Dünyanın en büyük kripto para borsası Binance‘i hedef alarak yaklaşık 6,36 milyar dolarlık dijital varlığın çalınmasıyla sonuçlanan siber saldırıya dair yeni detaylar gün yüzüne çıktı. Blokzincir analiz firması TRM Labs, bu siber saldırının Kuzey Kore’ye bağlı devlet destekli hacker grubu TraderTraitor‘dan kaynaklandığını bildirdi. Saldırının, Binance’in çeşitli blokzincirlerdeki sıcak cüzdanlarının işlem imzalama altyapısını hedef aldığı düşünülüyor ve en az 36 saatlik bir hazırlıktan sonra gerçekleştirildi.
TRM Labs, saldırıyı gerçekleştiren grubu açıkladı
TRM Labs tarafından yayımlanan raporda, 29 Ekim 2026’da gerçekleşen saldırının Kuzey Kore’nin tanınmış siber saldırı gruplarından biri olan TraderTraitor tarafından yapıldığı vurgulandı. Şirket, bu tespitini blokzincir üzerindeki işlemler ve dış kaynaklardan elde edilen istihbarat bilgilerine dayandırdığını belirtti.
Saldırının, Şubat 2025’te Bybit kripto para borsasından yaklaşık 1,5 milyar dolar değerinde varlık çalınması olayıyla benzerlikler gösterdiği ifade edildi. TRM Labs’a göre, her iki olayda da hırsızlar, soygundan önce hazırlık süreci yürüttü; küçük miktarlarda kripto para transferleriyle operasyon cüzdanlarını finanse etti ve önceden hazırlanmış işlem imzalarını hızla devreye soktu.
TRM Labs’ın analizine göre Binance’a yönelik saldırı için hazırlıkların en az 36 saat öncesinden başladığı tespit edildi. Saldırganlar, 28 Ekim sabahından itibaren Tornado Cash adlı kripto para gizleme hizmetinden küçük miktarlarda transferler gerçekleştirdi. Bu yöntemle kullanılan dijital varlıkların kaynağının ve işlem geçmişinin izlenmesi zorlaşıyor.
Saldırıdan önce kullanılacak yazılımın farklı cüzdanlarda test edildiği ve son denemeden yaklaşık dört saat sonra aynı kodun Binance’in sıcak cüzdanlarından birine yüklendiği belirlendi.
Binance’in sıcak cüzdanları nasıl ele geçirildi?
TRM Labs’ın raporunda dikkat çeken teknik detaylardan biri de EIP-7702 mekanizması. Bu sistem, normalde standart işlemler gerçekleştiren bir kripto cüzdanının belirli bir yetkilendirme ile akıllı sözleşme kodu çalıştırmasına olanak tanıyor.
Saldırganların bu özelliği kötüye kullanarak Binance’in internete bağlı sıcak cüzdanlarından birinin kontrolünü ele geçirdiği düşünülüyor. Kripto para borsaları, kullanıcıların para çekme taleplerini hızlıca karşılayabilmek için sıcak cüzdanlarında belirli miktarda varlık bulunduruyor ve bu cüzdanlar sürekli çevrimiçi oldukları için güvenlik açısından kritik öneme sahip.
TRM Labs’a göre saldırganlar, Binance’in Ethereum sıcak cüzdanı adına önceden imzalanmış 50 farklı yetkilendirme oluşturdu. Bu imzalar, cüzdanın belirli bir akıllı sözleşmenin komutlarını yerine getirmesini sağlamak amacıyla düzenlendi.
Teknik olarak her kripto cüzdanının işlemlerini takip eden ve nonce adı verilen bir işlem sayacı bulunmaktadır. Cüzdanın her gerçekleştirdiği işlemle bu sayaç ilerler. Saldırganlar, farklı işlem sayacı değerlerine karşılık gelecek şekilde 50 imzayı önceden hazırlayarak bunlardan en az birinin geçerli olmasını sağlamaya çalıştı. Hazırlanmış yetkilendirmelerden biri kabul edilince saldırganlar cüzdana kendi belirledikleri işlemleri yaptırabildi.
