Binance'e yönelik siber saldırı: Nasıl gerçekleşti, arkasında kim var

Soruşturmacılar, bilgisayar korsanlarının kripto para borsası Binance'ten 6,3 milyar dolar (5,6 milyar avro) nasıl çaldığını inceliyor. Olay, "tarihteki en büyük hack" olarak tanımlanıyor, ve işaretler saldırının arkasında bir Kuzey Koreli hacker grubunun bulunduğunu gösteriyor.

Söz konusu tutar, Bybit (1,5 milyar dolar, 1,39 milyar avro), Poly Network (610 milyon dolar, 545 milyon avro) ve Ronin Network (540 milyon dolar, 482 milyon avro) gibi önceki kripto saldırılarını gölgede bırakıyor. Binance olayı, ekim ayında yaşanan bir dizi siber güvenlik olayının sonuncusu; güvenlik uzmanları, açıkların bulunmasında yaygınlaşan yapay zeka kullanımını büyük ölçüde sorumlu tutuyor.

Binance, şirkete göre toplam kripto pazar payının yaklaşık yüzde 35'ini kontrol eden, dünyanın en büyük kripto para borsası. İnsanların kripto paraları alıp satmasına olanak tanıyan, kripto ekosisteminin kilit sütunlarından biri olarak işliyor.

Geleneksel döviz büroları gibi, müşterilerinin coinlerini kendi kontrol ettiği cüzdanlarda tutuyor ve her zaman çevrimiçi kalan birkaç cüzdandan çekim işlemlerini gerçekleştiriyor. Saldırı dört saatten kısa sürede gerçekleşti; hackerlar ele geçirilmiş bir dizüstü bilgisayar üzerinden çeşitli cüzdanlara erişim sağladı ve Binance'in cüzdanlarındaki fonları kendi cüzdanlarına gönderdi.

Neyse ki Binance ve ortakları, çalınan fonların 2,7 milyar dolarını (2,4 milyar avro) dondurmayı başardı, ancak kalan tutar saldırganın cüzdanlarında dokunulmadan duruyor. İşte olayın nasıl gerçekleştiğine dair zaman çizelgesi: Perşembe22:29 CET Binance, olası bir güvenlik sorunu olduğuna dair raporları aktif biçimde araştırdığını ve müşterilerine fonlarının "tamamen güvende" olduğu güvencesini verdiğini, ancak "dolandırıcılıklar" konusunda uyardığını söylüyor.23:15 CET Şirket, güvenlik kontrolleri yürüttüğünü, güvenlik sorunu çözüldüğünde çekim işlemlerinin yeniden başlayacağını belirtiyor.

Cuma00:06 CET Şirket, Binance Alpha işlemlerini askıya alıyor ve güvenlik sorunu çözüldüğünde işlemlerin yeniden başlayacağını söylüyor. Müşterilerine fonlarının güvende olduğu konusunda bir kez daha güvence veriyor.00:22 CET Binance, varlıkların etkilendiğine dair ilk duyurusunu yapıyor.

Şirket, dondurulan fonlara ilişkin raporların farkında olduğunu, şu anda 2,54 milyar doların (2,26 milyar avro) dondurulduğunu netleştiriyor. Rakamın, kolluk kuvvetleri ve ilgili kurumlarla yakın çalışarak varlıkları izleme ve dondurma çabaları sürdükçe artabileceğini ekliyor.01:13 CET Binance, "tüm kayıpları karşılayacağını" ve önlem olarak tüm yatırma ve çekme işlemlerinin geçici olarak askıya alındığını belirten bir açıklama yayımlıyor.01:52 CET Şirket, dondurulan varlık tutarını güncelliyor; rakam 3 milyar dolara (2,68 milyar avro) yükselmiş durumda.03:25 CET Binance, toplam etkinin yaklaşık 6,3 milyar dolar (5,6 milyar avro) olduğunu açıklıyor.

Soruşturma, bir DevOps mühendisinin ele geçirilmiş dizüstü bilgisayarının, bir hizmet konteynerine erişim sağlayan ve yetkisiz çekim işlemleri gönderilmesine imkan tanıyan saldırının giriş noktası olabileceğini gösteriyor. Şirket, herhangi bir cüzdanın özel anahtarının sızdığına dair kanıt bulunmadığını ekliyor.

