Binance, 29 Ekim’de gerçekleşen ve yaklaşık 6,3 milyar dolarlık kripto varlığın çalındığı saldırının, aylar süren sosyal mühendislik faaliyetleriyle hazırlandığını açıkladı. Borsa, saldırganların sahte iş görüşmesiyle bir yazılım mühendisinin bilgisayarına zararlı kod yüklettiğini, ardından şirket içi yapay zekâ aracını kötüye kullanarak dijital cüzdan altyapısına eriştiğini bildirdi.
ABD makamları saldırıyı Kuzey Kore bağlantılı TraderTraitor grubuna bağlarken, Kuzey Kore suçlamayı reddediyor. Kim Jong-un’un kız kardeşi ve üst düzey yetkili Kim Yo-jong, 3 Kasım’daki açıklamasında Federal Soruşturma Bürosunun değerlendirmesini siyasi nitelikli bir provokasyon olarak tanımladı.
Saldırganlar Binance sistemlerine nasıl erişti?
Binance’in incelemesine göre saldırı zinciri haziran ayında cüzdan geliştirme ekibindeki bir çalışanın yapay zekâ destekli bir kodlama aracını yüklemeye çalışırken değiştirilmiş bir yazılım paketi indirmesiyle başladı. Güvenlik ekibi olağan dışı faaliyeti tespit etti, cihazı değiştirdi ve erişim bilgilerini yeniledi. Ancak saldırganlar, çalışanın görevi ve cüzdan ekibindeki diğer kişiler hakkında bilgi edindi.
Eylül ayında saldırganlar, ikinci bir yazılım mühendisini sahte bir şirket adına işe alım görüşmesine davet etti. Kendilerini şirket yöneticileri olarak tanıtan kişiler, mühendisle çevrim içi görüşmeler yaptı ve sözde teknik değerlendirme için zararlı kod içeren bir yazılım deposunu indirmesini sağladı.
Saldırganlar 20 Ekim’de ele geçirilen bilgisayar ile şirket içi yapay zekâ aracını kullanarak iki cüzdan geliştiricisinin sistemine erişti. Dokuz gün sonra çalınan erişim bilgileriyle bir yazılım kapsayıcısı devreye alındı ve cüzdanlardan yetkisiz transferleri başlatan zararlı komut dosyası çalıştırıldı. Binance, saldırıda kullanılan giriş noktalarını kapattığını, etkilenen sistemleri yeniden kurduğunu ve bağımsız siber güvenlik incelemesi başlatacağını açıkladı.
Kim Yo-jong ABD suçlamalarını neden reddetti?
Kim Yo-jong, Washington yönetiminin uluslararası ölçekteki siber suçları Kuzey Kore’ye bağlayarak ülkenin imajını hedef aldığını söyledi. Kuzey Kore yönetimi, geçmişteki büyük ölçekli siber saldırılarla ilgili iddiaları da düzenli olarak reddetmişti.
Kim Yo-jong’un açıklaması, ABD’nin saldırıyı TraderTraitor grubuna atfetmesinden sonra geldi. TraderTraitor, Lazarus Grubu adıyla da anılıyor ve 2025’te Bybit borsasından çalınan 1,5 milyar dolarlık varlıkla ilgili soruşturmalarda da suçlanmıştı.
ABD makamları, kripto para şirketleri ve diğer sektör ortaklarından TraderTraitor ile bağlantılı hesaplara yönelik işlemleri engellemelerini istedi. Soruşturmanın vardığı sonuç, teknik bulguların yanı sıra saldırı sonrası varlık hareketlerinin izlenmesine dayanıyor.
Çalınan kripto varlıklar hangi yöntemlerle taşındı?
Blok zinciri araştırmacıları, saldırganların ilk dört günde yaklaşık 12 bin cüzdan kullandığını ve 11 ayrı blok zincirinde 40 binden fazla işlem gerçekleştirdiğini bildirdi. Yeni bir cüzdanın ortalama 25 saniyede devreye alındığı tespiti, transferlerin yüksek ölçüde otomatik yürütüldüğüne işaret ediyor.
İlk aşamada Tron ağı üzerinde yaklaşık 7 bin 700 adrese dağıtılan varlıkların bir bölümü, blok zincirleri arası köprüler aracılığıyla Ethereum ağına aktarıldı. Analizlere göre Tron üzerinden en az 147 milyon dolarlık varlık başka ağlara taşındı.
Saldırganlar, ihraççıların dondurabileceği sabit değerli kripto paralardan ether gibi varlıklara geçmek için merkeziyetsiz borsalardan da yararlandı. Yaklaşık 786 milyon dolarlık sabit değerli kripto paranın dönüştürüldüğü, kalan varlıkların bir bölümünün ise ihraççılar tarafından dondurulduğu bildirildi.
Varlık hareketleri daha sonra Solana gibi ağlara genişledi. Araştırmacılar, Bitcoin karıştırma işlemlerinin de başladığını; 28 Bitcoin’in 18 ayrı karıştırma işlemiyle aktarıldığını tespit etti. Karıştırma hizmetleri, işlemlerin izini sürmeyi zorlaştırmayı amaçlıyor.
