Bitget'in 387 Milyon Dolarlık Bitcoin (BTC) Cüzdan Sızması 2026'nın En Pahalı Ayını Belirledi

Eylül, 2026'nın Kayıp Rekorunu Kırdı

Zincir üstü verileri PeckShield'in izlediği rakamlara göre Eylül, kripto para güvenliği açısından 2026'nın en pahalı ayı olarak kapandı: ele geçirilen fonlar 766,49 milyon dolara ulaştı. Bu toplam, Ağustos'taki 136,3 milyon dolarlık seviyenin yaklaşık yüzde 462 üzerine çıktı ve Nisan'da KelpDAO açığıyla şişmiş olan 646,89 milyon dolarlık eski aylık zirveyi de geçti. Ayı taşıyan iki olay oldu: Bitget, sıcak cüzdanlarından (hot wallet) yaklaşık 387 milyon dolar kaybetti; Bitcoin (BTC) yan zinciri Liquid Network'ten ise kabaca 320 milyon dolar boşaldı. İki olay, aylık toplamın yüzde 92'sine, yani 707 milyon dolara denk geliyor. Eylül olay sayısında da rekor kırdı: PeckShield, Ağustos'ta rekor olan 50 olayın ardından 55 büyük hack kaydetti; CertiK'in panosu ise ay boyunca 99 güvenlik olayı saydı. Eylül'deki 13 olay yarım milyon doları aştı, ama elde edilen fonlar en büyük sızıntılarda yoğunlaştı. Çeyreğin kayıpları 1,2 milyar dolara ulaştı; ikinci çeyrekteki 819,4 milyon doların yüzde 53 üzerinde. Olay sayısı da yüzde 12,8 artarak 247'ye çıktı. Sızıntılar, Bitcoin (BTC) fiyatı mekanizmasının kendisini değil, saklama ve köprü altyapısını vurdu.

@PeckShieldAlert · X gönderisi

PeckShield tarafından izlendi.

X'te görüntüle

SlowMist Bitget Sızıntısını 31 Ağustos'a Götürdü

Bitget sızıntısına dair adli çalışmalar, ihlalin fonlar daha cüzdanı terk etmeden haftalarca önce başladığını ortaya koydu. Borsa, blok zincir güvenlik firması SlowMist ile hazırladığı ve 29 Eylül itibarıyla güncel resmi raporunda, en erken kötücül etkinliğin 31 Ağustos'ta görüldüğünü belirtiyor. Saldırganlar, üçüncü taraf bir güvenlik ürünündeki, daha önce bilinmeyen bir açığın bulunduğu sıfırıncı gün (zero-day) kusurunu kullandı; araştırmacılar, saldırganın sildiği dosyalardan özel yapım bir para çekme aracını da geri kazandı. Çalınan özel anahtar malzemesi, ardından Bitget'in sıcak cüzdanlarına erişim sağladı. Sıcak cüzdanlar, borsaların likidite rezervlerini tutan çevrim içi depolama ve soğuk depolamadan (cold storage) ayrı bir yapı. SlowMist saldırıyı henüz isimli bir gruba atfetmedi; ama Bitget CEO'su Gracy Chen daha önce şüpheli listede Kuzey Koreli hacker'lara işaret etmişti. Bu hırsızlık, 2026'nın en büyüğü ve Eylül öncesinde yılın tablosuna liderlik eden Drift Protocol, KelpDAO ve LayerZero açıklarının üstünde yer alıyor. Bulgu, aynı üçüncü taraf güvenlik altyapısını kullanan her borsa için önemli: giriş noktası Bitget'in kendi kodunun dışında duruyordu.

