29 Ekim 2026 Perşembe akşamı, 20:05 UTC’den (Türkiye saatiyle 23:05) itibaren Binance’e ait cüzdanlardan on farklı blokzincirde büyük miktarda varlık çıktı; çıkışların büyük bölümü yaklaşık 20 dakikada gerçekleşti. Blokzincir analiz şirketi TRM Labs toplamı yaklaşık 6,36 milyar dolar olarak hesapladı ve olayı, Şubat 2025’teki Bybit hırsızlığının (yaklaşık 1,5 milyar dolar) dört katı, kayıtlardaki en büyük kripto hırsızlığı olarak niteledi. Binance, 30 Ekim sabaha karşı yaptığı güncellemede ilk incelemenin bir DevOps mühendisinin dizüstü bilgisayarının olaya karışmış olabileceğini düşündürdüğünü, özel anahtar sızıntısına dair kanıt bulmadığını ve tüm kayıpları karşılayacağını açıkladı. Bu yazıda saldırının bilinen yolunu, hangi bilginin kimden geldiğini, nelerin hâlâ bilinmediğini ve kurumların bu olaydan çıkarabileceği dersleri anlatıyoruz. Bilgiler 30 Ekim 2026 sabahı (TSİ) yayımlanmış kaynaklara dayanır; olay sürüyor ve rakamlar değişiyor.
Kısaca
- Ölçek: Kaynağa göre yaklaşık 5,5 ile 6,4 milyar dolar. Varlıklar Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base ve Polygon üzerindeki Binance cüzdanlarından çıktı (TRM).
- Binance’in açıklaması: Ön inceleme, ele geçirilmiş bir DevOps mühendisi dizüstü bilgisayarının saldırganın bir servis konteynerine erişmesine ve yetkisiz çekim işlemleri göndermesine izin vermiş olabileceğini düşündürüyor. Binance, bir cüzdan özel anahtarının sızdığına dair kanıt bulmadığını söylüyor ve ayrıntılı bir teknik inceleme raporu yayımlayacağını belirtiyor; rapor henüz yayımlanmadı.
- İki parçalı saldırı: Ethereum’da saldırgan, önceden hazırlanmış 50 EIP-7702 yetkilendirmesiyle bir Binance sıcak cüzdanını kendi kontrolündeki bir akıllı sözleşmeye bağladı. Diğer dokuz zincirde Binance cüzdanları sıradan imzalı transferlerle fon gönderdi. TRM bunu, Binance’in sıcak cüzdan imzalama altyapısının ele geçirildiğine işaret eden bir bulgu olarak yorumluyor.
- Henüz bir CVE anılmıyor: Taradığımız kaynaklarda bir CVE numarası geçmiyor ve kök neden açıklanmadı. Binance, dizüstü bilgisayardan servis konteynerine giden bir yolun olabileceğini söylüyor; TRM ise imzalama altyapısının ele geçirildiğini düşünüyor. Uç noktanın nasıl ele geçirildiği bilinmiyor.
- Fail: TRM yüksek güvenle Kuzey Kore’nin TraderTraitor birimini, Chainalysis da büyük olasılıkla aynı grubu gösteriyor. Binance bir fail belirtmedi; Fortune “kesin kanıt yok” diyor.
- Dondurma: Tether, Circle, Ripple, World Liberty Financial ve Arbitrum Güvenlik Konseyi, TRM’in sayımına göre toplamda yaklaşık 2,7 milyar dolarlık varlığı dondurdu (Binance “yaklaşık 3 milyar dolar” diyor). Saldırganın elinde ise TRM’e göre hiçbir ihraççının erişemeyeceği yaklaşık 2,4 milyar dolarlık ETH ve BTC var.
- Ders: Ayrıcalıklı uç noktalar, servis hesapları ve imzalama yolları tek bir güven zinciri oluşturuyorsa, tek bir cihazın ele geçirilmesi milyarlarca dolara varabilir.
Ne oldu?
