Binance’de Güvenlik Açığı: 6,3 Milyar Dolar Değerinde Varlık Etkilendi, Neredeyse 3 Milyar Dolar Donduruldu.

Siber Saldırı / Kripto Para

Görsel Kaynağı: The Hacker News

Kripto para devi Binance, Perşebe günü platformunda yaşanan “güvenlik olayı”nın yaklaşık 6,3 milyar dolar değerinde varlığı etkilediğini açıkladı.

Dünyanın en büyük kripto para borsası, söz konusu varlıkların neredeyse 3 milyar dolarının şu ana kadar zincir üzerinde dondurulduğunu belirtti.

Tether ve Circle, olayla ilgili olarak sırasıyla 1,567 milyarın üzerinde USDT ve 800 milyon USDC’yi dondurduklarını açıkladı. Arbitrum Güvenlik Konseyi’nin, Binance Exploit’den yaklaşık 30,5 milyon doları dondurmak için bir işlem gerçekleştirdiği belirtildi.

“Yapılan ilk inceleme, güvenlik olayının olası olarak bir DevOps mühendisinin erişimi ele geçirmiş olan bir saldırganı içerebileceğini gösteriyor; bu da saldırgana bir hizmet kapsülüne erişme ve yetkisiz para çekme işlemleri yapma imkanı sağladı,” Binance bir güncellemede belirtti.

Şirket, bir cüzdan özel anahtarının sızdırıldığına dair kanıt olmadığını ekleyerek, tüm kayıpların Kullanıcılar için Güvenli Varlık Fonu (SAFU) fonu ve kendi fonları tarafından karşılanacağını söyledi.

Güvenlik önlemi olarak aşırı dikkatli davranan Binance, aşağıdaki adımları da attı –

• Güvenlik kontrolleri tamamlanana kadar yatırımları ve para çekmeleri geçici olarak askıya aldı
• Etkilenen adres yetkilendirmesini iptal etti;
• Paraları izlemek ve geri almak için kolluk kuvvetleri ve blockchain istihdat ortaklarını görevlendirdi

“Bu suçluların kimliğini teyit etmek ve onları yargı önüne çıkarmak için kolluk kuvvetleri ortaklarımızla yakın işbirliği içinde çalışıyoruz,” Binance belirtti.

Güncellemede Binance, ekibinin “para çekme hizmetinin ve ilgili adreslerinin güvenliğini yeniden düzenlemesinin ardından” 48 saat içinde para çekmelerin yeniden başlayacağını beklediğini söyledi.

Olay, bu gelişmeyle şimdiye kadar kaydedilen en büyük kripto para soygunu haline geldi ve Şubat 2025’te Bybit’ten çalınan yaklaşık 1,5 milyar dolarlık soygunu geride bıraktı. Olay daha sonra Kuzey Kore’ye attribüt edildi.

“Çalınan tutar üzerindeki güncel tahminimiz, soygun anında yaklaşık 5,912 milyar dolar; bir sonraki en büyük kripto soygunundan neredeyse 4 katı,” blockchain istihdat şirketi Chainalysis bir X gönderisinde belirtti.

Atıf: Kuzey Kore’nin TraderTraitor’ı

TRM Labs, Binance’i hedef alan ve rekor kıran siber saldırısını, yüksek güvenle Kuzey Kore’li tehdit aktörlerine isnat ediyor. Blok zincir analiz şirketi, saldırıyı, “güçlü on-chain ve off-chain istihbat kaynaklarına” dayandırarak, 2025 Bybit soygununu da gerçekleştiren TraderTraitor’a bağladı.

“Bu saldırının birkaç özelliği, Bybit siber saldırısı ve Nisan 2026’daki KelpDAO soygunu da dahil olmak üzere Kuzey Kore bağlantılı önceki soygunlarla örtüşüyor: operatör cüzdanını finanse eden küçük Tornado Cash para çekmeleri, soygun başlamadan çok önce başlayan hazırlık ve önceden elde edilip tek seferde uygulanan imzalar,” diye belirtti TRM Labs.

