FBI, 6,34 Milyar Dolarlık Binance Sızmalarının Perpetratörü Olarak Kuzey Kore'nin TraderTraitor Grubunu Gösterdi

FBI, TraderTraitor'u İşaret Etti

FBI, kayıtlara geçen en büyük kript varlığı hırsızlığının arkasında Kuzey Kore devlet hackerlarını bulunduğunu açıkladı ve operasyona 31 Ekim Cumartesi günü, yaklaşık 6,34 milyar doların Binance cüzdanlarından izinsiz şekilde çıkmasının ardından iki gün geçmeden TraderTraitor adını verdi. Borsa, olayı ara ara yayımlanan bir soruşturma raporuyla anlattı ve sızmanın Haziran ayından Ekim sonuna kadar aşamalar halinde ilerlediğini ortaya koydu. Binance'ın anlatımına göre zincirin başlangıcı Haziran'da atıldı: Bir yazılım mühendisi yapay zekaya dayalı bir kod yazma aracı kurmaya çalışırken, arka kapı yerleştirilmiş sahte bir Homebrew yükleyicisini indirdi. Şirket anormallluğu fark etti, cihazı devre dışı bıraktı ve ona bağlı erişim kimliklerini değiştirdi. Fakat saldırgan devrede kaldı. Eylül ayında, Binance geçmişi bir iş arama platformunda görünen bir mühendise sahte bir işe alım müdürü aracılığıyla teklif gönderildi; mühendis video görüşmesine katıldı ve içinde kötü amaçlı yazılım barındıran bir geliştirme göreviyle baş başa bırakıldı. Borsa tarafından aktarılan bilgiye göre saldırgan 20 Ekim Salı gününe gelindiğinde bulaşıcı makineyi ve içerideki yapay zeka araçlarını kullanarak cüzdan operasyonları personelinin yetkilerine ulaşmış, konteyner dağıtım haklarına sahip bir çalışanın erişim anahtarını da belirlemişti. 29 Ekim Perşembe günü çalınan kimlik bilgileriyle başka bir çalışanın bilgisayarına girildi, bir konteyner kuruldu ve zararlı bir kod çalıştırıldı; bu adımın ardından içerideki cüzdan imzalama sistemine erişildi ve işlemler standart para çekme akışının dışında onaylandı. Binance, etkilenen varlıkların değerini yaklaşık 6,34 milyar dolar olarak açıkladı ve zararı kullanıcılara yansıtmak yerine kendisinin üstleneceğini bildirdi. Şirket aynı zamanda saldırganın yolunda duran cüzdan sistemlerini ve içerideki yapay zeka araçlarını yeniden kurdu. FBI, TraderTraitor etiketini daha önce 2025 yılında gerçekleştirilen 1,5 milyar dolarlık Bybit soygununda da kullanmıştı. Bu durum Binance kaybını aynı programın ikinci tasdikine dönüştürüyor ve Bybit'in boyutunun dört katından fazla olduğu için sektörün şimdiye kadarki en büyük tek seferlik kaybı haline getiriyor.

Mirim Kolejinden Ronin Köprüsüne

Bu sızmanın arkasındaki yetenek bir gecede inşa edilmiş bir yapı değil. Kuzey Kore, Bitcoin'den on yıllar önce, 1980'li yıllarda matematiği ve fen bilimlerinde yetenekli öğrencileri siber alanda istihdam etmek üzere seçmeye başlamıştı. Amerika Birleşik Devletleri Deniz Postgraduate Okulu'ndan 2004 tarihli bir tez, Mirim Akademisi'nin 1984'te kurulduğunu ve 1986'da beş yıllık Mirim Koleji'ne dönüştüğünü, lise birincilerinin ve aktif askerlerin burada bilgisayar, programlama ve elektronik harp eğitimi aldığını kaydediyor. Güvenlik şirketi DTEX'in verdiği bilgiye göre Geumseong No.1 Ortaokulu'ndaki öğrenciler altı yılda yaklaşık 1.660 saat bilgisayar eğitimi alıyor; Linux, C ve C++, Windows, ağ yapıları ve yapay zeka konularını kapsıyor. En başarılı mezunlar ise Kim İl Sung Üniversitesi'ne veya Kim Chaek Teknoloji Üniversitesi'ne yönlendiriliyor. Güney Kore ordusu, ülkenin 2024 itibarıyla yaklaşık 8.400 kişilik bir siber harp kadrosu bulundurduğunu tahmin ediyor. Erken operasyonlar para yerine istihbarat ve aksatma hedefliyordu. ABD Adalet Bakanlığı, Kuzey Kore bağlantılı aktörleri 2014 Sony Pictures saldırısıyla, 2016'da SWIFT'e bağlı ödeme sisteminden 81 milyon dolar çeken Bangladesh Bank soygunuyla ve 2017 WannaCry fidye yazılımı dalgasıyla ilişkilendirdi. Dijital varlıklar sonrasında bankacılık sisteminin sunmadığı bir imkânı sundu: Bir borsa cüzdanı veya aktarım yetkisi ele geçirildiği anda değeri sınır ötesine taşınabiliyor. FBI, 2022'de Axie Infinity oyununun Ronin köprüsünden yaklaşık 620 milyon doların çalınmasını Lazarus ve APT38 gruplarına, 2025'teki 1,5 milyar dolarlık Bybit sızmasını ise TraderTraitor'a bağlıyor. Üçüncü bir kanal ise işe alım üzerinden işliyor. Adalet Bakanlığı 2025'te, Kuzey Kore bağlantılı kişilerin sahte veya çalınmış kimliklerle 100'den fazla ABD şirketinde uzaktan işe girdiğini, maaş aldığını ve bazı durumlarda hassas verilere eriştiğini açıkladı. 2025'te yayımlanan Çok Taraflı Yaptırım İzleme Ekibi raporu, Bybit'ten çalınan fonların o yılın Eylül ayına kadar Çin, Rusya, Hong Kong ve Kamboçya'daki aracılar üzerinden büyük ihtimalle tamamen nakde çevrildiği sonucuna varıyor.

Sadece Yüzde 1'i Kod Açığından Geldi

Matematik, hedef seçiminin sebebini açıklıyor. TRM Labs'ın derlemesine göre Kuzey Kore'nin 2017'den bu yana toplam kripto hırsızlığı yaklaşık 12,8 milyar dolara ulaştı; bunun 7,4 milyar doları bu yılın Ekim ayı sonuna kadar alınan kısmı oluşturuyor ve bu rakam küresel hack kayıplarının yaklaşık yüzde 85'ine denk geliyor. Ülkeye atfedilen 100 saldırıdan sadece 13'ü akıllı sözleşme kodunu sömürdü ve bu saldırılar çalınan değerin yalnızca yaklaşık yüzde 1'ini taşıdı; Binance dahil edildiğinde paranın yüzde 88'i ele geçirilen özel anahtarlar, sunucular ve imzalama sistemlerinden geldi. Binance'ın olay sonrası değerlendirmesi bu deseni her adımda doğruluyor: sahte bir işe alım senaryosu, bulaşmış bir geliştirici aracı, kimlik bilgisinden yetki genişlemesi ve içeriden erişilen bir cüzdan imzalama sistemi. Kullanıcılar için ders, kendi kendine saklama kadar platform seçiminde de duruyor; bu yüzden En İyi Kripto Borsaları karşılaştırılırken komisyon oranları kadar saklama kontrollerine de aynı ağırlık verilmeli.