NSA Siber Kritik Açık Uyarısı Sonrası BNB Chain PHP Kullanmadığını Doğruladı

NSA Siber, PHP Açığına İşaret Etti

ABD Ulusal Güvenlik Ajansı'nın siber birimi NSA Cyber, 22 Ekim 2026 Perşembe günü kuruluşlara kritik güvenlik açıklarını kapatacak bir güncellemeye hazırlanmalarını söyledi; sistemlerinde PHP çalıştıranların bunu şimdiden planlaması gerektiği belirtildi. Uyarıya göre bu tür açıklar saldırganlara çoğu zaman sunucunun dosya sistemine doğrudan erişim yolu sunuyor, yani etkilenen kodu çalıştıran her web sitesi ya da servis açısından ciddi bir risk. PHP, internetin geniş bir bölümünde kullanılan sunucu taraflı bir programlama dili olduğu için duyuru kripto dünyasının çok ötesine ulaştı ve her büyük blockchain projesini yatırımcıların aynı sorusuyla karşı karşıya bıraktı: ağımız etkileniyor mu?

BNB Chain bu soruya birkaç saat içinde yanıt verdi. Ağın temsilcisi Nina Rong, X platformunda kısa bir mesajla yığın durumunu doğruladı ve BNB Chain'in hiçbir bileşeninde PHP kullanılmadığını yazıp kullanıcıları temkinli olmaya çağırdı. İki satırlık bir mesajtı ama birkaç saat içinde 47.000'den fazla görüntüleme topladı; bu rakam, BNB ekosistemi genelinde kaç yatırımcının BNB fiyatını izlerken bu güvenlik haberini de takip ettiğini gösteriyor. Rong'un açıklaması ağ açısından asıl soruyu kapatmış durumda: işlemleri işleyen ve kullanıcı varlıklarını koruyan kodun hiçbir kısmı, ekibe göre kusurlu yazılıma temas etmiyor. Duyuru aslında zincirleri değil web uygulamalarını hedefliyordu; ama zaman baskısı altındaki kullanıcılar bu ayrımı nadiren yapıyor ve devlet uyarısı ile iki cümlelik yanıt arasındaki bu diyalog, sektördeki bazı daha büyük projeler hiçbir şey söylemeden önce tamamlanmış oldu.

PancakeSwap Önce Attı, CZ Ardından Konuştu

BNB Chain üzerine kurulu en büyük DeFi platformlarından PancakeSwap, Rong'un mesajı görünmeden birkaç saat önce kendi doğrulamasını yayınlamıştı bile. Ekip, teknoloji yığınında PHP'nin hiçbir yerde bulunmadığını, platformun uyarıdan etkilenmediğini ve kullanıcı varlıklarının güvende olduğunu bildirdi. Binance kurucusu Changpeng Zhao, sektörde CZ adıyla tanınıyor, ardından bu pratiği destekleyen kendi mesajında o paylaşımı yaydı ve kendi pozisyonunu ekledi: bir güvenlik uyarısı yayıldığında çoğu proje en azından bu tür bir doğrulama yayınlamalı. Gerekçe basit bir mekanizmaya dayanıyor. Büyük bir devlet kurumu uyarı yayınladığında sessizlik korkuyu ve fud'u büyütür; iki dakikalık bir yanıt ise tek seferde çok sayıda kullanıcıyı sakinleştirebilir. Risk gerçek, çünkü kripto platformları gerçek para tutuyor ve kullanıcılar risk imasında hızlı tepki veriyor. Saldırı yüzeyi zincirin kendisinden de geniş: sektördeki birçok web sitesi, cüzdan arayüzü ve gösterge paneli, zincir çekirdeği etkilenmese bile sistemlerinin bir yerinde PHP çalıştırıyor olabilir. Dolandırıcılar tam bu boşlukta iş yapıyor. Bu tür bir duyuru düştüğünde "güvenlik yaması" adı altında sahte mesajlar dolaşıma giriyor ve tipik hedefleri korkmuş bir kullanıcının cüzdan adresini ya da özel anahtarını ele geçirmek. Okurların en sağlıklı yolu resmi proje kanallarını esas almak ve duyurulan herhangi bir düzeltmeyi projenin kendi hesaplarından teyit etmeden işlem yapmamak. Blockchain güvenlik denetimleri üzerine rehberimiz bu tür raporların nasıl okunacağını ele alıyor; ağdaki son uygulama katmanı olayları ise, BNB Smart Chain'de 2,84 milyon dolarlık bir para tahliyesinden Cysic köprüsünün durdurulmasına kadar, bu temkinli yaklaşımın zincirin kendi kodunun ötesine uzanması gerektiğini gösteriyor.

Burada esas kayıt birincil kaynak: bir yanda NSA Cyber duyurusu, diğer yanda BNB Chain'in ve PancakeSwap'in 22 Ekim günü yayımladığı iki doğrulama. Ortaya koydukları örüntü bir yönden yeni: sıradan web yazılımı hakkında çıkan bir devlet uyarısı artık bir blockchain projesini saatler içinde yığınında neyin çalıştığını bildirmek zorunda bırakıyor, çünkü yatırımcılar sessizliğin kendisini bir risk sinyali sayıyor. İki doğrulamanın kapsamadığı taraf ise herkes: uyarıya yanıt vermeyen BNB Chain üzerindeki her proje ve uygulama katmanında hâlâ PHP çalıştırıyor olabilecek, zincir düzeyindeki hiçbir yalanlamayla erişilemeyen üçüncü taraf panoları, ön yüz siteleri ve cüzdan servisleri. O servislerin kullanıcıları haftayı hiçbir yanıt almadan kapattı.