Binance'in raporu: saldırı sahte bir iş görüşmesiyle başlayıp aylar sürdü

Kripto para borsası Binance, 29 Ekim’de sıcak cüzdanlarından milyarlarca dolarlık varlığın çalındığı saldırıyla ilgili ilk inceleme raporunu 3 Kasım’da yayımladı. Binance’e göre saldırı tek bir ihlal ya da basit bir oltalama olayı değil, sahte iş görüşmeleri, zararlı yazılım indirmeleri, ele geçirilmiş iç yapay zekâ araçları ve gelişmiş bir işlem yetkilendirme yöntemini birleştiren çok aşamalı bir kampanyaydı. Binance, FBI’ın son açıklamasına göre saldırının arkasında Kuzey Kore’nin olduğunu da hatırlattı.

Saldırının hazırlığı

Binance’in raporuna göre olaylar şöyle gelişti:

• Haziran 2026: Cüzdan altyapısından sorumlu Wallet DevOps ekibinden A olarak anılan bir mühendis, popüler bir yapay zekâ kodlama aracını kurmak için arama motorunda bulduğu, değiştirilmiş bir Homebrew kurulumunu indirdi. Binance’in güvenlik ekibi bu anormalliği fark etti, cihazı değiştirdi ve ilgili bütün kimlik bilgilerini yeniledi. Ancak Binance’e göre bu mühendisin görevi ve cüzdan altyapısı ekibindeki çalışma arkadaşları saldırganın gözüne girmiş oldu.
• Eylül 2026: B olarak anılan bir yazılım mühendisiyle, profilinde Binance deneyimi yazan bir iş arama platformu üzerinden, kendini proje direktörü olarak tanıtan biri iletişime geçti. İlk görüşmeyi canlı görüntülü olarak bir insan kaynakları temsilcisi yaptı ve güven kazanmak için mühendisle kişisel fotoğraf ve videoların bulunduğu bir sosyal medya hesabı paylaştı. İkinci görüşme, var olmayan bir şirketin CEO’su olduğunu söyleyen biriyle popüler bir sohbet uygulamasında yapıldı. Görüşmenin sonunda mühendisten iş bilgisayarına bir “ödev” indirmesi istendi. Ödevdeki kod deposunun içindeki zararlı kod kurulum sırasında çalıştı.
• 20 Ekim 2026: Saldırgan, B’nin ele geçirilmiş bilgisayarı ve bir iç yapay zekâ aracı üzerinden A’yı ve C olarak anılan başka bir cüzdan yazılım mühendisini de ele geçirdi. Saldırgan kısa süre sonra A’nın bilgisayarında bir konteyner dağıtım (container deployment) yetki anahtarı olduğunu buldu.
• 29 Ekim 2026: Saldırgan UTC saatiyle 17.15 ile 19.56 arasında C’nin bilgisayarına girdi, A’dan çalınan kimlik bilgileriyle bir konteyner dağıttı ve saldırıyı başlatan zararlı bir betiği çalıştırdı.

Binance’e göre ödevdeki zararlı yazılım, meşru bir geliştirme aracının bir bileşenini zararlı bir sürümüyle değiştirerek komut çalıştırıyor ve saldırganın sunucusuyla iletişim kuruyordu. Rapordaki adımlara göre betik, Homebrew ile kurulmuş pyenv aracının /opt/homebrew/Cellar/pyenv/2.8.0/libexec/ altındaki dosyasını sildi, yerine aynı adla zararlı bir dosya koydu ve /opt/homebrew/bin/pyenv bağlantısını yeniden oluşturdu. Binance’e göre bu sıfırıncı gün zararlısı o sırada uç nokta güvenlik araçları tarafından tespit edilmedi ve saldırgan izlerini silmek için de adımlar attı.

Binance, 2026 boyunca Kuzey Kore bağlantılı olduğundan şüphelendiği 57 saldırı girişimini tespit edip engellediğini belirtiyor. Şirkete göre bu girişimlerde sahte iş görüşmeleri, popüler geliştirici araçları gibi görünen zararlılar, ele geçirilmiş yazılım paketleri ve tarayıcı eklentileri, sahte görüntülü görüşme uygulamaları ve sosyal mühendislik kullanıldı.