Söz konusu yetkilendirmenin etkinleşmesinden sadece 3 dakika 24 saniye sonra, Binance’in sıcak cüzdanındaki 167 bin 464 ETH ve içerisinde 1,615 milyar USDT‘nin de bulunduğu toplamda 63 farklı token, saldırganların kontrolündeki adreslere aktarıldı. Ayrıca yetkilendirmenin iptal edilmemesi nedeniyle sonradan gelen varlıklar da farklı zamanlarda tekrar tekrar boşaltıldı.
Saldırı 10 farklı blok zincire yayıldı
TRM Labs, yapılan saldırının sadece Ethereum ağı ile sınırlı kalmadığını ortaya koydu. Binance’e ait cüzdanlardan Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base ve Polygon ağlarında da izinsiz transferlerin gerçekleştirildiği tespit edildi.
Buna göre saldırganlar, yaklaşık 20 dakika içinde 10 farklı blok zincirdeki cüzdanlardan milyarlarca dolarlık varlığı kendi adreslerine yönlendirdi. Bazı transferlerde ise cüzdandaki varlıkların neredeyse tamamı boşaltıldı.
Buna ek olarak TRM Labs’ın tespitlerine göre farklı blok zincirlerde kullanılan cüzdanların değişik anahtar ve imzalama yöntemlerine sahip olmasına rağmen aynı anda saldırganların kontrolündeki adreslere geçerli işlemler göndermesi dikkat çekici bir bulgu olarak değerlendirildi. Şirkete göre bu durum ayrıca saldırganların Binance’indaha fazla ağda bulunan sıcak cüzdanları için işlem onayı üreten altyapısını da ele geçirmiş olabileceğineişaret ediyor.
Lakin Binance henüz saldırının kesin kaynağını veya tüm teknik ayrıntıları açıklamış değil.
Kayıpların geri kazanılmasını engelleyen faktörler nelerdi?
Saldırganlar dondurulma riski taşıyan kripto varlıkları çeşitli yöntemlerle başka dijital varlıklara dönüştürmeye çalıştı. TRM Labs’ın tespitlerine göre yaklaşık 60 milyon USDT merkeziyetsiz borç verme platformu Aave’ye teminat olarak yatırıldı. Bunun karşılığında yaklaşık 19 bin 760 ETH borç alarak daha zor dondurulabilen başka bir dijital varlığa erişim sağladı. Aave ise olay sonrasında etkilenen piyasaları dondurdu.
Binance: Kayıplar telafi edilecek
Saldırının ardından Binance’in yaptığı açıklamalar dikkat çekti. İlk incelemelerde olayın bir
Binance’in son açıklamasında olayın karmaşık bir yapıda olduğu ve soruşturmanın kolluk kuvvetleriyle işbirliği içinde sürdüğü belirtildi. Şirket ayrıca olayla ilgili tüm detayların henüz netleşmediğini ve doğrulanan bilgilerin oldukça kısa süre içinde kamuoyuyla paylaşılacağını duyurdu.
Açıklamada kullanıcı varlıklarının güvende olduğu vurgulanırken aynı zamanda yaşanan kayıpların kullanıcıları korumak amacıyla oluşturulanSAFU fonu ve şirketin kendi kaynaklarıyla telafi edileceği bilgisi verildi.
Binance ayrıca para çekme hizmetlerini açıklamanın yapıldığı andan itibaren 45 saat içinde yeniden başlatmayı planladığını duyurdu; para yatırma işlemlerinin ise saldırıdan etkilenmediğini bildirdi. Şirket ayrıca para çekme işlemlerini durdurmasının ardından saldırganların gerçekleştirdiği varlık çıkışlarının sona erdiğini ve yaklaşık 3 milyar dolarlık varlığın dondurulması için iş ortaklarıyla birlikte çalışmalarını sürdürdüğünü açıkladı.