Aşağıdaki saatler UTC’dir; Türkiye saati UTC+3’tür. Kaynak, aksi belirtilmedikçe TRM Labs’in analizidir.
| Zaman (UTC) | Olay |
|---|---|
| 28 Ekim sabahı | Saldırganın operatör cüzdanı, Tornado Cash’ten üç küçük çekimle fonlanmaya başlıyor. |
| 29 Ekim, erken saatler | Saldırı kodunun ilk parçası iki cüzdanda deneniyor. |
| 29 Ekim, gün içinde | Son sürüm üçüncü bir cüzdanda prova ediliyor; provadan dört saat sonra aynı kod bir Binance sıcak cüzdanına kuruluyor (TRM saat vermiyor). |
| 20:05–20:09 | XRP Ledger’daki beş Binance cüzdanı 233,46 milyon XRP’yi tek bir saldırgan adresine gönderiyor. |
| 20:20 | Tek bir işlemde 50 EIP-7702 yetkilendirmesi gönderiliyor. Aynı dakikalarda bir Binance Bitcoin sıcak cüzdanı 18.270 BTC gönderiyor. |
| yaklaşık 20:24 | Ethereum sıcak cüzdanı boşaltılıyor: 167.464 ETH ve 63 token (1,615 milyar USDT dahil). |
| 21:01–21:04 | Tether ve Circle, ana alıcı cüzdandaki varlıkları donduruyor (sırasıyla 971,1 milyon USDT ve 823 milyon USDC). |
| 22:01–22:26 | Ripple ve World Liberty Financial kendi stablecoin’lerini donduruyor. |
| yaklaşık 23:05 | İkinci dalga: Avalanche ve Polygon üzerindeki Binance cüzdanları. |
| 23:35 | Binance, doğrulanmış toplam dondurulan tutarın 2,54 milyar dolara ulaştığını açıklıyor. |
| 30 Ekim 00:08 | Arbitrum Güvenlik Konseyi, saldırganın cüzdanından yaklaşık 30 milyon dolarlık ETH ve ARB’yi erişim dışına taşıyor. |
| 30 Ekim yaklaşık 02:25 | Binance, ön incelemenin bir DevOps dizüstü bilgisayarına işaret edebileceğini X’te açıklıyor (ABD Doğu saatiyle 29 Ekim gecesi). |
| 30 Ekim, sonraki güncelleme | Binance’in kurucu ortağı Yi He: para yatırma etkilenmedi; çekimlerin 48 saat içinde yeniden başlaması bekleniyor. |
Saldırı nasıl ilerledi?
Başlangıç: dizüstü bilgisayardan servis konteynerine
Binance’in 30 Ekim sabaha karşı (yaklaşık 02:25 UTC, 05:25 TSİ) yaptığı güncellemeye göre ön inceleme, ele geçirilmiş bir DevOps mühendisi dizüstü bilgisayarının saldırganın bir servis konteynerine erişmesine ve yetkisiz çekim işlemleri göndermesine izin vermiş olabileceğini düşündürüyor. Şirket, bir cüzdan özel anahtarının sızdığına dair kanıt bulmadığını da ekliyor. Binance etkilenen adres yetkilendirmesini iptal ettiğini, para yatırma ve çekmeyi güvenlik kontrolleri sürerken geçici olarak durdurduğunu ve kolluk kuvvetleri ile blokzincir istihbarat ortaklarını devreye aldığını bildirdi; ayrıntılı bir teknik inceleme raporu ve güncellenmiş bir rezerv kanıtı yayımlayacağını söylüyor. Kurucu ortak Yi He’nin sonraki güncellemesine göre para yatırma etkilenmedi ve çekimlerin 48 saat içinde yeniden başlaması bekleniyor. Bu bir ön değerlendirme: açıklama “olabilir” diyor ve dizüstü bilgisayarın nasıl ele geçirildiğini anlatmıyor.
