Binance’e yönelik 6,3 milyar dolarlık siber saldırı: Tarihin en büyük kripto soygunu

Binance’e yönelik 6,3 milyar dolarlık siber saldırı: Tarihin en büyük kripto soygunu

29 Ekim 2026 akşamı, dünyanın en büyük kripto para borsası Binance, tarihinin en büyük siber saldırısına uğradı. Saldırganlar, kısa bir süre içinde yaklaşık 6,3-6,4 milyar dolar değerinde kripto varlığı sıcak cüzdanlardan çekti. Bu tutar, önceki rekor olan Şubat 2025’teki Bybit saldırısındaki 1,5 milyar doları dört katına çıkarıyor ve birçok analiste göre sadece kripto değil, genel olarak tarihin en büyük finansal soygunlarından biri kabul ediliyor.

Siber güvenlik ve blokzincir analiz şirketleri (özellikle TRM Labs, Chainalysis ve Elliptic), saldırının arkasında Kuzey Kore’nin seçkin hacker birimi TraderTraitor’ın (Lazarus Group’un bir alt birimi olarak da bilinen) bulunduğunu yüksek güvenle öne sürüyor. Aynı grubun Bybit saldırısını da gerçekleştirdiği FBI tarafından daha önce teyit edilmişti. Yaptırım altındaki Kuzey Kore için bu tür saldırılar önemli bir döviz ve finansman kaynağı oluşturuyor.

Saldırı nasıl gerçekleşti?

Binance’in ilk incelemelerine göre, bir DevOps yazılım mühendisinin dizüstü bilgisayarı ele geçirildi. Saldırganlar bu cihaz üzerinden bir hizmet konteynerine (service container) erişim sağladı ve yetkisiz para çekme işlemleri başlattı.

Hizmet konteyneri, bir yazılımın veya hizmetin çalışması için gereken kodları, kütüphaneleri ve bileşenleri bir arada barındıran, diğer sistemlerden kısmen yalıtılmış bir çalışma ortamıdır. Bu erişim, saldırganların Binance’in para çekme sistemini manipüle etmesine olanak tanıdı.

Önemli bir nokta: Binance, cüzdan özel anahtarlarının çalındığına dair kanıt bulamadığını açıkladı. Yani klasik bir “anahtar hırsızlığı” değil, imzalama altyapısına yetkisiz erişim söz konusuydu. Etkilenen cüzdanlar donduruldu ve şirkete göre tehlikenin devam ettiğine dair bulgu yok.

Bitquery’nin on-chain analizine göre, Binance’in kendi para çekme sistemi dört saatten kısa sürede (yaklaşık 20:04-23:56 UTC) 17 sıcak cüzdandan toplam 6,3 milyar dolarlık transferi imzaladı. TRM Labs’e göre ana dalga yaklaşık 20 dakikada tamamlandı. Türkiye saatiyle Perşembe gecesi 23:04’te başlayan işlemler Cuma sabahı 02:56’ya kadar sürdü.

Sıcak cüzdanlar (hot wallets), internete bağlı tutulan ve hızlı işlem yapılmasına olanak sağlayan kripto cüzdanlarıdır. Sürekli çevrimiçi olmaları nedeniyle soğuk cüzdanlara (cold wallets) kıyasla siber saldırılara karşı daha savunmasızdır. Binance gibi büyük borsalar, müşteri çekimlerini hızlı karşılamak için belirli miktarda varlığı sıcak cüzdanlarda tutar.

Ethereum tarafında saldırganlar, EIP-7702 özelliğini kullanarak bir Binance sıcak cüzdanını kendi kontrol ettikleri bir “sweeper” (süpürücü) sözleşmesine dönüştürdü. 50 önceden imzalanmış yetkilendirme ile cüzdanı ele geçirdiler ve kısa sürede ETH ile onlarca token’ı boşalttılar. Diğer zincirlerde ise sıradan imzalı transferler kullanıldı. Bu, imzalama altyapısının ele geçirildiğine işaret ediyor.

