Binance 6,3 Milyar Dolarlık Hack'i Sahte İş Görüşmesine Bağladı

Sahte Görüşme, Bozulmuş Yükleyici

Binance, 29 Ekim Perşembe günü yaşanan ve sıcak cüzdanlarından (hot wallets) yaklaşık 6,3 milyar doların çekilmesiyle sonuçlanan bilişim saldırısının ilk olay sonrası raporunu 3 Kasım Salı günü yayımladı. Borsanın olay raporuna göre saldırı, sahte bir iş görüşmesiyle başladı ve herhangi bir fon hareketi gerçekleşmeden önce birkaç ay boyunca aşamalar halinde ilerledi. Eş CEO Richard Teng, olayı uzun soluklu ve örgütlü bir operasyon olarak niteledi. FBI, hırsızlığı 31 Ekim Cumartesi günü çoktan Kuzey Kore bağlantılı TraderTrator adlı siber saldırı birimine atfetmişti; şimdi elimizde, kayıtlara geçen en büyük borsa ihlalinin nasıl kurulduğuna dair ilk eksiksiz teknik hesap var.

Rapor, operasyonun izini Haziran ayına kadar sürüyor: Bir cüzdan DevOps mühendisi, yapay zekâ destekli bir kod yazma aracını kurarken bozulmuş bir Homebrew yükleyicisini indirdi. Binance'in güvenlik ekibi anormalliliği fark etti, cihazı değiştirdi ve kimlik bilgilerini yeniledi; ancak mühendisin rolü ile cüzdan altyapısındaki meslektaşlarının kimlikleri çoktan ele geçmişti. Eylülde sıra geldi ikinci ayakta: Profilinde Binance'te çalıştığı yazan bir yazılım mühendisi, meşru bir iş platformunda saldırganın kendini proje direktörü olarak sunduğu bir teklif aldı. Sahte bir işe alım uzmanıyla görüntülü görüşme, ardından iddiaya göre bir CEO ile ikinci turun ardından kendisinden iş makinesine bir kod görevi indirmesi istendi. Dosya, geliştirme aracı pyenv'in yerini kötücül bir sürümle değiştiren bir yazılım taşıyordu ve uç nokta algılamasını tamamen atlattı.

20 Ekim Salı günü saldırganlar ele geçirdikleri makineyi ve şirket içi bir yapay zekâ aracını kullanarak iki cüzdan mühendisinin bilgisayarlarının denetimini ele geçirdi; bu makinelerde konteyner dağıtım kimlik bilgilerini buldular. 29 Ekim'de çalınan bilgilerle bir hizmet konteyneri devreye aldılar ve Binance'in cüzdan imzalama sistemine karşı kötücül bir betik çalıştırdılar. Beş sıcak cüzdan dört dakika içinde 233,46 milyon XRP taşıdı; ardından yaklaşık 970.000 SOL, 44,2 milyon OP ve 18.270 BTC izledi. Saldırganlar imzalama servisi üzerinden 50 işlem gönderdi, hesap nonce'larını manipüle etti ve hesap yürütmesini devretmeye yarayan Ethereum mekanizması EIP-7702'yi kullanarak kötücül bir akıllı sözleşmeye bir sıcak cüzdan üzerinde kısmi denetim verdi. Para çekimleri duraklatmak çıkışı durduramadı: yetkisiz son aktarım olan 2.961,9 ETH çoktan yayına alınmıştı ve ilk hareketten yaklaşık dört saat sonra onaylandı. Binance, yetkilendirmeyi ancak 30 Ekim Cuma günü 00:10 UTC'de, sıfır adresine işaret eden yeni bir yetkilendirme göndererek temizledi.

2,85 Milyar Dolar Donduruldu, Yüzde 98 Geri Geldi

Binance, yaklaşık 2,85 milyar doların dondurulduğunu veya ele geçirildiğini, 31 Ekim itibarıyla etkilenen token varlıklarının yaklaşık yüzde 98'inin kendi kaynaklarından karşılanarak yerine konduğunu, daha az likit kalan varlıkların ise geri alımının sürdüğünü belirtiyor. Zarar kullanıcılara yansıtılmıyor; borsa tarafından karşılanıyor. Eş CEO Richard Teng, X'teki bir paylaşımında para çekimlerinin büyük ölçüde yeniden başladığını doğruladı ve dondurmaların kolluk kuvvetleriyle, stablecoin ihraççılarıyla ve zincir üstü analiz şirketleriyle iş birliğine bağladı. Rapor tamamlanan iyileştirme adımlarını da listeliyor: Etkilenen cüzdan sistemleri ve şirket içi yapay zekâ araçları yeni bir ortamda yeniden kuruldu, cihazlar değiştirildi, mühendislerin kimlik bilgileri iptal edildi ve tüm personel ekipmanında güvenlik taraması yapıldı. Sıradaki adımlar bağımsız bir üçüncü taraf denetimi ve bir güvenlik araştırma fonu.

