Hackerlar Safe Cüzdanına Kod Yerleştirerek Bybit'ten 1,5 Milyar Dolar Çaldı

Tek bir imza uygulaması, 1,5 milyar dolar

Şubat 2025'te kripto borsa Bybit'ten yaklaşık 1,5 milyar dolar çıktı ve saldırganların kullandığı kapı Bybit'e ait değildi. Saldırganlar kodu, borsanın para gönderim akışına entegre etmiş olduğu harici bir imza uygulaması olan Safe{Wallet} içine yerleştirdi; çoklu imzalı (multisig) işlemleri özel bir arayüz üzerinden imzalayan masalar için bu yaygın bir kurulum. İşlemi kontrol eden çalışanlar ekranda bir alıcı görürken, imzaladıkları işlem aslında bambaşka bir adresi yetkilendiriyordu. FBI operasyonun arkasında Kuzey Kore'yi gösterdi. Bybit müşterileri, hiç dokunmadıkları bir altyapı üzerinden riske girdi. Hiçbir özel anahtar çalınmadı. Hırsızlar cüzdanları yöneten ana kimlik bilgilerine hiç ulaşmadı; borsanın kendi onay sistemlerini kandırarak fonları akıttı ve ihlal, kriptografinin bir üstünde, uygulama katmanında oturdu. Çoklu imza, para hareket etmeden önce birden fazla onay zorunlu kılmak için vardır; yerleştirilen kod, onaylayanların gördüklerini kontrol ederek bu denetimi geçersiz kıldı. Platformdan çıkan 1,5 milyar dolar bu tek ele geçirilmiş akıştan geçti. Zincir üstü kayıtlar ve şirket açıklamalarına göre Binance, Bybit ve Bitget'te 20 ayda toplam hasar 8 milyar doların üzerinde; bu soygunların her biri anahtarlar üzerinden değil, onay adımı üzerinden gerçekleşti. Safe{Wallet}, cüzdanları sektörde yaygın bir standart olan Safe protokolünün imza arayüzü; ihlalin geri dönüp dönmeyeceği tartışılır, ancak her yeni saldırı haberi geldiğinde bu olay yeniden gündeme geliyor. Örüntü tekrarlarken Safe fiyatı son 24 saatte yüzde 3,3 geriledi. İmza sürecine duyulan güveni ürün olarak satan bir protokol için, imzacıların seçmedikleri işlemleri onayladığı bir olay, markanın var oluş amacının tam da önlemeye çalıştığı hatadır.

Üç saldırı, çalınan tek bir anahtar yok

Sıra Binance'e Perşembe, 29 Ekim günü geldi ve borsa yaklaşık 6,3 milyar dolar kaybetti. Eş CEO Richard Teng, saldırının bir mühendisin ele geçirilmiş dizüstü bilgisayarıyla başladığını söyledi; şirketin incelemesi anahtar sızıntısına dair kanıt bulamadı. “Saldırgan tek bir mühendisin yetkilerini kullanmakla yetinmedi ve bu tek tıklamayla tamamlanan bir eylem değildi” diyen Teng, sözlerini ihlal hakkında resmi açıklamasında yineledi. Bitget ise Eylül ayında yaklaşık 387,5 milyon dolar kaybetti; giriş, harici güvenlik ürünlerindeki zafiyetlerden geldi ve ardından sahte çekim emirleri borsanın normal imza sürecinden geçti. Karşı örneği şimdi pazarın incelediği borsa, karşılaştırılabilir bir soygun açıklamamış olan Coinbase. Onun saklama modeli çok taraflı hesaplamaya (MPC, multi-party computation) dayanıyor: her anahtar, ayrı makinelerde tutulan parçalara bölünüyor ve şirket, güvenlik açısından hayati tüm yazılımı kendi içinde geliştirdiğini söylüyor; hem Bitget hem Bybit ihlali üçüncü taraflardan girmişti. Coinbase Institutional eş CEO'su Greg Tusar, tasarımı şirketin blog yazısında şöyle tanımlıyor: “MPC, tam özel anahtarların ne saklanırken ne imza sırasında ne de kullanımdayken tek bir makinede bulunmasını sağlar.” Zincir üstü veriler, Coinbase cüzdanlarının 69,8 milyon adreste yaklaşık 959 bin BTC tuttuğunu ve bu varlığın 74,7 milyar dolar değerinde olduğunu gösteriyor. Araştırmacı Zeeme, X'teki analiz dizisinde bu mimarinin üç saldırı yolunu da kapattığını, çalınan bir bilgisayarın ancak işe yaramaz bir anahtar parçası verebildiğini savunuyor. Baş Teknoloji Sorumlusu Rob Witoff, borsanın “fiyat oynaklığını izlediğini, çalınan fonları zincir üstünde takip ettiğini” belirtirken, Baş Güvenlik Sorumlusu Jeff Lunglhofer, ele geçirilmiş Binance cüzdanlarına yapılan gönderimleri engellediklerini ve ihtiyat gereği soğuk depolama düzenlemelerini değiştirdiklerini söyledi. Fonlarını platformdan çıkarmak isteyen müşteriler, Coinbase'ten para çekme rehberimize bakabilir. Şirket sızmasız değil: 2025'te suçlular, yurt dışındaki destek personeline rüşvet vererek KYC sürecinden toplanan müşteri verilerini sızdırdı; Coinbase bu olayın maliyetini 180 ile 400 milyon dolar arasında hesapladı, ancak fonlara hiçbir zaman erişilemediğini söyledi. Araştırmacı Marc Baumann ise Nisan ayında Coinbase'in ABD spot Bitcoin ETF varlıklarının yüzde 84'ünü, yaklaşık 77 milyar doları tek bir saklayıcı olarak tuttuğunu tahmin etmişti.

Borsaların ötesinde imza riski

Üç soygunun ortak tasarım açığı kriptografi değil: her biri, insanın imzaladığı onay adımını hedef aldı ve Coinbase'in anahtar bölme ile içeriden geliştirme stratejisi tam da bu adımı savunmak üzere kurulmuş. SAFE için okuma daha zor: protokolün imza arayüzü Bybit soygununun giriş kapısıydı ve piyasa token'ı, tokenomics yapısı kadar bu çağrışım üzerinden de yeniden fiyatlıyor. SAFE teknik analiz sayfamız, token'in her yeni güvenlik haberini nasıl sindirdiğini izliyor. Donanım cüzdanları da benzer tedarik zinciri sorularıyla yüzleşiyor; Mart 2026'dan bu yana CryptoBilis cihazlarını kapsayan Safe 5 implant raporu bunu gösterdi. ABD spot Bitcoin ETF varlıklarının yüzde 84'ü tek bir saklayıcıda dururken, aynı onay adımı artık Wall Street'in fonlarını da koruyor. Kayıplar borsalarda ve kullanıcılarında kaldı; Coinbase çalınan fonları zincir üstünde takip ettiğini söylüyor ve kayıtlar, akıtılan paraya geri dönüş sağlayacak bir yol göstermiyor.