Binance, 2026'da Kuzey Kore Bağlantılı 57 Saldırıyı Engelledi

Sahte İş Görüşmeleri ve Kötü Amaçlı Geliştirici Araçları

Binance ortak kurucusu ve eş genel müdürü Yi He, 3 Kasım'da borsanın güvenlik ekibinin 2026 yılının başından bu yana Kuzey Kore bağlantısından şüphelendikleri 57 siber saldırıyı tespit edip engellediğini açıkladı. X platformunda yaptığı paylaşımda Yi He, girişimlerin devlet destekli aktörlerden gelen ısrarlı bir tehdidi yansıttığını yazdı; ekibin bu girişimlerin birçoğunu kesintiye uğrattığını, ama tek bir saldırıyı durduramamanın bedelinin bile ağır olduğunu belirtti. Açıklamaları, borsanın aynı gün yayımladığı ve 29 Ekim'deki ihlal hakkında ilk bulguları içeren ilk rapora eşlik etti.

o rapora göre, bir yazılım mühendisine Eylül ayında meşru bir iş arama platformu üzerinden kendisini proje direktörü olarak tanıtan biri ulaştı. Ardından insan kaynakları temsilcisi görünen bir kişi, kişisel fotoğraf ve videolar içeren bir sosyal medya profiliyle desteklenen bir video görüşme yaptı. İkinci aşamada kendini hayali bir şirketin baş yöneticisi olarak sunan mülakatçı, mühendise iş bilgisayarına bir çalışma ödevi indirmesini söyledi. Ödevin kurulumu sırasında içindeki kötü amaçlı kod çalıştı ve o anda kullanılan uç nokta güvenlik araçları tarafından yakalanmadı. 20 Ekim Salı günü saldırgan ele geçirilen bu bilgisayarı ve şirket içi bir yapay zeka aracını kullanarak iki cüzdan mühendisine ulaştı; cüzdan imzalama işlemlerine erişim sağlayan kimlik bilgilerini ele geçirdi. Varlık transferlerini yetkilendiren private key (özel anahtar) malzemesi tam da bu noktada devreye giriyor. Daha önce yapılan cüzdan yetkilendirme bulguları, güvenlik incelemesinin 50 adet EIP-7702 yetkilendirmesi tespit etmesinin ardından hırsızlığın bir bölümünü Ethereum tabanlı bir hot cüzdan olan Binance 14'e bağlamıştı; bu yetkilendirmelerden biri, yürütme haklarını kötü amaçlı bir kontrata başarıyla devretmişti. Yi He'nin paylaşımı 57 şüpheli vakadan kaçının işe alım tuzaklarına dayandığını ayrıştırmadı; ancak ilk rapor, işe alım dolandırıcılıklarını, ele geçirilmiş tarayıcı eklentilerini ve sahte konferans uygulamalarını ana saldırı hatları olarak sıralıyor.

yüzde 98 Telafi ve FBI'ın TraderTraitor İfşası

29 Ekim Perşembe günü yaşanan olay yaklaşık 6,34 milyar dolar değerinde dijital varlığı etkiledi. FBI'ın 31 Ekim Cumartesi günü yayımladığı siber uyarısı hırsızlığı Kuzey Kore'ye bağladı ve faaliyeti TraderTraitor olarak tanımladı. ABD Gizli Servisi ve IRS Suç Soruşturma Birimi ile çalışan büro, saldırganların çalınan varlıkları ağırlıklı olarak Ether'e çevirdiğini ve fonların merkeziyetsiz finans ile anlık takas servisleri üzerinden yıkanmaya devam etmesini beklediklerini belirtti; bu kategori, 0x Protocol gibi yönlendirme protokollerini de kapsıyor. Kurumlar, borsaları, analiz şirketlerini ve altyapı operatörlerini listelenen adreslerle yapılan işlemleri engellemeye çağırdı. Kuzey Kore, 3 Kasım'da suçlamayı reddetti; Kim Yo Jong, devlet medyasında yayımlanan bir açıklamayla iddiaları geride bıraktı.

Binance, 3 Kasım'daki raporunda etkilenen token varlıklarının yüzde 98'inin karşılandığını, kalan daha az likit varlıkların satın alınmasının sürdüğünü ve kaybın gerektirdiğinden daha fazla fonun kenarda tutulduğunu bildirdi. Borsa, Circle'ın ihraç ettiği stablecoin USDC dahil olmak üzere BTC, ETH, USDT, BNB, SOL, XRP, USD1, RLUSD ve ZEC'in tam karşılandığını açıkladı. İkame alımlar, Secure Asset Fund for Users fonundan, Vadeli İşlemler Sigorta Fonu'nun fazla rezervlerinden ve şirketin kurumsal hazinesinden karşılandı. Para çekme işlemleri varlık varlık geri döndü: Bitcoin çekimleri 1 Kasım Pazar günü yeniden açıldı; genel müdür Richard Teng o gün karşılamayı yaklaşık yüzde 95 seviyesine yerleştirdi. 3 Kasım'da borsa, beş Ethereum stablecoin'inin ardından Ethereum üzerinde 31, Solana üzerinde 20 ek varlık için çekimleri açtı. Zincir üstü takip verileri, 1 Kasım ile 2 Kasım'ın ilk saatleri arasında yaklaşık 28 BTC'nin, 2,2 milyon dolar değerinde, 18 CoinJoin işlemine girdiğini gösteriyor; doğrudan borsadan çalınan 18.270 BTC ise o değerlendirme anında 19 adreste duruyordu. Hırsızlıkla ilişkilendirilen adresler, yaklaşık 12.000 cüzdan ve 11 blok zincirini kapsayan inceleme kapsamında tahminen 3,24 milyar dolar tutmaya devam ediyordu; ağırlık Ethereum ve Bitcoin'de toplanıyordu.

Engellenen 57 girişim ile tek başına sonuç alan bir ihlal arasındaki karşılaştırma, açıklamanın en çarpıcı verisi. Saldırganlar borsanın dış savunmasını aşmak zorunda kalmadı: sahte bir görüşmeyle ulaşılan tek bir mühendisin iş bilgisayarı, onları bir ayın içinde cüzdan mühendislerine ve imzalama kimlik bilgilerine götüren bir yol açtı. Bu tablo, işe alım hatlarını ve geliştirici araç zincirlerini artık her platformun fiyatlaması gereken bir karşı taraf riski haline getiriyor; dahili bir güvenlik dipnotu olmaktan çıktı. Aklama deseni aynı yönü işaret ediyor: yaklaşık 2,85 milyar doların dondurulmuş ya da kesilmiş olması, çalınan fonlara bağlı adreslerde hâlâ duran yaklaşık 3,24 milyar dolar ve çalınan BTC'nin CoinJoin karıştırıcılarından geçmeye başlaması, gerçekçi geri kazanma üst sınırını belirliyor. Borsanın geri kalan riski, hâlâ satın aldığı likit olmayan token kuyruğunda yatıyor.