@_RichardTeng · X gönderisi

Paylaşımında para çekimlerinin büyük ölçüde yeniden başladığını doğruladı.

X'te görüntüle

Kim Yo Jong İlişkiyi Reddetti

Kuzey Kore atfı resmen reddetti. Devlet medyası KCNA aracılığıyla Salı günü yayımlanan açıklamada, liderin kız kardeşi ve iktidar partisinin üst düzey yetkilisi Kim Yo Jong, FBI'ın suçlamasını 'anlamsız söylem' diye geri püskürttü ve bunun ülkeyi bir 'siber suç devleti' olarak göstermeyi amaçlayan siyasi bir kışkırtıcılık olduğunu öne sürdü. Kanıt sunmadan, kurtarılan fonlara kimin erişebildiğinin araştırılmasının asıl beyni ortaya çıkarabileceğini ima etti ve Şubat 2025'teki Bybit hack'inde Kuzey Kore'nin rolü iddiasını da yeniden reddetti. Amerika Birleşik Devletleri bu açıklamaya henüz yanıt vermedi. TRM Labs, Chainalysis ve ZachXBT dahil zincir üstü araştırmacılar, teknik ve zincir üstü delillerin TraderTraitor grubuna işaret ettiği görüşünü koruyor.

Aklama İzi ve Piyasa Etkisi

Çalınan fonların çoğu geri kazanılmanın değil hareketin içinde. Elliptic, 11 zincirde yaklaşık 12.000 cüzdanı ve üç buçuk günde 40.000'i aşan işlemi izledikten sonra hâlâ yaklaşık 3,18 milyar doların hırsızlıkla ilişkili adreslerde durduğunu, büyük kısmının Bitcoin ve Ether olduğunu tahmin ediyor. TRM Labs, kendileri basılan tokenlar üzerinden ve zincirlenmiş köprülerle yürütülen aklamayı belgeledi; Chainalysis ise tam 1 TRX ile beslenen adresler gördü ve bunu otomatikleştirilmiş transferlerin imzası olarak okudu. ZachXBT, bazı çalınan fonların THORChain'den geçtikten sonra Bitget hack'inin ganimetiyle birleştiğini bildirdi. Piyasalar toparlanmadan önce Bitcoin'de yüzde 5,0'a, Ether'de yüzde 6,1'e varan düşüşler gördü; para çekimleri yeniden açıldıktan sonra borsadan net çıkış 4,72 milyar dolara ulaştı, gerçi sonrasında 2,7 milyar dolar geri aktı.

EIP-7702 Yapısal Risk Olarak Öne Çıkıyor

Olay sonrası raporun ana dersi şu: Burada bir anahtar sızıntısı değil, bir yetkilendirme hatası söz konusu. Saldırganlar özel anahtarı hiç ele geçirmedi; devredilmiş bir yürütme hakkı elde etti ve EIP-7702 bu hakkı zincir üstüne yazdı, herhangi bir para çekim durdurma bunun önüne geçemedi. Bu ayrım, kendi kripto cüzdanını (crypto wallet) borsaya emanet etmek ile kişisel saklama arasında karar vermek isteyen herkes için önemli: Bir donanım cüzdanı (hardware wallet) ya da soğuk cüzdan (cold wallet) borsa karşı taraf riskini tamamen ortadan kaldırır; bedeli, operasyonel yükün kullanıcıya geçmesidir. Binance, 2026'da bu saldırı geçmeden önce Kuzey Kore bağlantılı olduğu düşünülen 57 saldırı girişimini engellediğini söylüyor; bu da borsa savunmalarının altındaki baskının boyutunu gösteriyor. Kurucu CZ, yapay zekâ destekli saldırıların çoğalacağı ve sektörün yapay zekâ saldırganlarına yapay zekâ ile yanıt vermesi gerektiği uyarısını yapıyor; raporun planladığı güvenlik yatırımları bu görüşü destekler nitelikte.