Dünyanın en büyük kripto para borsası Binance’ten yaklaşık 6,3 milyar dolarlık dijital varlığın çalındığı saldırının nasıl gerçekleştiğine ilişkin ilk teknik bulgular ortaya çıktı. Saldırganların bir mühendisin ele geçirilen bilgisayarından şirketin işlem altyapısına sızarak, Binance’in kendi sistemine yetkisiz para çekme işlemlerini onaylatmış olabileceği değerlendiriliyor. Özel cüzdan anahtarlarının çalındığına ilişkin ise henüz bulgu yok.
Kripto para piyasası, Binance'te yaşanan ve yaklaşık 6,3 milyar dolarlık varlığı etkilediği açıklanan siber saldırının ayrıntılarını anlamaya çalışıyor. İlk incelemeler, saldırganların doğrudan kripto para cüzdanlarının özel anahtarlarını ele geçirmek yerine, borsanın para çekme işlemlerini gerçekleştiren altyapısına erişmiş olabileceğine işaret ediyor.
Binance'in açıklamasına göre saldırı, şirketin DevOps (yazılım geliştirme ve operasyon) ekibinde görevli bir mühendisin bilgisayarının ele geçirilmesiyle başlamış olabilir. Saldırganların bu bilgisayar üzerinden şirketin sistemlerinden birindeki hizmet konteynerine eriştiği ve buradan yetkisiz para çekme işlemleri gönderdiği değerlendiriliyor.
Şirket, ilk incelemelerde cüzdanlara ait özel anahtarların sızdırıldığına ilişkin herhangi bir kanıt bulunmadığını bildirdi. Bunun yerine, saldırganların para çekme işlemlerini onaylayan sisteme erişim sağlayarak borsanın kendi işlem mekanizmasını kötüye kullanmış olabileceği üzerinde duruluyor.
Saldırının büyük bölümü 20 dakikada gerçekleşti
Reuters'ın aktardığı blokzincir analizlerine göre saldırının en yoğun bölümü yaklaşık 20 dakika içinde gerçekleşti. Saldırganlar, Binance'in farklı blokzincir ağlarında bulunan sıcak cüzdanlarından kendi kontrol ettikleri adreslere büyük miktarlarda varlık aktardı.
Sıcak cüzdanlar, kripto para borsalarının kullanıcı işlemlerini hızlı biçimde gerçekleştirebilmek için internete bağlı olarak tuttuğu dijital cüzdanlar. Bu cüzdanların işlem yapabilmesi için transferlerin belirli güvenlik ve imza mekanizmalarından geçmesi gerekiyor.
Saldırının kritik noktası da burada ortaya çıkıyor. İlk bulgular, hackerların cüzdanların özel anahtarlarını doğrudan ele geçirmeden, Binance'in işlem onaylama mekanizmasını kendi amaçları doğrultusunda kullanmış olabileceğini gösteriyor. Böylece sistem tarafından geçerli kabul edilen transfer talimatları oluşturularak varlıkların saldırganların adreslerine gönderilmesi sağlandı.
Blokzincir analiz şirketi TRM Labs, saldırının yönteminin 2025 yılında Bybit kripto para borsasına düzenlenen ve Kuzey Kore bağlantılı hackerlara atfedilen saldırıyla benzerlik taşıdığına dikkat çekti. TRM Labs ve Chainalysis, Binance saldırısının da Kuzey Kore'nin siber saldırı birimleriyle bağlantılı olduğuna yüksek güven duyduklarını açıkladı. Ancak Binance, saldırının arkasındaki kişi veya gruplara ilişkin henüz kesin bir tespitte bulunmadı.
Saldırganlar cüzdanların işlem yetkisini kötüye kullanmış olabilir
Bağımsız blokzincir analiz şirketi Bitquery'nin incelemesi, saldırının teknik işleyişine ilişkin daha ayrıntılı bir tablo ortaya koydu. Şirketin verilerine göre saldırganlar, Binance'in 17 sıcak cüzdanından dokuz farklı blokzincir ağı üzerinden yaklaşık 6,3 milyar dolarlık varlığı hareket ettirdi.
Bitquery'nin özellikle Ethereum ağı üzerindeki işlemlere ilişkin analizinde, saldırganların Binance'in sıcak cüzdanına belirli işlemleri gerçekleştirme yetkisi veren bir mekanizmadan yararlandığı değerlendiriliyor. Analizde, Binance'in işlem sistemi tarafından imzalanan 50 yetkilendirme talimatının hazırlandığı, bunlardan birinin geçerli işlem sırasıyla eşleşmesi sonucunda saldırganların cüzdan üzerinde işlem yapabildiği belirtiliyor.
Bu yöntem, saldırganların cüzdanın anahtarını ele geçirmesinden farklı bir güvenlik açığına işaret ediyor. Başka bir ifadeyle, cüzdanın kontrolünü sağlayan anahtarın çalınması yerine, cüzdan adına işlem yapabilen sistemin yetkisinin kötüye kullanılmış olması ihtimali öne çıkıyor.
Bununla birlikte Binance, saldırının tüm teknik aşamalarını henüz doğrulamadı. Şirket, ele geçirilen bilgisayarın saldırının giriş noktası olabileceğini belirtirken, daha sonraki incelemelerde başka ihlal noktalarının da tespit edildiğini duyurdu. Kesin saldırı zincirinin, soruşturma tamamlandıktan sonra yayımlanacak teknik raporla netleşmesi bekleniyor.
3 milyar dolarlık varlık donduruldu, milyarlarca doların akıbeti belirsiz
Saldırının ardından Tether ve Circle başta olmak üzere kripto para şirketleri harekete geçti. Tether yaklaşık 1,57 milyar dolarlık, Circle ise 800 milyon doların üzerinde varlığı dondurdu. Ripple ve diğer bazı kuruluşların müdahaleleriyle birlikte dondurulan varlıkların toplamı yaklaşık 3 milyar dolara yaklaştı.
Ancak bütün dijital varlıkların aynı şekilde dondurulması mümkün değil. Tether ve Circle gibi stablecoin ihraççıları, kendi çıkardıkları dijital paraların belirli adreslerdeki transferlerini engelleyebiliyor. Bitcoin ve Ether gibi varlıklar ise merkezi bir ihraççı tarafından aynı yöntemle bloke edilemiyor.
Binance, kullanıcıların uğradığı kayıpların SAFU adı verilen kullanıcı koruma fonu ve şirketin kendi kaynaklarıyla karşılanacağını açıkladı. Güvenlik incelemeleri kapsamında para yatırma ve çekme işlemleri geçici olarak durdurulurken, şirket kolluk kuvvetleri ve blokzincir analiz kuruluşlarıyla birlikte çalışmaya başladı.
Saldırı, kripto para piyasasında yalnızca cüzdan güvenliğinin değil, borsaların işlem onaylama ve yetkilendirme altyapılarının da ne kadar kritik olduğunu ortaya koydu. Binance olayının tüm teknik ayrıntıları henüz açıklanmamış olsa da ilk bulgular, milyarlarca dolarlık dijital varlığın çalınması için özel anahtarların doğrudan ele geçirilmesinin her zaman gerekli olmadığını gösteriyor.
