Binance'den saldırı raporu

Dünyanın önde gelen kripto para borsalarından Binance, 29 Ekim 2026'da yaşanan güvenlik ihlaline ilişkin ilk kapsamlı raporunu yayımladı. Şirket, saldırının yaklaşık 6.34 milyar dolarlık dijital varlığı etkilediğini, bu tutarın yaklaşık 2.85 milyar dolarlık bölümünün ise dondurulduğunu veya transfer sırasında ele geçirildiğini açıkladı.

Binance, saldırı nedeniyle oluşan finansal kaybın kullanıcılarına yansıtılmayacağını ve zararın şirket tarafından karşılanacağını bildirdi. Şirket, kaybı karşılamak için gereken tutarın yüzde 100'ünden fazlasını şimdiden ayırdığını duyurdu.

Rapora göre, 31 Ekim itibarıyla etkilenen token varlıklarının yüzde 98'i yeniden yerine konuldu. Bu varlıkların Binance'in Rezerv Kanıtı (Proof of Reserves) sayfası üzerinden doğrulanabildiği belirtilirken, kalan ve likiditesi daha düşük varlıkların satın alınması için çalışmaların sürdüğü kaydedildi.

SALDIRIDA 6.34 MİLYAR DOLARLIK VARLIK ETKİLENDİ

Binance'in raporuna göre saldırganlar, şirketin dahili cüzdan imzalama hizmetine yetkisiz erişim sağlayarak normal para çekme prosedürünün dışında işlemler gerçekleştirdi.

29 Ekim'de 20.05-20.09 UTC saatleri arasında Binance'e ait beş sıcak cüzdandan saldırganların kontrolündeki bir adrese 233.46 milyon XRP gönderildi. Solana ve Optimism ağlarındaki Binance sıcak cüzdanlarından da yaklaşık 970 bin 500 SOL ve 44.2 milyon OP transfer edildi.

Şirket, yüksek hacimli transferlere ilişkin dahili uyarı almasının ardından inceleme başlattı. Ancak saldırganlar bu sırada Binance sıcak cüzdanından 18 bin 270 BTC'yi de kendi kontrol ettikleri adrese gönderdi.

Saldırganların daha sonra Ethereum ağındaki EIP-7702 yetkilendirme mekanizmasını kullandığı belirtildi. Bu mekanizma aracılığıyla saldırganların, Binance sıcak cüzdanı üzerinde akıllı sözleşme üzerinden kısmi işlem yetkisi elde ettiği aktarıldı.

PARA ÇEKME İŞLEMLERİNİN DURDURULMASI YETERLİ OLMADI

Binance, saldırıyı kontrol altına almak için para çekme işlemlerini geçici olarak durdurdu, etkilenen tokenlerin dondurulması için iş ortaklarıyla koordinasyon sağladı ve yetkisiz izinleri iptal etmeye yönelik adımlar attı.

Ancak şirket, zincir üzerinde oluşturulan kötü amaçlı yetkilendirmelerin normal para çekme altyapısından bağımsız çalışması nedeniyle yalnızca para çekme işlemlerinin durdurulmasının saldırıyı tamamen engelleyemediğini açıkladı.

Saldırganların 50 imzalama işlemi gerçekleştirerek hesap nonce değerini manipüle ettiği ve kötü amaçlı yetkilendirmeler oluşturduğu belirtildi.

Sıcak cüzdanın Çok Taraflı Hesaplama (MPC) teknolojisini kullanması da müdahaleyi zorlaştırdı. Sistemde işlemleri gerçekleştirmek için kullanılabilecek tek bir özel anahtar bulunmadığından, yetkisiz yetkilendirmelerin iptali için özel bir prosedür geliştirildi.

Rapora göre son yetkisiz transfer, 2 bin 961.9 ETH tutarında gerçekleşti ve 29 Ekim saat 23.56 UTC'de zincir üzerinde kesinleşti. Binance, 30 Ekim saat 00.10 UTC'de Binance14 sıcak cüzdanından sıfır adresine yeni bir yetkilendirme işlemi gerçekleştirerek EIP-7702 yetkilendirme kodunu temizledi.

SALDIRI İÇİN AYLAR ÖNCESİNDEN HAZIRLIK YAPILDI

Binance'in mevcut soruşturmasına göre saldırı, tek aşamalı bir güvenlik ihlalinden ziyade birden fazla yöntemin kullanıldığı kapsamlı bir siber operasyondu.

Raporda, saldırganların sahte iş görüşmeleri, kötü amaçlı yazılım indirmeleri, şirket içindeki yapay zeka araçlarının ele geçirilmesi, çalışan bilgisayarlarına yetkisiz erişim ve gelişmiş işlem yetkilendirme yöntemlerini kullandığı belirtildi.