“Şu ana kadar gözlemlenen aklama, pazar yapıcıları ve kredi protokollerini içeren büyük takaslar üzerine kurulu ve Bybit’i izleyen köprü ağırlıklı kalıptan farklıyor.”

TRM Labs, saldırının hazırlığının soygunundan en az 36 saat önce başladığını, saldıranların bir Binance sıcak cüzdanının kontrolünü ele geçirip “bakiyenin tamamını saldıranın kontrolündeki bir adrese” gönderdiğini söyledi –

Saat 20:20 UTC’de operatör, içinde 50 onaylama bulunan tek bir işlem gönderdi. Her biri Binance sıcak cüzdanı tarafından imzalandı ve her biri onları yalnızca operatörden talimat alan bir sweeper sözleşmesine yönlendirdi. Her cüzdan, işlemlerinin sayısını ifade eden ve bir onaylamanın yalnızca cüzdanın işlemi yürüttüğü anda ulaştığı sayıda geçerli olan bir nonce (sıra numarası) tutar. Binance sıcak cüzdanı sürekli bir para çekme akışı işlediği için sayısı sürekli ilerler. Saldıran, 50 ardışık numara için imzaları önceden hazırlayarak, işlemin yürütüldüğü anda bunlardan birinin geçerli olacağını garantiledi. Biri eşleşti, bu da saldıranın ihtiyacı olan şeydi. İzalar toplu biçimde önceden üretildi.

Devredilmeden üç dakika 24 sonra operatör, Binance sıcak cüzdanını bakiyenin tamamını saldıranın kontrolündeki bir adrese göndermesi için yönlendirdi. Bu tek işlem 167.464 ETH ve 1,615 milyar USDT de dahil olmak üzere 63 token taşıdı.

En olası açıklama, saldırganın Binance’in sıcak cüzdan imzalama sistemini zincirler arasında kendi seçtiği işlemleri imzalamaya ikna edebilmiş olmasıdır. 50 adet önceden imzalanmış yetkilendirmeyi içeren grup, erişimin zaman bakımından sınırlı olmuş olabileceğini veya imzaların bir sistem üzerinden istenmesi gerektiğini düşündürmektedir. Binance henüz olayın köken nedenini yaymadı.

Chainalysis, saldırıyı yüksek bir güven derecesiyle Demokratik Halk Cumhuriyeti (DHC) ile ilişkilendirdi ve “DHC’nin geçen ay gerçekleşen Bitget açığından çaldığı fonların Binance’den çaldığı fonlarla karıştığını gözlemledik” dedi.

“Kuzey Kore’nin çalınan fonları hareket ettirmek ve gizlemek için giderek daha karmaşık otomasyon kullanmasıyla, yasa dışı faaliyeti hızlı bir şekilde tespit edip anlamak giderek daha önemli hale geliyor” diyen şirket, bu ayın başlarında şunları ekledi: “Soruşturmacılar, karmaşık zincir içi faaliyetleri yorumlamak için gereken yargı ve uzmanlığı uygulamaya devam ederken, bu taktiklerle ayak uydurmak zorundadır.”

Şimdiye kadar Tether, Circle, Ripple ve World Liberty Financial, yaklaşık 2,67 milyar dolar değerinde stabil coin’leri dondurdu ve Arbitrum’un Güvenlik Konseyi, yaklaşık 30 milyon dolar değerinde ETH ve ARB’yi dondurdu. Sırdırgan, 420.000’den fazla ETH ve 18.270 BTC dahil olmak üzere yaklaşık 2,4 milyar dolar değerinde varlığın kontrolünü elinde tutmaya devam ediyor; ayrıca diğer zincirlerde daha küçük miktarlar bulunuyor.

Elliptic’in baş bilim insanı ve kurucusu Dr. Tom Robinson, The Hacker News’a Binance’den 6,43 milyar dolarlık toplam değere sahip kripto varlıkların çalındığını, Kuzey Kore ile bağlantılı aktörlerin bu hırsızlığı gerçekleştirdiğini benzer hırsızlık teknikleri ve onlara atfedilen başka bir saldırıdan gelen fonların karışması gerekçesiyle değerlendirdi.