Ethereum: EIP-7702 ile sıcak cüzdanın ele geçirilmesi
EIP-7702, Ethereum’un Mayıs 2025’teki Pectra güncellemesiyle gelen bir özellik: sıradan bir cüzdan, bir yetkilendirme imzalayarak davranışını bir akıllı sözleşmenin koduna devredebiliyor; devir, cüzdan yeni bir yetkilendirme imzalayana kadar sürüyor. TRM’in ve blokzincir güvenlik şirketi Blockaid’in analizine göre saldırgan bu mekanizmayı şöyle kullandı:
- 20:20 UTC’de tek bir işlemde 50 yetkilendirme gönderdi. Her biri Binance sıcak cüzdanı tarafından imzalanmıştı ve cüzdanı, yalnızca saldırganın komut verebildiği bir “süpürücü” sözleşmeye yönlendiriyordu.
- Bir yetkilendirme yalnızca cüzdanın o anki işlem sayacıyla (nonce) eşleşirse işe yarar. Sıcak cüzdan sürekli çekim işlediği için sayaç sürekli ilerler; saldırgan art arda 50 sayaç değeri için imza hazırlayarak en az birinin geçerli kalmasını sağladı. Biri eşleşti.
- Üç dakika 24 saniye sonra saldırgan cüzdana tüm bakiyesini kendi adresine göndermesini söyledi.
- Devir yürürlükte kaldı; cüzdana sonradan gelen fonlar 20:41’den 23:56’ya kadar altı kez süpürüldü. Binance etkilenen yetkilendirmeyi sonradan iptal etti.
Analizlerde bir yazılım hatasından değil, Binance sıcak cüzdanı adına imzalanmış yetkilendirmelerden söz ediliyor. Asıl soru, saldırganın bu imzaları nasıl elde ettiği. Blockaid kendi paylaşımında “çalıntı bir anahtar” ifadesini kullanıyor; Binance ise anahtar sızıntısına dair kanıt bulmadığını söylüyor. Kaynaklar bu noktada ayrışıyor.
Diğer dokuz zincir: imzalama altyapısı
TRM, aynı pencerede başka zincirlerde de Binance cüzdanlarının saldırgana sıradan imzalı transferlerle fon gönderdiğini bildiriyor: XRP Ledger’daki beş cüzdan, bir Bitcoin sıcak cüzdanı, bir Tron sıcak cüzdanı, Solana, Arbitrum, Avalanche, Optimism ve Base üzerindeki cüzdanlar ve ikinci bir Ethereum sıcak cüzdanı; yaklaşık 23:05 UTC’deki ikinci dalgada ise Avalanche ve Polygon cüzdanları. Bu cüzdanlar farklı zincirlerde, farklı anahtar türleri ve imza şemalarıyla çalışıyor; ilk dalgadakilerin hepsi yaklaşık yarım saat içinde saldırgan için geçerli imza üretti. TRM’in değerlendirmesine göre en olası açıklama, saldırganın Binance’in sıcak cüzdan imzalama sistemine kendi seçtiği işlemleri zincirler arası imzalatabilme yeteneği kazanması. Önceden hazırlanmış 50 imzalık parti ise erişimin zaman sınırlı olabileceğini ya da imzaların bir sistem üzerinden talep edilmesi gerektiğini düşündürüyor.
Bizim yorumumuz (kaynaklarda yok): TRM’in bu çıkarımı, Binance’in “özel anahtar sızıntısı kanıtı yok” ifadesiyle uyumlu olabilir; çünkü anahtarı kullanan sistem ele geçirilirse, anahtarın kendisi çalınmadan da imza attırılabilir. Blockaid ise kendi paylaşımında “çalıntı anahtar” diyor. Binance bir kök neden yayımlamadığı için bunları kesin bilgi olarak değil, farklı kaynakların farklı değerlendirmeleri olarak okuyun.
