Binance hack: Sahte iş görüşmesiyle 20 dakikada 6,3 milyar dolar çekildi

Sahte İş Görüşmesi, Yirmi Dakikalık Boşaltma

29 Ekim Perşembe günü, yaklaşık yirmi dakika içinde Binance'in cüzdanlarından 6,3 milyar dolar çıktı ve bu, kripto tarihinin en büyük hırsızlığı olarak Şubat 2025'teki Bybit ihlalinden dört katı fazlasıyla daha büyük kaldı. Borsanın kendi anlatımına göre saldırganın giriş kapısı, sahte bir iş görüşmesi sonrasında bulaşan kötü amaçlı yazılımla ele geçirilmiş bir mühendis bilgisayarıydı. Saldırgan bu makineden platformun iç sisteminde imza yetkisi elde etti: Binance'in kurulumu, tek bir parti içinde 50 ayrı yetkilendirmeyi onaylamaya kandırıldı ve bunlardan biri, 2,2 milyar dolarlık bir cüzdanın devredilmesine yetti. Bu hareket, saldırganın Etherscan adresinde herkese açık biçimde kayda geçti. İki gün sonra, 31 Ekim Cumartesi günü Binance, kayıp varlıkların yüzde 98'ini kendi kaynaklarıyla geri koyduğunu duyurdu ve para çekme işlemleri ertesi gün yeniden başladı; bu toparlanma, şirketin rezerv kanıtı açıklamasından doğrulanabilir. Kök neden şifrelemenin kırılması değildi; kimlik ele geçirmesiyle, tek bir adımda onlarca onay verebilen bir imza iş akışının birleşimi yeterli oldu. Olay, tanıdık bir sıraya düşüyor: 2014'te Mt. Gox, 2019'da QuadrigaCX, 2022'de FTX, 2025'te Bybit ve şimdi bu. Her seferinde refleks cevap, özel anahtar olmadan bir varlığın değil alacağın elinde olduğunu savunan kurguyla kendini saklama (self-custody) oluyor. Önerme teknik olarak doğru; ondan çıkarılan ve kendini saklamanın otomatik olarak daha güvenli olduğu yönündeki sonuç ise bireysel kayıpların kaydında dayanamıyor. Bir birey her şeyini kaybettiğinde neredeyse kimse öğrenmiyor: iz bütünüyle zincir üstünde (on-chain) durabilir, ama zincir üstü soruşturmayı takip eden çok az dışarıdan gözlemci var ve pek çok mağdur polise başvuruda bile bulunmuyor.

Borsa Dışında Daha Sessiz Kayıplar

2026'nın kaydı, bu sessizliğin neyi gizlediğini gösteriyor. 10 Ocak'ta bir yatırımcı, Trezor destek ekibini taklit eden bir dolandırıcıya donanım cüzdanının tohum ifadesini yüksek sesle okudu; cihaz kusursuz çalıştı ama sahibi 1.459 BTC ve 2,05 milyon LTC, yani 282 milyon doların üzerinde kaybetti. Çalınan paralar hemen Monero'ya çevrilmeye başladı ve dondurma, yalnızca para bir sabit para ihraççısına ya da bir borsaya dokunduğunda mümkün oluyor. İmza balıkçılığı yalnızca Ocak ayında 6,3 milyon dolar ekledi: mağdurlar, zincir dışı mesajları imzalayarak üçüncü taraflara token taşımak için daimi yetki veriyor, yani fiilen imzasız çek yazıyor. Aynı ay bir adres zehirlenmesi vakasında mağdur, işlem geçmişine yerleştirilmiş neredeyse aynı cüzdan adresini kopyaladı ve 12,25 milyon doları yanlış alıcıya gönderdi. Fiziksel baskı ise kriptografiyi tamamen devre dışı bırakıyor: CertiK, 2026'nın ilk yarısında toplam değeri 124 milyon dolar olan 52 sökturma saldırısı saydı, bunların 33'ü Fransa'da. Cihazlar da arızalanıyor: 29 Temmuz'da, cihazlarını hiçbir zaman internete bağlamamış ColdCard kullanıcıları, anahtar üretimindeki bir rastgelelik hatası yüzünden boşaltıldı ve 1.000 bitcoinin üzerinde kayıp yaşandı. Toparlanma sonuçları saklama türüne göre sert biçimde ayrışıyor. Bybit, müşteri karşılıklarını üç gün içinde yeniledi; Bitget, Eylül'de alınan 388 milyon doları koruma fonuyla karşıladı. Mt. Gox alacaklıları, bitcoinlerinin yaklaşık yüzde 15'i için yaklaşık on yıl beklerken, FTX alacaklıları, bitcoinin 16.000 dolar civarında olduğu bir çöküşün ardından nakit olarak yaklaşık yüzde 120 aldı. Brezilya Merkez Bankası'nın 2025 tarihli 519, 520 ve 521 numaralı kararları, karşı taraf modelini doğrulanabilirlik yönünde itiyor: müşteri varlıklarının ayrı cüzdanlarda ayrıştırılmasını, rezerv kanıtını, bağımsız denetimleri ve şirketin kendi işlemlerinde müşteri fonu kullanma yasağını zorunlu kılıyor.

Saklama Matematiğini Okumak

İki kayıt birlikte okunduğunda, saklamanın ikili bir seçim değil bir güven tahsisi olduğu sonucu çıkıyor. Binance'in olay sonrası incelemesi ve zincir üstü iz, operasyonel bir başarısızlık gösteriyor: balıkçılığa yakalanmış bir çalışan ve parti imza politikası, borsa saklamanın kendisinde bir kusur değil. Şirket, yüzde 98'ini geri koyarken kaybın yüzde 100'ünü karşıladı; Ocak mağdurlarının hiçbirine nasip olmayan bir sonuç, çünkü kendini saklama hiçbir karşı taraf sunmuyor. Kripto borsası ile cüzdan saklaması arasında seçim yapan herkesin her iki seçeneği de kendi operasyonel yetkinliğine göre ölçmesi gerekiyor: güçlü platformlara yayılmış bir dağıtım, disiplinli kendini saklama ve listeli fonlar, tek bir başarısızlığın ölümcül hale gelmesini engelliyor. Bu tahsis, devredilemeyen tek sorumluluk.