Liquid Network Fonlarının Bir Kısmı Geri Döndü

Eylül kayıplarının tamamı kalıcı olmadı. Kendilerine beyaz şapkalı diyen Liquid Network saldırganları, alınan yaklaşık 320 milyon doların yaklaşık 285 milyon dolarını geri verdi; ağ o günden bu yana 3.400 BTC'yi de geri aldı. 7,81 milyon dolarlık bir maksimum çıkarılabilir değer (maximal extractable value) bot ön çalıştırması da fonların iadesiyle kapandı; Payment Processor V2'deki hasarın bir bölümü de öyle: 6,6 milyon dolarlık kayıptan 3,4 milyon dolar geri geldi. Kripto kumarhanesi Duelbits 7 milyon dolar kaybetti, Nostra kahin (oracle) açığı ise 3,5 milyon dolara mal oldu. Birçok DAO hazinesinin dayandığı Gnosis Safe çoklu imza cüzdanına düzenlenen saldırı girişimi, Yoink adlı bir bot tarafından önceden engellendi ve para geri döndü. Hırsızlıkların ardından fonlar saatler içinde yer değiştirdi ve günler boyunca DEX takasları, kripto karıştırıcı (crypto mixer) Tornado Cash ile KYC'siz platformlar üzerinden karıştırıldı; yeni görülen hareketler, geliri Monero (XMR) ve gizlilik odaklı ZCash (ZEC)'e çevirdi. Kalan 53 olay toplamda yaklaşık 59 milyon dolara mal oldu; ağırlıklı olarak cüzdanlara, köprülere ve Web3 uygulamalarına yönelik 3 ila 7 milyon dolarlık darbeler.

İadeler Sonrası 1,2 Milyar Dolarlık Çeyrek

Chainalysis, 387 milyon dolarlık Bitget hırsızlığını resmen Kuzey Kore bağlantılı aktörlere atfetti; Bitget CEO'su Gracy Chen'in ve Elliptic'in önceki değerlendirmelerine de katıldı ve bu soygunun Pyongyang'ın 2026 kripto hasılatını 1 milyar doların üzerine taşıdığını söyledi. Çarşamba günü yayımladığı raporda firma, 387 milyon doların 23 transferle üç saat içinde borsadan çıktığını aktarıyor: fonlar Ethereum'a (yüzde 49,7), XRP'ye (yüzde 40,8), Zcash'e (yüzde 7,6) ve Tron'a (yüzde 1,8) düştü; ardından zincirler arası likidite protokolleri, anlık takaslar ve akla hizmet servislerinden geçti. Çalınan XRP, kabaca bir buçuk gün içinde Bitcoin'e çevrildi; saldırgan kontrolündeki adresler şu anda kolluk kuvvetleriyle birlikte izleniyor. Chainalysis kendi yapay zekasını iş başında kullandı: 20 saatten fazla süren manuel köprü mutabakatını 10 dakikanın altına indirdi. Circle ve Tether ise yaklaşık 318.000 dolarlık stablecoin'i dondurdu.

Çeyreğin kayıpları okunduğunda ağırlık, yalnız sözleşme hatalarında değil operasyonel ele geçirmede toplanıyor; Ethereum ve BNB Smart Chain dönem boyunca en çok saldırıyı yiyen ağlar oldu. Üçüncü çeyrek zararı 1,2 milyar dolarla ikinci çeyreğin 819,4 milyon dolarının yüzde 53 üzerinde, ama net tablo manşetin altında: CertiK'in panosu Eylül'de 273,2 milyon doların dondurulduğunu ya da geri döndüğünü kaydetti ve düzeltilmiş kayıpları yaklaşık 495,3 milyon dolara çekti. Kimlik avı, üçüncü çeyrek olaylarının yüzde 11'inden fazlasını oluşturdu ve saldırılar Kripto Korku ve Açgözlülük Endeksi nerede olursa olsun gelmeye devam etti. SlowMist'in son değerlendirmesi yol haritasını netleştiriyor: üçüncü taraf sıfırıncı gün riskini kapatın, anahtar saklamayı sağlamlaştırın, para çekme kontrollerini sıkın. Tek bir çeyrekte 247 olay, borsaların ve protokollerin bir sonraki çeyrek hasarı eklemeden önce daha sıkı denetimlere ve gerçek zamanlı para çekme takibine geçmesi gerektiğini gösteriyor.