Hazırlık ve kaçış
TRM’e göre hazırlık en az 36 saat önce başladı: operatör cüzdanı 28 Ekim sabahı Tornado Cash’ten üç küçük çekimle fonlandı, 29 Ekim sabahı saldırı kodunun ilk parçası iki cüzdanda denendi, son sürüm üçüncü bir cüzdanda prova edildi ve provadan dört saat sonra aynı kod bir Binance sıcak cüzdanına kuruldu. Çalmanın ardından saldırgan, dondurulabilir stablecoin’leri ihraççıların erişemeyeceği varlıklara çevirmeye çalıştı: yaklaşık 325 milyon USDT’yi UniswapX gibi yollarla piyasa yapıcılara %10’dan fazla iskontoyla ETH karşılığında sattı, bir Aave piyasasına USDT yatırıp karşılığında ETH borçlandı (Aave etkilenen piyasaları dondurdu) ve Bitcoin’i 1.000 ve 100 BTC’lik yuvarlak parçalara böldü. TRM, sonraki aşamada köprülerin, takas hizmetlerinin ve tezgâh üstü (OTC) aracıların kullanılmasını bekliyor.
Rakamlar neden farklı?
| Kaynak | Tutar | Not |
|---|---|---|
| Binance | Yaklaşık 6,3 milyar dolar etki; yaklaşık 3 milyar dolar dondurulmuş | Şirketin tahmini |
| TRM Labs | Yaklaşık 6,36 milyar dolar (çalındığı andaki fiyatlarla); yaklaşık 6,23 milyar dolar (güncel fiyatlarla) | Zincir üstü izleme; 30 Ekim 00:30 UTC durumu |
| Chainalysis | Yaklaşık 5,9 milyar dolar (çalındığı anda) | The Hacker News’in aktardığı X paylaşımı |
| Blockaid | Yaklaşık 5,5 milyar dolar | Kendi X paylaşımı (30 Ekim); crypto.news aktarıyor |
TRM ve Chainalysis, tutarı “çalındığı andaki” fiyatlarla hesapladıklarını belirtiyor; aradaki farkın nedenini kaynaklar açıklamıyor (hangi adreslerin ve varlıkların sayıldığı farklı olabilir). Olay sürdüğü için rakamların değişmesini bekleyin.
Dondurmalar ve geri alma
Dondurmalar, saldırganın erişebildiği tutarı azalttı: TRM’e göre Tether, ana alıcı cüzdandaki 971,1 milyon USDT’yi ana süpürmeden 37 dakika sonra (21:01 UTC) dondurdu. TRM, 30 Ekim 00:30 UTC itibarıyla toplam dondurulan tutarı yaklaşık 2,7 milyar dolar sayıyor: Tether yaklaşık 1,77 milyar USDT, Circle yaklaşık 825 milyon USDC, Ripple 40,5 milyon RLUSD, World Liberty Financial 27,8 milyon USD1 ve Arbitrum Güvenlik Konseyi yaklaşık 30 milyon dolarlık ETH ve ARB. Binance “yaklaşık 3 milyar dolar” diyor.
Bitcoin ve ether’i ise hiçbir ihraççı dondurabilir değil. TRM’e göre saldırgan, hiçbir ihraççının erişemeyeceği 420.000’den fazla ETH ve 18.270 BTC’yi (toplam yaklaşık 2,4 milyar dolar) elinde tutuyor. CNBC’nin aktardığına göre Chainalysis, bu varlıkların yine de izlenebileceğini ve işbirliği yapan bir borsaya ulaştıklarında müdahale edilebileceğini söylüyor; dondurulan stablecoin’lerin sahiplerine iadesi ise genellikle kolluk, borsalar ve ihraççılar arasında koordinasyon gerektiriyor.
Neler hâlâ bilinmiyor?
- Dizüstü bilgisayarın nasıl ele geçirildiği. Binance’in açıklamasında bu ayrıntı yok.
- Geçerli imzaların nasıl elde edildiği. TRM imzalama altyapısının ele geçirildiğini düşünüyor, Blockaid çalıntı bir anahtardan söz ediyor, Binance ise anahtar sızıntısı kanıtı bulmadığını söylüyor; Binance bir kök neden yayımlamadı.
- Kesin tutar. Kaynaklara göre 5,5 ile 6,4 milyar dolar arasında.