Önlem olarak, etkilenen adres yetkilendirmesini iptal ettiğini ve hesapları dondurmanın yanı sıra fonları izlemek ve kurtarmak için kolluk kuvvetleri ile blokzincir ortaklarını devreye soktuğunu belirtiyor.05:36 CET Şirket, bir güncellemede olayın yalnızca ele geçirilmiş dizüstü bilgisayardan değil, birden fazla etkenden kaynaklandığını söylüyor.09:47 CET Binance, giriş noktası olarak ele geçirilmiş bir dizüstü bilgisayarın rol oynadığına ilişkin önceki açıklamasını teyit ediyor, ancak soruşturmanın, "karmaşık bir saldırı" olan olayda başka ihlaller de tespit ettiğini belirtiyor. Şirket, 45 saat içinde çekim hizmetlerini yeniden başlatma yolunda olduğunu söylüyor.11:55 CET Şirket, kullanıcılar için etkilenen varlıkları geri almaya başladığını ve kayıpları şirket fonlarıyla karşılayacağını, olay için 6,34 milyar dolar (5,66 milyar avro) ayırdığını açıklıyor."Bu fırtınayı atlatacağız," diye yazıyor şirket, sosyal medya platformu X'te.

Nasıl yaptılar? Binance, olayın birden fazla etkenden kaynaklanan "karmaşık bir saldırı" olduğunu söyledi. Şirketin ilk soruşturması, güvenlik olayının, bir DevOps mühendisinin ele geçirilmiş dizüstü bilgisayarını içermiş olabileceğini, bunun da bir saldırgana bir servis konteynerine erişim ve yetkisiz çekim işlemleri gönderme imkanı tanıdığını gösteriyor.

Blokzincir veri altyapı şirketi Bitquery, Binance'in kendi çekim sisteminin, perşembe gecesi 21:04'ten cuma sabahı 00:56 CET'ye kadar dört saate bile varmayan bir sürede, 17 sıcak cüzdandan 6,3 milyar doları (5,6 milyar avro) imzalayıp gönderdiğini bildiriyor. Bitquery, bunun stablecoin ihraççıları Tether, Circle ve Arbitrum'u, dört daha küçük ihraççı ile birlikte, fonların çalınmasını önlemek için 2,7 milyar doları dondurmaya yönelttiğini, Bitcoin'in ise toplamda 3 milyar doların dondurulduğunu doğruladığını söylüyor.

Saldırgan, dondurmalar başlamadan önce 729 milyon dolar tutarında başka stablecoinleri takas etti. Bitquery'ye göre, sonunda saldırganın elinde çoğu Ether ve Bitcoin olmak üzere yaklaşık 3,1 milyar dolar kaldı. Bitquery ayrıca fonların dokuz blokzinciri boyunca yeni adreslere gönderildiğini, en büyük etkinin Ethereum, Bitcoin ve TRON'da görüldüğünü bildiriyor.

Şirket, fonları izlemek ve kurtarmak için kolluk kuvvetleri ve blokzincir istihbarat ortaklarıyla iş birliği içinde sorunu araştırmayı sürdürüyor. Binance, güvenlik kontrolleri tamamlanana kadar yatırma ve çekme işlemlerini geçici olarak askıya aldı, etkilenen adres yetkilendirmesini iptal etti ve fonları izleyip kurtarmak için kolluk kuvvetleri ile blokzincir istihbarat ortaklarını devreye soktu.

Şirket, soruşturma tamamlanıp olgular doğrulandıktan sonra ayrıntılı bir teknik post-mortem yayımlayacağını söyledi. Ayrıca, iyileştirme tamamlandıktan sonra güncellenmiş bir Proof of Reserves raporu yayımlamayı planlıyor.

Bunun arkasında kim vardı? Blokzincir istihbarat ve siber güvenlik şirketi TRM Labs, saldırının arkasında Kuzey Koreli hacker grubu TraderTraitor'un bulunduğunu iddia ediyor. Şirket, "Güçlü zincir üzeri ve zincir dışı istihbarata dayanarak, bu değerlendirmeyi yüksek güvenle yapıyoruz," dedi.

Ayrıca FBI'ın, Şubat 2025'teki 1,5 milyar dolar (1,34 milyar avro) tutarındaki Bybit saldırısından da aynı grubu sorumlu tuttuğuna dikkat çekiyor.