Dondurulan tutar ve Binance’in kullanıcı planı nedir?
Analiz şirketlerinden gelen hesaplamalara göre saldırıda çalınan tutar 6,3 milyar dolar ile 6,43 milyar dolar aralığında veriliyor. Daha ayrıntılı hesaplamada 6,43 milyar dolarlık toplamın yaklaşık 2,85 milyar doları donduruldu veya el konuldu. Yaklaşık 3,24 milyar doların saldırıyla ilişkilendirilen adreslerde kaldığı bildirildi.
Araştırmacılar, varlıkların yalnızca çok küçük bir bölümünün geleneksel para birimlerine çevrildiğini düşünüyor. İşlemlerin çoğu, farklı kripto varlıklar ve ağlar arasında yapılan transferlerden oluşuyor. Kalan miktarın önümüzdeki aylarda kademeli biçimde Bitcoin’e dönüştürülmesi ve tezgâh üstü piyasalarda nakde çevrilmeye çalışılması bekleniyor.
Binance, saldırıdan etkilenen varlıkların yüzde 98’ini rezervleri ve diğer kaynaklarla yenilediğini açıkladı. Borsaya göre geriye kalan yaklaşık yüzde 2’lik bölüm, piyasada bulunması daha zor düşük likiditeli tokenlerden oluşuyor. Platform, söz konusu tokenleri sağlamak için sektör ortaklarıyla çalıştığını bildirdi.
Borsa, para çekme işlemlerini yaklaşık 48 saatlik aranın ardından aşamalı olarak yeniden açtı. Şirket, saldırı sonrasında yapay zekâ destekli anormallik tespitine yatırımını artıracağını, siber güvenlik araştırma fonu kurmayı ve yapay zekâ şirketleriyle hedefli çalışmalar yürütmeyi planladığını duyurdu.
Güney Kore siber güvenlik çağrısını güçlendirdi
Saldırı, Güney Kore’de dijital altyapının korunmasına ilişkin tartışmaları da artırdı. Güney Kore Devlet Başkanı Lee Jae Myung, yapay zekâ ile gelişen saldırı teknikleri karşısında yalnızca olay sonrasındaki inceleme ve müdahale modellerinin yetersiz kaldığını söyledi. Lee, önleyici kapasitesi güçlü, kapsamlı bir siber güvenlik sistemi kurulması çağrısı yaptı.
Birleşmiş Milletler’in 2024 tarihli raporunda, Kuzey Kore bağlantılı siber faaliyetlerden elde edilen gelirlerin ülkenin kitle imha silahları programına kaynak sağlamış olabileceği belirtilmişti. Bağımsız uzmanlar, kripto varlıklara yönelik saldırıların Pyongyang için döviz kaynağı oluşturabileceğini değerlendiriyor.
Soruşturma ve varlık takibi nasıl ilerleyecek?
Soruşturmanın sonraki aşamasında, saldırıyla bağlantılı adreslere yönelik izleme ve dondurma talepleri önem taşıyacak. Blok zinciri üzerindeki transferler görünür olsa da çok sayıda cüzdan, zincirler arası köprü ve karıştırma hizmeti kullanılması, varlıkların nihai varış noktasını saptamayı zorlaştırıyor.
ABD’nin saldırı atfı ile Kuzey Kore’nin kesin reddi arasındaki uyuşmazlık sürüyor. ABD Başkanı Donald Trump da soruşturmacıların saldırının arkasında Kuzey Kore bulunduğu sonucuna henüz kesin biçimde varıp varmadığını bilmediğini söyledi. Teknik incelemeler ve uluslararası iş birliği, suçlamanın dayandığı delillerin kapsamını belirleyecek.
Sıkça Sorulanlar
Binance saldırısı nasıl gerçekleşti?
Binance, saldırganların çalışanları sahte iş görüşmesi ve zararlı yazılımla hedef aldığını açıkladı. Saldırganlar daha sonra ele geçirilen cihazlar ve şirket içi yapay zekâ aracı üzerinden cüzdan imzalama altyapısına erişerek yetkisiz transferler yaptı.
Binance saldırısında ne kadar kripto varlık çalındı?
Binance saldırısındaki tutar yaklaşık 6,3 milyar dolar olarak açıklandı. Blok zinciri analizlerinde toplam tutar 6,43 milyar dolara kadar çıkıyor.
Binance kullanıcı kayıplarını karşıladı mı?
Binance, saldırıdan etkilenen varlıkların yüzde 98'ini rezervleri ve diğer kaynaklarla yenilediğini bildirdi. Kalan bölümün düşük likiditeli tokenlerden oluştuğu açıklandı.
Kuzey Kore Binance saldırısı suçlamasına ne yanıt verdi?
Kuzey Kore, saldırının arkasında olduğu suçlamasını reddetti. Kim Yo-jong, ABD makamlarının değerlendirmesini siyasi nitelikli bir provokasyon olarak tanımladı.
ABD saldırıyı hangi grupla ilişkilendiriyor?
ABD makamları, Binance saldırısını Kuzey Kore bağlantılı TraderTraitor grubuna atfediyor. Grup, Lazarus Grubu adıyla da anılıyor.