Binance Sızmasında Hackerlar Arbitrum Ağında Dört Cüzdandan 74,6 Milyon Kripto Varlık Çekti

Dört Arbitrum Cüzdanı 12 Dakikada Boşaltıldı

Binance'in Layer 2 ağı Arbitrum (ARB) üzerinde yönettiği dört sıcak cüzdan, ilk sızmanın ardından 12 dakika içinde saldırgana 74,6 milyon ARB ve 8.426 ETH gönderdi; zincir üstü veriler bunu gösteriyor. Bu transferler, kriptoda kayıtlara geçen en büyük hırsızlığın bir kolu: saldırganlar 29 Ekim 2026'da Binance'in Ethereum, Arbitrum, Avalanche, Optimism, Bitcoin ağı ve Tron üzerindeki sıcak cüzdanlarını toplamda en az 6,3 milyar dolar değerinde boşalttı; tutar Blockaid'in teknik kaza sonrası raporundaki açık zincir üstü hesaplamaya dayanıyor. Asıl hedef, borsanın en büyük ve en hareketli Ethereum sıcak cüzdanlarından biri olan Binance 14 (0x28C6c06298d514Db089934071355E5743bf21d60) idi. Sızmadan birkaç dakika önce saldırgan, cüzdanın sızdırılmış özel anahtarının bir kopyasına sahip olduğu hâlde bir EIP-7702 yetkilendirmesi imzaladı ve Binance 14'ü kötü amaçlı bir süpürme kontratına devretti. EIP-7702, imzalı bir yetkilendirmenin bloğa girmesi hâlinde sıradan bir harici hesabın kontrat kodu çalıştırmasını sağlayan bir Ethereum standardı; devir, hesabın nonce değerine bağlanıyor ve aynı anahtar yeni bir yetkilendirme imzalayana kadar geçerli kalıyor. Yetkilendirme, ardışık 18.914.775 ile 18.914.824 nonce aralığına yayılmış 50 adet önceden imzalı izni taşıyan bir Tip-4 işlem (0xad9926...) olarak geldi. Bu, hâlâ canlı kullanıcı çekimlerini işleyen bir adrese kurulan toplu bir kör imzalama hâline benziyordu: 49 izin nonce'u kaçırdı, tek biri Binance'in kendi çekim işlemleri akarken bloğa yerleşti. Saat 20:24:23 UTC'de, devre fiilen yürürlüğe girdikten 3 dakika 24 saniye sonra saldırgan süpürmeyi tetikledi (0x53bd38...). Tek bir işlem 167.464 ETH, 1,615 milyar USDT ve kabaca 60 token daha, daha önce kullanılmamış bir konsolidasyon adresine (0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c) taşıdı; Binance 14'te sembolik olarak tek bir ETH kaldı. O anki fiyatlarla paketin değeri yaklaşık 2,5 milyar dolar eder.

Tek Kontrat, Dört Zincir, İki Süpürme

Hazırlık en az bir gün sürdü. Saldırganın operatör adresi (0x7C8601d4645b93cea45F71e118A729332e6B5CA0) 28 Ekim Çarşamba günü başlayan üç çekimle Tornado Cash'ten test fonu çekti, sonra devir ve süpürme dizisini kendi üç cüzdanında 2 ile 6 dolarlık aktarmalarla prova etti. Saat 15:59'da doğrulanmamış süpürme kontratını devreye aldı (0x63e842B054Bd624a465454D533C33F573e9c6fAe, kurulum işlemi 0x97408e...). Kontrat operatörü tek yetkili çağrı yapan taraf olarak tanımlıyor, listelenen her token ile yerel ETH'yi boşaltan bir süpürme fonu ve bir yönlendirme fonu taşıyordu. Blockaid'in izleme sistemi süpürmeden iki dakika sonra, hiçbir kamuya açık veya sosyal açıklamadan önce hırsızlığı işaretledi; otomatik motoru sızan anahtara dayanan devri 11 saniyede doğruladı. Yayılma sonrasında dört zincire sıçradı: ilk boşaltmadan 24 saniye sonra Binance 16 (0xDFd529...) 28.005,6 ETH, 55,7 milyon USDT, 25,9 milyon RLUSD ve 84,5 WBTC ödedi (0x51f263...); Optimism üzerindeki Binance 55 44,2 milyon OP taşıdı; Arbitrum'daki dört cüzdan 74,6 milyon Arbitrum (ARB) ile 8.426 ETH'sini gönderdi; dört Avalanche cüzdanı ise 1,81 milyon AVAX ve 8,41 milyon USDT hareket ettirdi. Bu cüzdanların hiçbirinde kontrat kodu yoktu: her aktarma cüzdanın kendi anahtarıyla imzalanan sıradan bir işlem olarak, Binance'in günlük çekim akışının içine karıştı. Binance 14 üzerindeki devir yerinde kaldı. Saldırgan saat 20:41:23'te bu devri kullanarak Circle'ın yönettiği akıllı hesap Binance Hot Wallet 34'ten (0xdc102d...) 780 milyon USDC, ardından 43 milyon daha çekti; saat 21:44'teki ikinci süpürme (0x55ba4d...) ise yeni yatırımlardan gelen 200 milyon USDT ile 13 token daha aldı. Tether ve Circle konsolidasyon adresinde toplam yaklaşık 1,8 milyar doları dondurdu; Tether CEO'su Paolo Ardoino şirketin USDT dondurmasını 1,5 milyar doların üzerinde olarak açıkladı ve iki saat içinde kabaca 2,4 milyar dolar kilitlemiş oldu. Yerel ETH, AVAX, OP ve ARB ihraççının kontrolünden çıkıktı; toplam tutar, Bybit'in Şubat 2025'te kaybettiği yaklaşık 1,5 milyar doların üç katından fazlasına denk geliyor.

İhraççı Dondurmaları Nerede Bitiyor

Arbitrum (ARB) dilimi, merkezileştirilmiş dondurmanın nerede tükendiğini gösteriyor. Tether ve Circle kendi tokenlarını geri çağırabildi; ama ARB, ETH, OP ve AVAX'ın çekilecek bir ihraç anahtarı yok. Ne var ki çalıntı 74,6 milyon ARB, protokol yönetimi devreye girene kadar saldırganın elinde beklemek zorunda kaldı: COINOTAG'in daha önceki haberlerinde Arbitrum'un Güvenlik Konseyi, istismarla bağlantılı 74,6 milyon ARB'yi dondurmuş ve tokenları daha sonra bir saklama adresine taşımıştı. Bu tek bir dilimi karşılıyor; mekanizma ise anahtar yenilendiğinde kendiliğinden iyileşmiyor, çünkü zincir üstü yetkilendirme adresin kendisine bağlanıyor ve ancak sızan anahtar, temsilciyi sıfır adrese geri alan taze bir yetkilendirme imzaladığında temizleniyor. Blockaid'in raporu kötü amaçlı devrin saat 22:00 UTC'de hâlâ canlı olduğunu not ediyor; yani Binance 14'e düşen her yatırım, yeni bir imza olmaksızın süpürülmeye açıktı. Çalıntı dilim ayrıca boyut olarak 15 Kasım'da planlanan 93,14 milyon ARB kilidinin açılmasına yakın bir seviyede duruyor.