Binance saldırısı nasıl gerçekleşti: Arkasında kim var?

Soruşturmacılar, bilgisayar korsanlarının kripto para borsası Binance’ten 6,3 milyar dolar (5,6 milyar avro) nasıl çaldığını araştırıyor. Olay “tarihteki en büyük hack” olarak tanımlanırken, saldırının arkasında Kuzey Koreli bir hacker grubunun olabileceğine işaret eden bulgular bulunuyor.

Olayda söz konusu tutar, Bybit (1,5 milyar dolar, 1,39 milyar avro), Poly Network (610 milyon dolar, 545 milyon avro) ve Ronin Network (540 milyon dolar, 482 milyon avro) gibi önceki kripto saldırılarında çalınan meblağları geride bırakıyor. Binance olayı, bu Ekim ayında yaşanan bir dizi siber güvenlik vakasının son halkası.

Siber güvenlik uzmanları, açıkları bulmak için yapay zekanın giderek artan kullanımını büyük ölçüde sorumlu tutuyor. Binance, şirket verilerine göre, küresel kripto para piyasasının yaklaşık yüzde 35’ini kontrol eden dünyanın en büyük kripto para borsası.

İnsanların kripto para alıp satmasına imkân tanıyan kripto ekosisteminin temel sütunlarından biri olarak görülüyor. Geleneksel döviz bürolarına benzer şekilde, müşterilerinin coin’lerini kendi kontrol ettiği cüzdanlarda tutuyor ve sürekli çevrim içi kalan birkaç cüzdandan çekim işlemlerini gerçekleştiriyor.

Saldırı dört saatten kısa bir sürede gerçekleşti. Hackerlar, ele geçirilmiş bir dizüstü bilgisayar üzerinden birden fazla cüzdana erişim sağladı ve Binance’in cüzdanlarındaki fonları kendi cüzdanlarına gönderdi. Neyse ki Binance ve ortakları, çalınan fonların 2,7 milyar dolarını (2,4 milyar avro) dondurmayı başardı, ancak kalan tutar saldırganların cüzdanlarında dokunulmadan duruyor.

İşte olayın nasıl gerçekleştiğine dair zaman çizelgesi: Perşembe22:29 CET Binance, olası bir güvenlik sorunu olduğuna dair ihbarları aktif biçimde incelediğini ve müşterilerine fonlarının “tamamen güvende” olduğunu belirterek güvence veriyor, ancak “dolandırıcılıklara” karşı uyarıda bulunuyor.23:15 CET Şirket, güvenlik kontrolleri yürüttüğünü, sorun giderilir giderilmez çekim işlemlerinin yeniden başlayacağını söylüyor. Cuma00:06 CET Şirket, güvenlik sorunu çözülene kadar Binance Alpha işlemlerini askıya alıyor.

Müşterilere, fonlarının güvende olduğu yönünde bir kez daha güvence veriliyor.00:22 CET Binance, ilk kez varlıkların etkilenmeye başladığını duyuruyor. Şirket, dondurulan fonlara ilişkin raporların farkında olduğunu, şu anda 2,54 milyar doların (2,26 milyar avro) dondurulduğunu açıklıyor.

Rakamın, varlıkları izlemek ve dondurmak için kolluk kuvvetleri ve ilgili kurumlarla yakın çalışmaya devam ettikçe yükselebileceğini vurguluyor.01:13 CET Binance, “tüm kayıpları karşılayacağını” belirten bir açıklama yapıyor ve tedbir amaçlı olarak tüm yatırma ve çekme işlemlerinin geçici olarak askıya alındığını duyuruyor.01:52 CET Şirket, dondurulan varlık tutarını güncelliyor. Rakam 3 milyar dolara (2,68 milyar avro) yükseliyor.03:25 CET Binance, toplam etkinin yaklaşık 6,3 milyar dolar (5,6 milyar avro) olduğunu açıklıyor.

Soruşturma, bir DevOps mühendisine ait dizüstü bilgisayarın, bir servis konteynerine erişim sağlayan ve yetkisiz çekim işlemleri gönderilmesine imkan tanıyan saldırının giriş noktası olmuş olabileceğine işaret ediyor. Şirket, herhangi bir cüzdanın özel anahtarının sızdığına dair kanıt bulunmadığını belirtiyor.