Görsel Kaynağı: The Hacker News

“Sırdırgan, Binance’in özel anahtarlarını çalmak yerine, Binance’in kendi sistemlerinin kendi adına işlemleri imzalamasını sağlamış görünüyor” dedi Elliptic.

“Bu, Kuzey Kore’li hackerların cüzdan sağlayıcısı Safe{Wallet} üzerinde bir geliştiricinin makinesine sızıp Bybit’in imzalayıcılarının onayladığı işlemi manipüle ettiği Bybit hırsızlığına yakından benziyor. Her iki durumda da, kriptografinin değil, cüzdanların etrafındaki altyapının ve insanların zayıflatılmasıydı.”

Şirket, aynı zamanda 2,84 milyar dolar tutarında fonun dondurulduğunu, saldırganın ise bir ihrazcının donduramayacağı ve yaklaşık 43 cüzdan adresine dağıtılmış yaklaşık 3,33 milyar dolar tutarında varlığın kontrolünde olduğunu belirtti. Bunlar 511.861 ETH (1,15 milyar), 18.270 BTC (1,43 milyar), 233 milyon XRP ve 670 milyon TRX’i içeriyor.

Kuzey Kore ile bağlantılar aşağıdaki faktörlere dayanıyor –

• Binance’den çalınan fonlar ve Bitget açığı ile ilişkilendirilen fonlar, aynı Ethereum adresi olan 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7’ye gönderildi.
• Saldırganlar, cüzdanlarını üç küçük Tornado Cash para çekme işlemiyle finanse etti, saldırı kodunu önceden test etti ve Bybit ve KelpDAO açıklarında gözlemlendiği gibi tek bir patlamada önceden imzalanmış işlemleri yürüttü.
• Kodlama testi veya sahte bir proje bahanesiyle çalışanların kötü amaçlı yazılım çalıştırılmasını sağlamak için muhtemel sosyal mühendislik kullanımı, DMM Bitcoin ve Bybit saldırılarında uygulanan bir teknik.

Bu ortak yönlere rağmen, Elliptic hız ve yöntem açısından daha önce gözlemlenen aklama kalıplarından sapmalar ve kök nedenin olmaması gerekçesiyle, faaliyeti Kuzey Kore’ye atfetmede dikkatli olunmasını istedi.

Görsel Kaynak: The Hacker News

“DPRK aycıları, genellikle çalınan stabil coin’leri dakikalar içinde yerel varlıklara dönüştürür,” dedi Robinson. “Saldırgan, çalınan USDT’yi Ethereum üzerinde 37 dakika ve Tron üzerinde 46 dakika, çoğunu dönüştürmeden tuttu. Kuzey Kore ile ilişkilendirilen gruplar fonları daha hızlı ve daha verimli hareket ettirir. Piyasa yapıcılarının ve DeFi borçlanma protokollerinin kullanımı, Bybit açğından sonra görülen köprü ağırlıklı aklamadan farklı.”

“İlk araştırmamız, bu güvenlik olayının ihlal edilmiş bir DevOps mühendisinin dizüstü bilgisayarıyla başlamış olabileceğini gösteriyor,” dedi Binance ortak CEO’su Richard Teng. “Bu, bir saldırgana bir hizmet konteynerine erişim sağladı, burada saldırgan yetkisiz para çekme işlemleri gönderdi.”

“Net olmak gerekirse: Saldırgan yalnızca bir mühendisin izinlerini kullanmadı ve bu tek bir ‘tek tıkla’ işlem değildi. Daha karmaşık bir saldırı süreci söz konusuydu. Soruşturmamız sorumluluğu herhangi bir bireye atfedemedi.”

Şirket, sürdürdüğü soruşturmanın, ihlalin yalnızca ele geçirilen dizüstü bilgisayarla sınırlı kalmayıp “ihlale dair ek noktaları” ortaya çıkardığını ve “sorunu çözmek için kolluk kuvvetleriyle koordinasyon içinde elimizden geleni yaptığını” açıkladı.

Uç Nokta Güvenliği