Fonların akışı ve dondurma operasyonu

Çalınan varlıklar 9-11 farklı blokzincir ağına (en çok etkilenenler Ethereum, Bitcoin ve TRON; ayrıca Solana, XRP Ledger, Arbitrum, Avalanche, Polygon, Optimism, Base vb.) yeni adreslere gönderildi.

Binance saldırı fark edilir edilmez Tether, Circle, Arbitrum ve diğer ortaklarla iletişime geçti. Bu sayede yaklaşık 2,7-3 milyar dolarlık varlık (ağırlıklı olarak stablecoin’ler: USDT, USDC vb.) hızla donduruldu.

Saldırganlar dondurma işlemleri başlamadan önce yaklaşık 729 milyon dolarlık (bazı raporlarda 325 milyon USDT gibi kısmi rakamlar da geçiyor) stablecoin’i ETH ve diğer varlıklara dönüştürmeyi başardı. Sonuç olarak saldırganların elinde yaklaşık 3,1-3,2 milyar dolarlık varlık kaldı. Bunların büyük bölümü Ether (420.000+ ETH) ve Bitcoin (yaklaşık 18.270 BTC) oluşturuyor. Bu varlıklar ihraççılar tarafından dondurulamaz nitelikte.

Sorumlu grup ve önceki saldırılarla karşılaştırma

TRM Labs, Chainalysis ve Elliptic gibi firmalar, on-chain (Tornado Cash üzerinden fonlama, prova işlemleri, EIP-7702 kullanımı, fonların önceki Kuzey Kore bağlantılı adreslerle karışması) ve off-chain istihbarata dayanarak saldırıyı TraderTraitor’a atfediyor. Grup, Bybit (1,5 milyar dolar), KelpDAO ve Bitget gibi saldırılarla da ilişkilendirilmişti.

Karşılaştırma için önceki büyük saldırılar:

• Bybit (2025): 1,5 milyar dolar
• Poly Network: ~610 milyon dolar
• Ronin Network: ~540 milyon dolar

3 milyar doların üzerindeki net kayıp bile bu rekorları katbekat aşıyor. Kuzey Kore için kripto soygunları, yaptırımları delmek ve rejim finansmanı sağlamak açısından stratejik önem taşıyor.

Binance’in tepkisi ve durum

Binance, müşteri fonlarının güvende olduğunu, tüm kayıpları şirket fonları ve SAFU (Secure Asset Fund for Users) ile karşılayacağını açıkladı. Para çekme işlemleri geçici olarak durduruldu; şirketin beklentisi 45-48 saat içinde yeniden başlatılması yönündeydi. Depozitolar etkilenmedi.

Şirket, etkilenen cüzdanları dondurduğunu ve mevcut zararı telafi edeceğini vurguladı. Kripto piyasasında haber sonrası kısa süreli fiyat düşüşleri yaşansa da, Binance’in büyüklüğü ve karşılama taahhüdü panik satışlarını sınırladı.

Sonuç ve etkiler

Bu saldırı, kripto endüstrisinin en büyük güvenlik zafiyetlerinden birini gözler önüne serdi: Sıcak cüzdan imzalama altyapısının ve iç erişim kontrollerinin (özellikle çalışan cihazlarının) ne kadar kritik olduğu. EIP-7702 gibi yeni özelliklerin de kötüye kullanılabileceği görüldü.

Blokzincir şeffaflığı sayesinde fonlar izlenebilir durumda ve borsalar, OTC masaları ile market maker’lar saldırgan adreslerini taramaya devam ediyor. Ancak Kuzey Kore bağlantılı grupların geçmiş performansı, kalan milyarlarca doların bir kısmının aklanmaya çalışılacağını gösteriyor.

Olay, kripto borsalarının güvenlik standartlarını yeniden gözden geçirmesine, çok imzalı (multi-sig) sistemlerin ve soğuk depolamanın güçlendirilmesine yol açması bekleniyor. Aynı zamanda devlet destekli siber suçların küresel finans sistemine tehdit boyutunu bir kez daha teyit etti.

Durum hala gelişiyor; yeni on-chain analizler ve resmi açıklamalarla detaylar netleşmeye devam edecek.

https://x.com/caglauren/status/2116164898505822458?a=HZkmDQejonhtfZNzp50&s=19