- Fail. TRM ve Chainalysis Kuzey Kore bağlantılı TraderTraitor’ı gösteriyor; Binance bir fail belirtmedi ve Fortune’a göre kesin kanıt yok.
- Fonların akıbeti. Saldırganın elindeki yaklaşık 2,4 milyar dolar ve dondurulanların iadesi.
Bu olaydan kurumlar ne çıkarmalı?
Aşağıdakiler bizim önerilerimizdir. Binance’in ve TRM’in anlattığı saldırı yoluna dayanırlar; ancak başlangıç noktası (dizüstü bilgisayarın nasıl ele geçirildiği) bilinmediği için her kurum bunları kendi riskine göre uyarlamalıdır.
- Ayrıcalıklı uç noktaları en kritik varlıklar arasında sayın. DevOps, SRE ve geliştirici dizüstü bilgisayarları üretim sırlarına ve servis hesaplarına açılan kapılardır. Bu cihazları ayrı bir güvenlik düzeyinde yönetin: uç nokta tespit ve müdahale yazılımı, tam disk şifreleme, yönetici yetkisinin kısıtlanması ve üretim erişimi için ayrı, sertleştirilmiş çalışma istasyonları.
- Servis hesaplarının ve konteynerlerin yetkisini daraltın. Bir servis tek başına yüksek tutarlı bir işlem gönderebiliyorsa, bu yetki tek bir cihazın ele geçirilmesine bağlı olmamalıdır: işlem limitleri, onay politikaları, beyaz listeler ve belirli bir tutarın üzerinde insan onayı (dört göz) ekleyin; gizli bilgileri konteynerlerde kalıcı olarak tutmayın.
- İmzalama altyapısını zincire ve cüzdan katmanına göre ayırın. TRM’in önerisi bu yönde: bu olayda tek bir aktör, on zincirdeki cüzdanlar için birkaç saat içinde (çoğu yaklaşık yarım saatte) geçerli imza elde etti.
- Anormal çıkışı kendiliğinden durduran sınırlar koyun. Kısa sürede birden çok zincirde ve cüzdandan toplu çıkış, tek başına bir alarm olmalı. Sıcak cüzdanlarda tutulan bakiyeyi ve çekim hızını düşük tutun.
- Yetki devrini izleyin. Ethereum uyumlu bir cüzdanda EIP-7702 devri, kodu olmaması gereken bir adreste kod olarak görünür. TRM, hazine cüzdanlarında bunun için anlık uyarı kurulmasını, beklenmeyen EIP-7702 yetkilendirmelerinin imza politikalarında reddedilmesini ve önceden onaylanmış, denenmiş bir iptal yönteminin bulunmasını öneriyor; art arda sayaç değerleri için çok sayıda yetkilendirme isteğini de ele geçirilme göstergesi sayıyor.
- Olay müdahale ortaklıklarını önceden kurun. Bu olayda ilk dondurmalar yaklaşık 40 dakikada, diğerleri saatler içinde geldi. Stablecoin ihraççıları, analiz firmaları ve kolluk ile 7/24 ulaşılabilen kanallar, olay anında aramaya başlayan bir kurum için kurulamaz.
- Ele geçirilmiş uç nokta senaryosunu düzenli sınayın. Aşağıdaki bölüme bakın.
Zafiyet taraması ve sızma testi bu tür bir olayda ne işe yarar?
Önce sınırı koyalım: hiçbir test böyle bir saldırının yaşanmayacağını garanti etmez ve bu olayın başlangıç noktası (dizüstü bilgisayarın nasıl ele geçirildiği) bilinmiyor. Dış yüzeyi çıkaran bir zafiyet taraması da bu olaydaki gibi bir iç yetki zincirini görünür kılmaz. Buna karşın olayın gösterdiği zincir, kurumların kendi ortamlarında sınayabileceği bir zincirdir:
- Ele geçirilmiş bir uç noktadan nereye varılır? İç ağ sızma testi, kurum içindeki bir saldırganın ya da ele geçirilmiş bir cihazın neler yapabileceğini (yetki yükseltme, yatay hareket) sınar. Kırmızı takım testi ise dış yüzeyi, çalışanları ve iç ağı birlikte ele alarak bir saldırganın kurumda ne kadar ilerleyebileceğini ve güvenlik ekibinin bunu fark edip durdurup durduramadığını gösterir. Sorulacak soru şudur: bir mühendisin cihazı ele geçirilirse üretim sırlarına, servis hesaplarına ve para ya da yetki hareketlerine kaç adımda ulaşılır, bunu kim fark eder?
