Binance'ten 6,3 milyar dolarlık hırsızlık: Bir mühendis bilgisayarından tarihin en büyük kripto soygununa

Rakamlar ve bulgular 30 Ekim 2026 itibarıyla kamuya açık bilgilere dayanıyor; soruşturma sürüyor ve Binance ayrıntılı teknik raporunu henüz yayımlamadı.

Ne oldu?

Saldırı 29 Ekim akşamı, Türkiye saatiyle 23:05 civarında başladı ve büyük kısmı yaklaşık 20 dakika içinde tamamlandı. Saldırgan, Binance'in internete bağlı "sıcak" cüzdanlarından on farklı blok zincirinde aynı anda varlık çekti. Binance kaybı yaklaşık 6,3 milyar dolar olarak açıkladı; bu, 2025'teki 1,5 milyar dolarlık Bybit saldırısının yaklaşık dört katı.

Kaynak: TRM Labs, işlem anındaki fiyatlarla. Binance mevduat ve çekimleri durdurdu, çekimlerin 48 saat içinde yeniden açılmasını beklediğini duyurdu.

Saldırı nasıl gerçekleşti?

Binance'in ilk bulgularına göre saldırgan, bir DevOps mühendisinin ele geçirilmiş dizüstü bilgisayarı üzerinden şirketin iç sistemlerindeki bir servis konteynerine ulaştı ve buradan yetkisiz çekim işlemleri gönderdi. Binance, cüzdan özel anahtarlarının sızdığına dair bir bulgu olmadığını ve olayda birden fazla etkenin rol oynadığını belirtiyor. Bilgisayarın nasıl ele geçirildiği henüz açıklanmadı.

Zincir üstü veriler de bu tabloyla uyumlu. Bitcoin çekimleri Binance adreslerinden geçerli imzalarla, sıradan bir çekim gibi yapıldı. Ethereum tarafında saldırgan, EIP-7702 yetkilendirmesiyle sıcak cüzdanı kendi kontrolündeki bir süpürme sözleşmesine yönlendirdi ve cüzdanın tamamını üç dakikada boşalttı. TRM Labs'e göre en olası açıklama, saldırganın Binance'in imzalama sistemine işlem imzalatabilecek konuma gelmesi.

Saldırı aceleye getirilmiş değildi. Saldırganın cüzdanı bir gün önce Tornado Cash üzerinden fonlandı, saldırı kodu önce iki ayrı cüzdanda denendi, ardından üçüncü bir cüzdanda prova edildi.

Saldırının arkasında kim var?

TRM Labs, saldırıyı "yüksek güvenle" Kuzey Kore'nin TraderTraitor birimine bağlıyor; bu birim Lazarus Group ile ilişkilendiriliyor. Aynı grup 2025'teki Bybit saldırısından da sorumlu tutuluyor. Bybit'te de giriş noktası bir geliştiricinin bilgisayarıydı. Ortak örüntüler: Tornado Cash ile önceden fonlanan cüzdanlar, günler önce yapılan hazırlık ve tek seferde art arda gönderilen, önceden hazırlanmış imzalar.

Paranın izi: Neler donduruldu?

• Dondurulanlar: Tether yaklaşık 1,57 milyar USDT, Circle yaklaşık 823 milyon USDC dondurdu. Ripple, World Liberty Financial ve Arbitrum Güvenlik Konseyi de kendi varlıklarında müdahale etti. Binance'e göre zincir üstünde dondurulan toplam yaklaşık 3 milyar dolar.
• Dondurulamayanlar: Bitcoin'in merkezi bir ihraççısı olmadığı için 18.270 BTC dondurulamıyor. Saldırgan bunları 19 cüzdana böldü; bu varlıklar ancak bir borsaya, OTC masasına veya takas servisine ulaştığında durdurulabilir.
• Aklama: Saldırgan çaldığı stablecoinlerin bir kısmını merkeziyetsiz borsalarda ETH'ye çevirdi, Aave ve JustLend gibi borç verme protokollerinde teminat olarak kullandı.

Binance kullanıcıları ne yapmalı?

Binance kullanıcı varlıklarının güvende olduğunu, kayıpları SAFU fonu ve şirket kaynaklarıyla karşılayacağını açıkladı. Kullanıcılar için en büyük risk şu an dolandırıcılık:

• "Hesabınızı doğrulayın", "iade başvurusu yapın" ya da "fonlarınızı güvenli cüzdana taşıyın" diyen e-posta, SMS ve sosyal medya mesajlarına itibar etmeyin.
• Bilgileri yalnızca Binance'in resmî uygulaması ve resmî hesaplarından takip edin; linklere tıklamak yerine adresi kendiniz yazın.
• Hesabınızda iki adımlı doğrulamanın, çekim adresi beyaz listesinin ve kimlik avı önleme kodunun açık olduğundan emin olun.

Kurumlar için dersler

Bu saldırı yalnızca kripto borsalarını ilgilendirmiyor. Hedef bir sistem açığı değil, kritik sistemlere erişimi olan bir çalışanın bilgisayarıydı.

1. Ayrıcalıklı erişimi olan bilgisayarlar ayrı tutulmalı. Üretim ortamına ve imzalama sistemlerine erişen mühendisler bu işi, e-posta okudukları ve internette gezdikleri bilgisayardan değil, yalnızca bu amaçla kullanılan sertleştirilmiş cihazlardan yapmalı.
2. Tek bir kimlik bilgisi kritik işlemi tek başına başlatamamalı. Yüksek tutarlı veya olağandışı işlemler, bağımsız bir onay ve imza politikasından geçmeli; dakikalar içinde milyarlarca dolarlık çıkışa izin veren limitler sorgulanmalı.
3. Konteyner ve servis yetkileri daraltılmalı. Bir servisin erişebildiği her şey, o servise ulaşan saldırganın da erişebildiği şeydir.
4. Olağandışı davranış dakikalar içinde fark edilmeli. Bu saldırının büyük kısmı 20 dakikada bitti; günlük rapora bakan bir izleme süreci burada işe yaramaz.
5. Geliştirici ve DevOps ekipleri sosyal mühendislik hedefinde. Kuzey Kore bağlantılı grupların sahte iş teklifleri, sahte kod depoları ve zararlı geliştirici araçlarıyla mühendisleri hedef aldığı biliniyor. Farkındalık eğitimleri bu ekipleri özellikle kapsamalı.

Nokta Guard nasıl yardımcı olur?

Red team operasyonlarında gerçek bir saldırganın izleyeceği yolu taklit ediyor, bir çalışan bilgisayarından kritik sistemlere ne kadar ilerlenebildiğini gösteriyoruz. İç ağ sızma testinde yetki yükseltme ve yanal hareket yollarını, sosyal mühendislik testinde ise ekiplerinizin hedefli saldırılara karşı direncini ölçüyoruz.

İlgili hizmetler: Red Team, İç Ağ ve Active Directory Sızma Testi, Sosyal Mühendislik Testi, Purple Team

İlgili yazı: Kritik bir açık duyurulduğunda ilk 72 saat: Kurumlar için kontrol listesi

Kaynaklar: TRM Labs · CoinDesk · CoinDesk (BTC) · Al Jazeera · CyberInsider · TechCrunch