Tornado Cash izlenebilir ve iki belgelenmiş soruşturma bunun tam olarak nasıl yapıldığını gösteriyor. 2024'teki Li.Fi saldırısında, çalınan 11,6 milyon doların yüzde 99'undan fazlası üç ay boyunca 114 işlemle Tornado Cash'e taşındı ve soruşturmacılar tüm rotayı haritalandırdı. Nomad Bridge olayında ise 190 milyon dolar, herkesin katıldığı bir istismar sürecinde karıştırıcı üzerinden dağıldı ve izleme yine de sonuç verdi. Bu vakalardan elde edilen kanıtların bize karıştırıcı adli analizinin gerçekte nasıl işlediği konusunda öğrettiği şey işte budur.
Tornado Cash Nedir ve Neden Önemlidir
Tornado Cash, Ethereum üzerinde emanetsiz (non-custodial) bir karıştırıcıdır: kullanıcılar bir adresten para yatırır ve farklı bir adrese çeker. Havuz tasarımı, belirli bir para yatırma işlemi ile belirli bir çekim işlemi arasında doğrudan bağlantı kurmayı hesaplama açısından zorlaştırır. Karıştırıcı destekli kara para aklamanın referans vakası haline geldi; o kadar ki 2022'de ABD Hazine Bakanlığı'nın OFAC'ı protokolün kendisini yaptırıma tabi tuttu — Tornado Cash tanımlamasına ilişkin Hazine basın açıklamasına göre bu, bir akıllı sözleşme için ilk kez yaşanan bir durumdu. Federal bir temyiz mahkemesi 2024'ün sonlarında bu tanımlamayı geri aldı, OFAC Mart 2025'te protokolü resmi olarak listeden çıkardı ve kurucu ortak Roman Semenov ile ona bağlı adreslere yönelik yaptırımlar, artık OFAC'ın Kuzey Kore (DPRK) programı kapsamında olmak üzere yürürlükte kalmaya devam ediyor. Bu düzenleyici hikaye uyum ekipleri için önemlidir, ancak izleme hikayesi operasyonel olan taraftır. Sanal varlıklar ve VASP'lar için FATF standartları, belirli bir protokolün tanımlama durumu nasıl değişse de, karıştırıcı maruziyetinin dokunduğu tarama yükümlülüğünü çerçeveler.
Tornado Cash'in adli analiz açısından önemli olmasının nedeni hacmidir. Büyük olaylardaki çalıntı fonların çoğu bir karıştırıcı üzerinden yönlendirildiğinde, soruşturmaların yoğunlaştığı yer karıştırıcı sınırıdır. Ve aşağıdaki iki vakanın gösterdiği gibi, bu sınır zordur, ancak aşılamaz değildir.
Vaka Bir: Li.Fi, 114 İşlemle 11,6 Milyon Dolar
Temmuz 2024'teki Li.Fi saldırısı, karıştırıcı disiplini konusunda alışılmadık derecede eksiksiz bir tablo sunuyor. Saldırganlar kripto para cinsinden yaklaşık 11,6 milyon dolar çaldı ve çalınan stabil coin'leri merkeziyetsiz borsalar üzerinden ETH'ye dönüştürdü. Elde edilen gelir daha sonra sürdürülen bir kampanya kapsamında Tornado Cash'e aktarıldı; aylarca süren bir dizi para yatırma işlemi, tüm serveti neredeyse tamamen karıştırıcıya taşıdı.
BlockSec tarafından MetaSleuth kullanılarak belgelenen ve Li.Fi yasadışı fon akışı vaka çalışmasında yer alan izleme çalışması, karıştırıcının içi opak kalsa bile etrafındaki yapıyı haritalandırdı. İlk saldırı adreslerinin akış aşağısında, 32 alıcı adres fonları böldü: bunlardan 15'i her biri yaklaşık 0,1 ETH gibi token tutarları aldı, diğer 17 adres ise değerin neredeyse tamamını işledi. Gözlenen en uzun rota 20 sıçramadan (hop) oluştu. Karıştırıcı disiplini içindeki desen tutarlıydı: saldırganlar her Tornado Cash işlemi için taze, daha derin adresler kullandı. Büyük miktarlar karıştırıcıya girmeden önce 12 sıçramaya kadar hareket etti; sadece küçük bir kalan doğrudan nakde çevrilmek üzere eXch borsasına gitti. Bu sınır kaydı bir kanıttır ve Li.Fi vakasında giriş tarafındaki sayılar — 114 işlem, üç ay, yüzde 99 — kamuya açık analizin belkemiğini oluşturuyor.
Buradaki ders, içerikle değil şekille ilgilidir. Karıştırıcı, para yatırma-çekme çiftlerini gizler, ancak giriş öncesindeki ve çıkış sonrasındaki her şey kamuya açık kalır ve operatörün disiplini gerçek değişkendir.
Vaka İki: Nomad Bridge, Herkesin Katıldığı Bir Kaosta 190 Milyon Dolar
Ağustos 2022'deki Nomad Bridge olayı farklı bir yapıya sahipti: bir yapılandırma hatası, tek bir profesyonel kara para aklama ekibi olmaksızın, yüzlerce bağımsız taklitçinin herkesin katıldığı bir istismarla yaklaşık 190 milyon dolar çekmesine izin verdi. Tornado Cash bu sefer de bir hedef olarak yer aldı, ancak bu kez değişen beceri seviyelerine sahip düzinelerce bağımsız aktör tarafından kullanıldı. Olayın ardındaki yapılandırma hatası, Nomad Bridge kök neden analizinde belgelenmiştir.
