Bitget, Ethereum (ETH) Zincir Üstü Akışıyla Doğrulanan 351,6 Milyon Dolarlık Hot Cüzdan Hackini Açıkladı

351,6 Milyon Dolarlık Yetkisiz Transfer

Hacim bazında dünyanın altıncı büyük kripto borsası Bitget, 24 Eylül'de yaklaşık 351,6 milyon değerinde dijital varlığın hot cüzdanlarından yetkisiz biçimde çıktığını doğruladı; güvenlik araştırmacıları olayı şüpheli bir hack olarak nitelendiriyor. CoinGecko verilerine göre günlük 1,1 milyar doların üzerinde işlem hacmi işleyen Seyşeller merkezli platform, acil önlem olarak çekimleri askıya aldı; yatırımlar ve işlemler ise tam kapasiteyle çalışmaya devam ediyor. Zincir üstü güvenlik firmaları, borsanın kendi açıklamasını yayınlamasından saatler önce şüpheli hareketleri tespit etmişti. Olayın boyutu, kullanıcı varlıklarını soğuk depolama yerine likidite amacıyla internete bağlı altyapıda tutan hot cüzdan maruziyetini yeniden güvenlik tartışmasının merkezine taşıdı.

Şef Gracy Chen, X'te paylaştığı açıklamada ihlali doğruladı ve Bitget'in güvenlik sistemlerinin 24 Eylül'de TSİ karşılığıyla söylemek gerekirse 18:31 UTC'de sınırlı sayıda hot cüzdandan yetkisiz transferleri tespit ettiğini yazdı. Acil müdahale protokollerinin derhal devreye alındığını ve soğuk cüzdanlara dokunulmadığını belirtti. Bitget üç katmanlı bir cüzdan mimarisi işletiyor; Chen'e göre ihlal, hot ve warm cüzdan katmanlarının yalnızca bir bölümüyle sınırlı kaldı ve kullanıcı varlıkları koruma altında. Chen, müşterilere doğrudan seslenerek borsanın çok sayıda piyasa döngüsü atlattığını ve “bu olaydan kaçmayacağını” yazdı; her doların ve her kararın şeffaf biçimde hesabının verileceğine söz verdi.

Varlıklar Tek Adreste Toplandı

Zincir üstü veriler, saldırganın varlıkları birden fazla blokzincir boyunca süpürüp yeni oluşturduğu tek bir adreste topladığını gösteriyor. Boşaltılan varlıklar arasında Ethereum (ETH), BNB, Avalanche (AVAX) ve LayerZero üzerine kurulu, Tether'ın omnichain sürümü USDT0 bulunuyor. Analistler, taze bir adresin Bitget'in hot cüzdanından aldığı yaklaşık 19,67 milyon USDT0 ile Arbitrum üzerinde yalnızca altı dakikada 7.111 ETH satın aldığını takip etti; alım, DeFi uygulama protokolleri UniswapX ve 1inch Fusion üzerinden spot fiyatın yüzde 5'ine kadar prim ödenerek gerçekleştirildi. Agresif alım, stablecoin bakiyelerinin istikrarlı biçimde ETH'ye çevrilmesiyle WETH/USDC havuz fiyatını kısa süreliğine 2.870 dolar civarına itti — çalınan değeri piyasanın en likit varlığına aktarmaya yönelik bir aklama deseni.

Zarar tahmini gün içinde hızla yukarı sürüklendi. İlk takip, şüpheli çıkışları 170 milyon ile 183 milyon dolar arasında gösteriyordu; ek cüzdanları kapsayan sonraki açıklamalar ise doğrulanmış toplamı 351,6 milyona çıkardı. Kaybedilen 351,6 milyon dolarlık toplam, BNB ve AVAX gibi varlıkların da saldırının kapsamına girdiğini doğruluyor. Analistler, etkilenen Bitget cüzdanlarında hâlâ yaklaşık 530 milyon değerinde varlık bulunduğunu not ederek yatırımcıları yeni hareketlere karşı uyanık tutuyor. Ne borsa ne de güvenlik firmaları saldırı vektörünü açıklamadı; olayı Kuzey Kore kaynaklı aktörlere bağlayan spekülasyonlar ise doğrulanmış değil. Bitget, soruşturması sonuçlanana kadar yöntem üzerine spekülasyon yapmayacağını belirtti.

Koruma Fonu Zararın Tamamını Karşılayabilir

Borsa, resmi duyurusunda 351,6 milyon dolarlık çıkışı doğruladı ve ilgili adresleri işaretlediğini, karşı tarafları bilgilendirdiğini, kolluk kuvvetleriyle ve zincir üstü güvenlik firmalarıyla soruşturmaya resmen dahil olduğunu bildirdi. Chen, 464 milyonun üzerinde varlık barındıran Kullanıcı Koruma Fonunun zararın tamamını karşılayabileceğini söyledi. Güvenlik incelemesi tamamlanana kadar çekimler duraklatılmış durumda; yatırımlar, işlemler ve hesap bakiyeleri ise etkilenmedi ve doğruluğu teyit edildi. Şirket, saatlik güncelleme taahhüdünde bulundu ve 24 saat içinde kök nedeni, kullanılan yöntemi ve alınacak düzeltici önlemleri kapsayan kapsamlı bir olay raporu yayımlayacağını duyurdu.

resmi duyurusundahttps://x.com/bitget/status/2103236552482848927

Bybit'ten Bu Yana En Büyük Borsa İhlali

Bu ihlal, Bybit'in Şubat 2025'te yaklaşık 1,4 milyar dolar kaybettiği tarihten bu yana merkezi bir borsada yaşanan en büyük olay. Üstelik yıl, cüzdan seviyesindeki aksaklıklarla zaten gürültülü geçiyor: Temmuz'da hackerlar, Coldcard bitcoin donanım cüzdanındaki bir yazılım (firmware) hatasını sömürerek yaklaşık 120 milyon değerinde kullanıcı fonunu çaldı. Bu ayın başında ise sözde beyaz şapkalı (white-hat) saldırganlar, Blockstream'in Liquid yan zincirinin federasyon cüzdanından o anki değeriyle yaklaşık 320 milyon dolar eden 4.000 BTC çekti. Ayrı bir gelişme olarak Bitget, Japonya düzenleyicisinin kayıt dışı faaliyetler yönünden uyarısının ardından Ağustos'ta zaten Japonya ikamet edenler için hizmetlerini sonlandırdığını açıklamıştı. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları Bitget üzerinden canlı takip edebilir.

Olay Sonrası Rapor 24 Saat İçinde Bekleniyor

Asıl sınav şimdi söz verilen olay sonrası raporda. Boşaltılan toplam ve tek adrese konsolidasyon zincir üstünde zaten doğrulanabilir durumda; bu yüzden 24 saatlik raporun resmi rakamını blok gezginlerinin gösterdiğiyle uzlaştırması ve özel anahtarların mı ele geçirildiğini yoksa imza altyapısındaki bir kusurun mı sömürüldüğünü açıklaması gerekiyor — şimdiye kadar ikisine dair de bir işaret yok. Kullanıcılar açısından 464 milyon dolarlık koruma fonu bakiyeleri bütün tutmalı; ama olay, bir borsa ihlalinin piyasa mikro yapısına ne kadar hızlı yansıdığını da gösterdi: saldırganın primli ETH alımları WETH/USDC havuzunu dakikalar içinde hareket ettirdi. Çekimler yeniden başlayana dek Bitget'in itibarı, raporun şeffaflığına bağlı.