Binance Kuzey Kore Bağlantısı: 6,36 Milyar Dolarlık Hırsızlık

Binance Kuzey Kore bağlantısı ortaya çıktı, çünkü blokzincir analiz şirketi TRM Labs saldırıyı TraderTraitor grubuna bağladı. Grup, Kuzey Kore’nin devlet destekli hacker ekibi olarak tanımlanıyor.

Saldırıda yaklaşık 6,36 milyar dolarlık dijital varlık çalındı. Ayrıca hazırlıkların en az 36 saat önce başladığı belirtiliyor.

TRM Labs, 29 Ekim 2026’da yaşanan saldırının sorumlusu olarak TraderTraitor’ı gösterdi. Şirket ayrıca Binance Kuzey Kore bağlantısını blokzincir işlemlerine ve zincir dışı istihbarata dayandırdığını açıkladı.

Öte yandan olay, Şubat 2025’te Bybit borsasından yaklaşık 1,5 milyar dolarlık varlığın çalındığı saldırıya benziyor. Nitekim saldırganlar her iki olayda da önce hazırlık yaptı.

Küçük transferlerle operasyon cüzdanlarını finanse etti, üstelik önceden hazırlanan imzaları kısa sürede devreye soktu. Hazırlıklar ilk olarak 28 Ekim sabahından itibaren başladı.

Saldırganlar, Tornado Cash adlı kripto para gizleme hizmetinden küçük miktarlarda transfer aldı. Bu yöntem, varlıkların kaynağını izlemeyi zorlaştırıyor.

Ayrıca yazılım önce farklı cüzdanlarda test edildi. Son denemenin ardından yaklaşık dört saat geçince aynı kod, Binance’in sıcak cüzdanlarından birine yüklendi.

Analizde özellikle Ethereum ağındaki EIP-7702 mekanizması öne çıktı. Bu teknoloji, standart işlem yapan bir cüzdanın belirli bir yetkilendirmeyle akıllı sözleşme kodu çalıştırmasına izin veriyor.

Saldırganların bunu kötüye kullanarak internete bağlı bir sıcak cüzdanın kontrolünü aldığı değerlendiriliyor. Çünkü borsalar, hızlı para çekme için bu cüzdanlarda varlık tutuyor.

Gelişmenin Detayları

Saldırganlar, Binance’in Ethereum sıcak cüzdanı adına önceden imzalanmış 50 farklı yetkilendirme hazırladı. Örneğin her cüzdanın, işlemleri sayan nonce adlı bir sayacı var.

Farklı sayaç değerlerine uygun 50 imza üretti ve böylece en az birinin geçerli olmasını amaçladı. Biri kabul edilince cüzdana kendi işlemlerini yaptırabildiler.

Yetkilendirme devreye girdikten yalnızca 3 dakika 24 saniye sonra, Binance’in sıcak cüzdanındaki 167 bin 464 ETH saldırganların adreslerine aktarıldı. Ayrıca aralarında 1,615 milyar USDT’nin bulunduğu 63 farklı token da boşaltıldı.

Üstelik yetkilendirme iptal edilmediği için sonradan gelen varlıklar da tekrar tekrar çekildi. Ancak saldırı yalnızca Ethereum ile sınırlı kalmadı.

Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base ve Polygon ağlarında da yetkisiz transferler yapıldı. Saldırganlar yaklaşık 20 dakika içinde 10 blokzincirdeki cüzdanlardan milyarlarca dolarlık varlığı kendi adreslerine aktardı.

Hatta bazı cüzdanlar neredeyse tamamen boşaldı. Bu cüzdanların anahtar ve imzalama yöntemleri farklı.

Yine de aynı zaman diliminde saldırganların adreslerine geçerli işlemler gönderildi. TRM Labs bunu önemli bir bulgu sayıyor.

Şirkete göre bu durum, saldırganların farklı ağlardaki işlem onayı üreten altyapıyı da ele geçirmiş olabileceğine işaret ediyor. Ancak Binance, kesin kaynağı ve tüm teknik ayrıntıları henüz açıklamadı.

TRM Labs’ın Binance Kuzey Kore analizine göre saldırganlar, dondurulma riski taşıyan varlıkları başka dijital varlıklara çevirmeye çalıştı. Örneğin yaklaşık 60 milyon USDT, merkeziyetsiz borç verme platformu Aave’ye teminat olarak yatırıldı.

Karşılığında yaklaşık 19 bin 760 ETH borç alındı. Böylece dondurulması daha zor bir varlığa erişim sağlandı.

Aave ise etkilenen piyasaları dondurdu. Binance, ilk incelemede olayın bir mühendisin bilgisayarının ele geçirilmesiyle bağlantılı olabileceğini düşünmüştü.

Ancak sonraki araştırmalarda ihlalin başka noktaları da ortaya çıktı. Şirket, saldırının karmaşık olduğunu ve soruşturmanın kolluk kuvvetleriyle koordineli sürdüğünü bildirdi.

Ayrıca ayrıntıların henüz netleşmediğini, doğrulanan bilgileri paylaşacağını söyledi. Şirket, kullanıcı varlıklarının güvende olduğunu yineledi.

Kayıplar, SAFU adlı kullanıcı koruma fonundan ve şirketin kendi kaynaklarından karşılanacak. Üstelik para yatırma işlemleri saldırıdan etkilenmedi.

Para çekmeler durdurulunca varlık çıkışları da sona erdi. Yaklaşık 3 milyar dolarlık varlığın dondurulması için iş ortaklarıyla çalışılıyor.

Binance, para çekme hizmetlerini açıklamanın yapıldığı andan itibaren 45 saat içinde yeniden başlatmayı planlıyor. Yorumunuz gönderildi,onaylandıktan sonra yayımlanacak. Δ document.getElementById( "ak_js_1" ).setAttribute( "value", ( new Date() ).getTime() );