Adli analiz açısından bu vaka, karıştırıcıyı popülasyon ölçeğinde göstermektedir. Eğitimsiz aktörler, eğitimli ekiplerin kaçındığı operasyonel hatalar yaptı: adres yeniden kullanımı, aceleci zamanlama, izlenebilir servislere çıkışlar. Olayın ardından yapılan izleme, kriptografinin kendisini değil, kriptografinin etrafındaki insan katmanını istismar etti. Li.Fi soruşturması, kamuya açık bir analiz tuvaliyle belgelenmiştir; böylece rotalar, sıçramalar ve çıkış noktaları körü körüne kabul edilmek yerine incelenebilir.
Yan yana konulduğunda bu iki vaka, operatör disipliniyle neyin değişip neyin değişmediğini göstermektedir:
| Boyut | Li.Fi 2024 | Nomad Bridge 2022 | Uyum Çıkarımı |
|---|---|---|---|
| Kayıp büyüklüğü | 11,6 milyon dolar | 190 milyon dolar | Karıştırıcı ilgisi tüm ölçeklerde geçerlidir |
| Aktörler | Tek, disiplinli bir ekip | Yüzlerce bağımsız taklitçi | İzlenebilirliği belirleyen beceri değil disiplindir |
| Karıştırıcı kullanımı | 3 ayda 114 işlem, fonların %99'undan fazlası | Değişen desenlere sahip düzinelerce aktör | Sınır kayıtları hacimle birlikte ölçeklenir |
| En uzun rota | 20 sıçrama | Aktöre göre değişir | Çok sıçramalı izleme varsayılan gerekliliktir |
| İzlemenin koruduğu şey | Girişten karıştırıcı sınırına kadar tam yapı | Çıkış tarafındaki hatalar, adres yeniden kullanımı | Giriş ve çıkış kamuya açık kanıt olarak kalır |
Karıştırıcı İzleme Gerçekte Nasıl Çalışır?
Her iki vakada da kullanılan yöntem tutarlıdır ve genellenebilir. Karıştırıcı sınırına kadar izleme yapın ve bunu titizlikle belgeleyin: hangi adresler para yatırdı, ne kadar, ne zaman, kaç işlemle. Ardından çıkışlar üzerinde çalışın: çekim tarafındaki adresler kümelenir, para yatırma işlemleriyle zamanlama açısından karşılaştırılır ve borsa listeleriyle ve sonraki hareketlerle çapraz referanslanır. Havuz içinde doğrudan para yatırma-çekme eşleştirmesi zor kalır, ancak çıkışlar davranışı miras alır; taze adresler yine servislere dokunur ve servisler etiketlenebilir.
Son olarak, tahmin etmek yerine gözlemleyin. Çalınan fonlar zaman çizelgeleri üzerinde durur ve hareket eder; Li.Fi'nin nakde çevirme işlemi hırsızlıktan aylar sonra gerçekleşti. Hareket üzerine uyarılarla birlikte sınır adreslerinin sürekli izlenmesi, durağan bir vakayı izlenmiş bir vakaya dönüştüren şeydir. BlockSec'e göre, MetaSleuth tam olarak bu döngüyü sağlar: kaydedilmiş analiz tuvalleriyle çok sıçramalı izleme ve zincirler arasında çalınan fon hareketinin gerçek zamanlı izlenmesi. Karıştırıcı sınırlarıyla çalışmanın daha geniş metodolojisi için How to Trace Stolen Crypto Through a Mixer sayfasına bakın. Karşı taraf adreslerini karıştırıcı bağlantılı maruziyet açısından taramak için Phalcon Compliance demosu ayırtın veya kendiniz bir vakayı izlemek için MetaSleuth'u açın.
SSS: Tornado Cash İzleme
Tornado Cash üzerinden gönderilen fonlar izlenebilir mi? Karıştırıcı, doğrudan para yatırma-çekme çiftlerini gizler. Giriş öncesindeki ve çıkış sonrasındaki her şey kamuya açık kalır ve her iki belgelenmiş vakanın da gösterdiği gibi, kümeleme ile çıkış tarafına ilişkin istihbarat rutin olarak izleri yeniden bir araya getirir.
Tornado Cash hâlâ yaptırıma tabi mi? Federal bir temyiz mahkemesi, Kasım 2024'te protokol düzeyindeki tanımlamayı iptal etti ve OFAC, Mart 2025'te Tornado Cash'i resmi olarak listeden çıkardı. Kurucu ortak Roman Semenov'a ve ona bağlı adreslere yönelik yaptırımlar, artık OFAC'ın Kuzey Kore (DPRK) programı kapsamında olmak üzere yürürlükte kalmaya devam ediyor; güncel listelere karşı tarama yapmak geçerli uygulamadır.
Saldırganlar izleme işe yaradığı halde neden karıştırıcı kullanmaya devam ediyor? Karıştırıcılar görünmezlik sağlamak yerine maliyeti ve gecikmeyi artırır. Li.Fi ekibi üç ay disiplinli çalışmaya rağmen girişten karıştırıcı sınırına kadar haritalandırıldı.
Bir uyum ekibi karıştırıcı maruziyetiyle ne yapmalıdır? Karıştırıcı etkileşim riskine yönelik tarama yapın, karıştırıcı bağlantılı maruziyeti yüksek risk olarak değerlendirin ve sınır gerçeklerini belgeleyin. Karşı taraflar üzerindeki karıştırıcı etiketlerini işaretleyen risk motorları bunu sistematik hale getirir.