Tedbir amacıyla, etkilenen adresin yetkilendirmesi iptal edildiğini ve kolluk kuvvetleri ile blok zinciri ortaklarının, hesapları dondurmanın yanı sıra fonları izlemek ve geri almak için devreye sokulduğunu bildiriyor.05:36 CET Şirket, güncellemesinde olayın yalnızca ele geçirilmiş dizüstü bilgisayardan değil, birden fazla faktörden kaynaklandığını söylüyor.09:47 CET Binance, ele geçirilmiş dizüstü bilgisayarın bir giriş noktası olmuş olabileceği yönündeki önceki açıklamasını teyit ediyor, ancak soruşturmanın “karmaşık bir saldırı” kapsamında başka ihlaller de tespit ettiğini belirtiyor. Şirket, çekim hizmetlerini 45 saat içinde yeniden başlatma yolunda olduğunu açıklıyor.11:55 CET Şirket, kullanıcılar için etkilenen varlıkları geri almaya başladığını ve kayıpları şirket fonlarıyla karşılayacağını, olay için 6,34 milyar doların (5,66 milyar avro) ayrıldığını bildiriyor.

Şirket, sosyal medya platformu X’te “Bu fırtınayı atlatacağız.” diyor. Nasıl yaptılar? Binance, olayın birden fazla faktörden kaynaklanan “karmaşık bir saldırı” olduğunu belirtiyor. İlk soruşturma bulguları, güvenlik olayının bir DevOps mühendisine ait dizüstü bilgisayarın ele geçirilmesini içerebileceğini, bunun saldırgana bir servis konteynerine erişim sağladığını ve yetkisiz çekim işlemleri göndermesine imkân tanıdığını gösteriyor.

Blok zinciri veri altyapı şirketi Bitquery, Binance’in kendi çekim sisteminin, Perşembe gecesi 21:04 ile Cuma sabahı 00:56 CET arasında, dört saatten kısa bir sürede 17 sıcak cüzdanından 6,3 milyar doları (5,6 milyar avro) imzalayıp gönderdiğini bildiriyor. Bitquery’ye göre bu durum, stablecoin ihraççıları Tether, Circle ve Arbitrum’un, dört daha küçük ihraççıyla birlikte 2,7 milyar doları dondurmasına ve fonların çalınmasını önlemeye çalışmasına yol açtı.

Bitcoin ise toplamda 3 milyar doların dondurulduğunu doğruladı. Saldırgan, dondurma işlemleri başlamadan önce 729 milyon dolar tutarında başka stablecoin’leri takas etti. Sonuçta saldırganın, Bitquery’ye göre, çoğu Ether ve Bitcoin olmak üzere yaklaşık 3,1 milyar doları elinde tuttuğu görülüyor.

Bitquery ayrıca, fonların dokuz blok zincirine yayılan yeni adreslere gönderildiğini, en ağır darbeyi Ethereum, Bitcoin ve TRON’un aldığını rapor ediyor. Şirket, fonları izlemek ve geri almak için kolluk kuvvetleri ve blok zinciri istihbarat ortaklarıyla iş birliği içinde olayı araştırmayı sürdürüyor.

Binance, güvenlik kontrolleri tamamlanana kadar para yatırma ve çekme işlemlerini geçici olarak askıya aldı, etkilenen adresin yetkilendirmesini iptal etti ve fonları izleyip geri almak için kolluk kuvvetleri ile blok zinciri istihbarat ortaklarını devreye soktu. Şirket, soruşturma tamamlanıp olgular doğrulandıktan sonra ayrıntılı bir teknik otopsi raporu yayımlayacağını söyledi.

Ayrıca, düzeltme çalışmaları tamamlandıktan sonra güncellenmiş bir Proof of Reserves yayımlamayı planlıyor. Kim yaptı? Blok zinciri istihbaratı ve siber güvenlik şirketi TRM Labs, saldırının arkasında Kuzey Koreli bir hacker grubu olan TraderTraitor’un bulunduğunu iddia ediyor.“Güçlü zincir üstü ve zincir dışı istihbarata dayanarak, bu değerlendirmeyi yüksek bir güven düzeyiyle yapıyoruz.” diye açıklama yaptı.

Ayrıca, FBI’ın Şubat 2025’te yaşanan 1,5 milyar dolarlık (1,34 milyar avro) Bybit saldırısından da aynı grubu sorumlu tuttuğunu hatırlatıyor.