- Servis hesapları ve bulut yetkileri. Bulut yapılandırma değerlendirmesi, AWS, Azure ve Google Cloud hesaplarında kimlik ve erişim yönetimini inceler; bir servisin gereğinden geniş yetkiyle çalışıp çalışmadığı bu incelemede görünür olabilir.
- Çalışan odaklı ilk erişim. Sosyal mühendislik testi, e-posta oltalama ve telefonla bilgi alma senaryolarıyla çalışanların farkındalığını yazılı yetkiniz kapsamında ölçer. Binance dizüstü bilgisayarın nasıl ele geçirildiğini açıklamadı; bu test olayın yöntemini yeniden üretmez, çalışan kaynaklı ilk erişimin ne kadar kolay olduğunu gösterir.
- Yeniden test. Düzeltmeler uygulandıktan sonra yapılan yeniden test, dışarıdan ve test kapsamında görünen durumun düzeldiğini gösterir. İşlem limitleri ve onay politikaları gibi ayarların sistem tarafında ayrıca doğrulanması gerekir.
Binance’te hesabı ya da varlığı olanlar için
- Binance, kullanıcı fonlarının güvende olduğunu ve tüm kayıpları SAFU (kullanıcılar için güvenli varlık fonu) ile şirketin kendi fonlarından karşılayacağını söylüyor. Bu şirketin beyanıdır, bağımsız olarak doğrulanmış değildir. Binance’in kurucu ortağı Yi He’ye göre para yatırma etkilenmedi ve çekimlerin 48 saat içinde yeniden başlaması bekleniyor. Güncel durum için yalnızca Binance’in resmî kanallarını izleyin.
- Bu tür olaylardan sonra sahte “acil çekim” ya da “hesabınızı doğrulayın” mesajları yaygınlaşabilir. Bağlantılara tıklamayın, yalnızca resmî uygulamayı ve adresi kullanın. Bu genel bir öneridir.
- Borsada tutulan varlık karşı taraf riski taşır. Kurumsal hazine politikanızda borsa bakiyesi limitlerini ve saklama yöntemini gözden geçirin. Bu da genel bir öneridir.
Seemarter Security ile
Kurumunuzda ele geçirilmiş bir uç noktadan hangi sistemlere ulaşılabildiğini görmek için iç ağ sızma testi ve kırmızı takım testi hizmetlerimizi inceleyebilir ya da bizimle iletişime geçebilirsiniz. Tüm çalışmalar, sistem sahibinin yazılı yetkisiyle ve önceden belirlenen kapsamda yapılır.
Kaynaklar
- Binance’in güvenlik olayı açıklaması (X, 30 Ekim 2026, yaklaşık 02:25 UTC); metni The Hacker News ve Fortune da aktarıyor
- TRM Labs: North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History (sayfa tarihi 29 Ekim 2026; veriler 30 Ekim 00:30 UTC)
- crypto.news: Binance hack, EIP-7702 saldırısı (Blockaid analizini aktarıyor)
- CNBC: Binance’in 6,3 milyar dolarlık hırsızlığı: bilinenler ve sonrası (30 Ekim) ve Rekor kripto hırsızlığı: Binance’in 6,3 milyar dolarlık etkisi (29 Ekim)
- EIP-7702: Set Code for EOAs
Bu yazı 30 Ekim 2026 sabahı (TSİ) itibarıyla yayımlanmış kaynaklara dayanır; olay sürdüğü için gelişmelere göre güncellenir.