Binance ile Kuzey Kore arasındaki bağlantılar gün yüzüne çıktı; zira blokzincir analizi yapan TRM Labs, bu çalıntı olayını TraderTraitor isimli gruba atfetti. Bu grup, Kuzey Kore’nin devlet destekli siber saldırı ekibi olarak tanımlanıyor. Söz konusu saldırıda yaklaşık 6,36 milyar dolarlık dijital varlık çalındığı belirtildi. Ayrıca saldırının hazırlıklarının en az 36 saat önce başladığı ifade ediliyor.
TRM Labs, 29 Ekim 2026 tarihinde gerçekleşen bu siber saldırının failleri arasında TraderTraitor’ı gösterdi. Şirket, Binance ile Kuzey Kore arasındaki bağlantıyı blokzincir işlemleri ve zincir dışı istihbarat verileriyle desteklediğini açıkladı. Diğer taraftan bu durum, Şubat 2025’te Bybit borsasından yaklaşık 1,5 milyar dolarlık varlığın çalındığı olaya benziyor. Zira her iki vakada da saldırganlar öncelikle hazırlık yapmıştı. Küçük transferlerle operasyon cüzdanlarını finansal hale getirdi ve önceden düzenlenmiş imzaları hızlı bir şekilde devreye soktu.
Saldırganlar Binance Cüzdanlarına Nasıl Girdi?
Hazırlık süreci ilk olarak 28 Ekim sabahında başladı. Saldırganlar, Tornado Cash adlı kripto para gizleme hizmetinden küçük tutarlarda transferler gerçekleştirdi. Bu yöntem, varlıkların kaynağını izlemeyi zorlaştırmakta. Ayrıca yazılım farklı cüzdanlarda test edilerek son denemenin ardından yaklaşık dört saat sonra aynı kod Binance’in sıcak cüzdanlarından birine yüklendi.
Analizler sonucunda özellikle Ethereum ağındaki EIP-7702 mekanizması dikkat çekti. Bu teknoloji, standart işlem yapan bir cüzdanın belirli bir yetkilendirme ile akıllı sözleşme kodu çalıştırmasına olanak tanıyor. Saldırganların bunu kötüye kullanarak internete bağlı bir sıcak cüzdanın kontrolünü ele geçirdiği düşünülüyor; çünkü borsalar hızlı para çekimleri için bu cüzdanlarda varlık bulunduruyor.
Saldırganlar, Binance’in Ethereum sıcak cüzdanı adına daha önce imzalanmış 50 farklı yetkilendirme oluşturdu. Her cüzdanın işlemleri sayan nonce adı verilen bir sayaç içerdiği biliniyor. Farklı sayaç değerlerine uygun olarak toplamda 50 imza üretildi ve böylece en az birinin geçerli olacağı hedeflendi. Biri onaylandığında ise cüzdana kendi işlemlerini gerçekleştirebildiler.
Binance Kuzey Kore Saldırısı 10 Blokzincire Yayıldı
Yetkilendirme aktive edildikten yalnızca 3 dakika 24 saniye içinde Binance’in sıcak cüzdanındaki 167 bin 464 ETH saldırganların adreslerine yollandı. Bunun yanı sıra aralarında 1,615 milyar USDT’nin de bulunduğu toplamda 63 farklı token da boşaltıldı. Üstelik yetkilendirmelerin iptal edilmemesi nedeniyle sonradan gelen varlıklar da tekrar tekrar çekilmeye devam etti.
Ama saldırı sadece Ethereum ağıyla sınırlı kalmadı; Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base ve Polygon ağlarında da izinsiz transferler gerçekleştirildi. Saldırganlar yaklaşık 20 dakika içerisinde bu on blokzincirdeki cüzdanlardan milyarlarca doları kendi adreslerine aktardı ve bazı cüzdanlar neredeyse tamamen boşaltıldı.
Söz konusu cüzdanların anahtarları ve imzalama yöntemleri birbirinden farklıydı; yine de aynı zaman diliminde saldırganların adreslerine geçerli işlemler gönderildiği belirlendi. TRM Labs bunu önemli bir bulgu olarak değerlendiriyor; zira bu durumun saldırganların değişik ağlardaki işlem onayı sağlayan altyapıyı ele geçirmiş olabileceğine işaret ettiği düşünülüyor. Ancak Binance henüz kesin kaynakları ve tüm teknik detayları açıklamadı.
Kurtarma Girişimleri ve Binance’in Açıklaması
TRM Labs’ın Binance Kuzey Kore analizine göre saldırganlar dondurulma riski taşıyan varlıkları başka dijital varlıklara dönüştürmeye çalıştı; örneğin yaklaşık 60 milyon USDT merkeziyetsiz borç verme platformu Aave’ye teminat olarak yatırıldı ve karşılığında yaklaşık 19 bin 760 ETH borç alındı. Böylece dondurulması zor olan başka bir varlığa erişim sağlandı fakat Aave etkilenen piyasaları dondurdu.
Başlangıçta Binance olayın mühendisin bilgisayarının ele geçirilmesiyle ilgili olabileceğini düşündü; ancak sonraki araştırmalar başka ihlal noktalarını da ortaya çıkardı. Şirket siber saldırının karmaşık olduğunu ve soruşturmanın kolluk kuvvetleriyle birlikte yürütüldüğünü bildirdi; ayrıca ayrıntılar henüz netleşmediği için doğrulanan bilgilerin paylaşılacağını belirtti.
Bunun yanı sıra şirket kullanıcılarının varlıklarının güvende olduğunu yineleyerek kayıp miktarlarının SAFU adlı kullanıcı koruma fonundan ve şirketin kendi kaynaklarından karşılanacağını duyurdu. Ayrıca para yatırma işlemlerinin saldırıda etkilenmediği ifade edildi; para çekimi durdurulunca varlık çıkışları da sona erdi ve yaklaşık 3 milyar dolarlık varlığın dondurulması için ortaklarla çalışmalara başlandı. Binance para çekme hizmetlerini açıklamanın yapıldığı andan itibaren 45 saat içinde yeniden başlatmayı planlıyor.
