaya ya da müşterilerini tanıyan herhangi bir hizmete doğru ise, bize derhal bildirin. Hesapların dondurulması, alıcı platforma birkaç saat içinde ulaşılmasına bağlıdır.

• Konu satırına [BOUNTY] yazarak bounty@blinkbtc.com adresine özel olarak bildirimde bulunun. Bildiriminizi PGP anahtarımızla şifreleyebilirsiniz.
• Başvuruları herkese açık olarak paylaşmayın. Bu, başvuru sahibini uyarır ve önceliğinizi belirlemez: başvurular bize ulaştıkları sıraya göre sıralanır.
• Sayfada yer almayan bilgileri bize bildirin; örneğin, bu kripto paralarla bağlantılı bir adresi, bir düğümü veya bir hesabı kimin kontrol ettiği gibi.
• Bir hizmet işletiyorsanız ve listelenen kripto paralar size ulaşırsa, harekete geçmeden önce bizimle iletişime geçin. Bu sayfa bilgilendirme amaçlıdır; herhangi bir şeyin dondurulması talebi değildir.
• Listede yer alan bir adresin sahibiyseniz ve olayla bir ilginiz yoksa (örneğin, iyi niyetle kripto para almış olmanız gibi bir durumda), bize yazın; sayfayı düzelteceğiz.

%50’lik ödül hâlâ geçerlidir. Geri kazanılmasını sağlayan bilgiyi veren kişi, geri kazanılan miktarın %25’ini alır; geri kalan %25 ise Bitcoin Beach, Bitcoin Ekasi, Afribit Kibera ve bunların seçeceği döngüsel ekonomilere aktarılır. Sayfadaki tüm bilgiler, belirtilen tarihte bizim tarafımızdan zaten biliniyordu; bu nedenle bu bilgilerin tekrar izlenmesi ödül için geçerli değildir, ancak coinlerin bundan sonra nereye gideceğine dair yeni bilgiler ödül için geçerli olabilir. Koşullar blink.sv/bounty-terms adresinde yer almaktadır.

‍

Canlı güncellemeler ve düzeltmeler

Paralar hareket ettikçe sayfa da değişecektir. Listelenen adresleri 24 saat boyunca takip ediyoruz ve her hareketi mümkün olan en kısa sürede sayfaya ekliyoruz. Yeni bulgular, doğruladığımız anda ve başkalarının da dahil olduğu durumlarda, onların da onay vermesiyle sayfaya eklenir. Her güncelleme yayına girmeden önce, tüm adresleri ve işlemleri blok zinciriyle karşılaştırarak yeniden kontrol ediyoruz.

Bazen hatalar yapabiliriz ve bunu açıkça belirteceğiz. Düzeltmeler, sayfada tarihli notlar olarak yer alır; metni sessizce yeniden yazmayız. Bir hata fark ederseniz, konu satırına [CORRECTION] yazarak bounty@blinkbtc.com adresine e-posta gönderin.

Sayfa yayına girdiğinde ve her güncellemede, OpenTimestamps aracılığıyla sayfanın verilerini Bitcoin blok zincirine zaman damgası ekliyoruz; buna, tam iç listemizin parmak izi de ekleniyor. Böylece herkes, listelediğimiz her şeyin zaman damgası konulduğu anda mevcut olduğunu doğrulayabilir.