Saldırının hazırlık sürecinin Haziran 2026'ya kadar uzandığı ifade edildi. Bu dönemde Binance'in cüzdan altyapısında görevli bir mühendisin, yapay zeka destekli bir kodlama aracını yüklemek amacıyla arama motorunda yaptığı arama sonucunda değiştirilmiş bir Homebrew kurulumunu indirdiği aktarıldı.

Şirketin güvenlik ekibinin bu olağan dışı durumu tespit ederek ilgili cihazı değiştirdiği ve bağlantılı kimlik bilgilerini yenilediği belirtildi. Ancak mühendisin görev alanı ve birlikte çalıştığı ekipteki diğer kişilerin bilgilerinin saldırganlar tarafından öğrenildiği kaydedildi.

Eylül ayında ise başka bir yazılım mühendisinin, gerçek bir iş arama platformu üzerinden kendisiyle iletişime geçen ve proje yöneticisi olduğunu söyleyen bir kişi tarafından hedef alındığı bildirildi.

Saldırganların ilk görüşmede sahte bir insan kaynakları temsilcisi aracılığıyla görüntülü mülakat gerçekleştirdiği, güven oluşturmak amacıyla sosyal medya hesaplarını ve kişisel fotoğraflarını paylaştığı belirtildi.

İkinci görüşmede ise mühendisten bir yazılım ödevini indirmesi istendi. Kötü amaçlı kod içeren bu yazılımın çalıştırılmasıyla mühendisin iş bilgisayarında yetkisiz faaliyetlerin başladığı ifade edildi.

ŞİRKET İÇİ YAPAY ZEKA ARACI DA KULLANILDI

Raporda, saldırganların 20 Ekim'de ele geçirilen mühendis bilgisayarını ve şirket içindeki bir yapay zeka aracını kullanarak cüzdan altyapısında görevli başka çalışanların sistemlerine erişim sağladığı belirtildi.

Saldırganların bu süreçte çalışanlardan birinin bilgisayarında bulunan konteyner dağıtım yetkisi tokenını keşfettiği aktarıldı.

29 Ekim'de ise 17.15-19.56 UTC saatleri arasında başka bir mühendisin bilgisayarına erişim sağlandığı, çalınan kimlik bilgileri kullanılarak bir konteyner dağıtıldığı ve saldırıyı başlatan kötü amaçlı komut dosyasının çalıştırıldığı bildirildi.

Binance, 2026 yılı boyunca Kuzey Kore bağlantılı olduğu değerlendirilen 57 siber tehdit girişiminin güvenlik ekiplerince tespit edilerek engellendiğini de açıkladı.

Binance, raporunda ABD Federal Soruşturma Bürosunun (FBI) yayımladığı son bilgilere atıfta bulunarak saldırıdan Kuzey Kore Demokratik Halk Cumhuriyeti'nin sorumlu olduğuna ilişkin bulgulara yer verdi.

Şirket, saldırının ardından etkilenen cüzdan sisteminin yeni bir ortamda yeniden oluşturulduğunu, şirket içi yapay zeka aracının ve erişim kontrollerinin yenilendiğini, etkilenen cihazların değiştirildiğini ve ilgili çalışanların kimlik bilgileri ile erişim tokenlarının devre dışı bırakıldığını bildirdi.

Ayrıca tüm çalışan cihazlarında gelişmiş güvenlik taramalarının tamamlandığı, yapay zeka tabanlı anomali tespit sistemlerinin geliştirildiği ve cüzdan hizmetlerine yönelik risk kontrollerinin güçlendirildiği kaydedildi.

BAĞIMSIZ SİBER GÜVENLİK İNCELEMESİ BAŞLATILACAK

Binance, saldırının tüm yönleriyle incelenmesi için bağımsız üçüncü taraf siber güvenlik şirketleriyle çalışacağını duyurdu.

Şirket ayrıca yapay zeka destekli tehdit tespiti, uç nokta koruması, yazılım geliştirme ortamlarının güvenliği ve davranışsal anomali takibine yönelik yatırımlarını artıracak.

Blockchain ortamlarında yapay zeka güvenliğine odaklanacak bir güvenlik araştırma fonu kurulması için de önde gelen yapay zeka şirketleri, sektör temsilcileri ve güvenlik kuruluşlarıyla çalışmalar yürütüldüğü belirtildi.

Binance, yayımlanan raporun ilk değerlendirme niteliğinde olduğunu, soruşturmanın devam ettiğini ve bulguların bağımsız incelemeye tabi tutulacağını bildirdi.