29 Ekim gecesi

Binance’e göre saldırgan, iç cüzdan imzalama servisine yetkisiz erişimi kullanarak olağan çekim sürecinin dışında işlemler başlattı:

• UTC saatiyle 20.05 ile 20.09 arasında beş sıcak cüzdan, saldırganın denetimindeki bir adrese 233,46 milyon XRP gönderdi.
• Solana ve Optimism ağlarındaki sıcak cüzdanlardan yaklaşık 970.500 SOL ve 44,2 milyon OP çıktı.
• Binance bu sırada büyük hacimli transferlerle ilgili bir iç uyarı aldı ve incelemeye başladı.
• Bir sıcak cüzdandan 18.270 BTC saldırganın adresine gönderildi.

Saldırgan ardından imzalama servisi üzerinden Ethereum’un EIP-7702 yetkilendirme mekanizmasını kullandı. Binance’e göre EIP-7702, bir hesabın özel anahtarı açığa çıkarmadan bazı işlem yetkilerini bir akıllı sözleşmeye devretmesine izin veriyor. Saldırgan bu yolla kendi denetimindeki bir sözleşmeye bir Binance sıcak cüzdanı üzerinde kısmi yetki verdi. Bunun için hesabın işlem sıra numarasını (nonce) yönlendiren 50 imzalı işlem gönderdi.

Binance çekimleri durdurdu, ortaklarıyla birlikte tokenleri dondurdu ve yetkileri geri almaya çalıştı. Ancak şirkete göre zararlı EIP-7702 yetkileri zincir üzerinde durduğu ve Binance’in çekim altyapısından bağımsız çalıştığı için çekimleri durdurmak bütün varlık hareketlerini kesmedi. Sıcak cüzdan çok taraflı hesaplama (Multi-Party Computation, MPC) kullandığından, yetkileri hemen geri almaya yarayacak tek bir özel anahtar da yoktu. Ekip yetkileri geri almak için özel bir yöntem geliştirdi ve bu ek zaman aldı. Son yetkisiz transfer olan 2.961,9 ETH, UTC saatiyle 23.56’da zincir üzerinde kesinleşti. Binance 30 Ekim 00.10’da Binance14 sıcak cüzdanından sıfır adresine yeni bir yetkilendirme göndererek EIP-7702 yetkisini temizledi.

Kayıp ve alınan önlemler

Binance’e göre olaydan yaklaşık 6,34 milyar dolarlık dijital varlık etkilendi, bunun yaklaşık 2,85 milyar doları donduruldu ya da yolda durduruldu. Binance kaybı kullanıcılara yansıtmayacağını, gereken tutarın yüzde 100’ünden fazlasını ayırdığını ve 31 Ekim itibarıyla etkilenen token varlıklarının yüzde 98’ini yerine koyduğunu açıkladı. Şirket likiditesi düşük olan kalan varlıkları satın alma sürecinde olduğunu belirtiyor.

Binance’e göre 3 Kasım itibarıyla etkilenen cüzdan sistemi yeni bir ortamda yeniden kuruldu, iç yapay zekâ aracı ve erişim denetimleri yeniden oluşturuldu, etkilenen cihazlar değiştirildi, ilgili mühendislere ait kimlik bilgileri ve anahtarlar iptal edildi ve bütün çalışan cihazlarında güvenlik taraması yapıldı. Şirket ayrıca cihaz denetimlerini sıkılaştırdığını, cüzdan servisindeki risk denetimlerini güçlendirdiğini ve yapay zekâ tabanlı davranış anormalliği tespitini genişlettiğini açıkladı.

Binance raporun bir ilk rapor olduğunu, incelemenin sürdüğünü ve bulguların bağımsız güvenlik şirketlerinin incelemesinden geçeceğini belirtiyor. Şirket, bazı teknik ayrıntıların saldırganların işine yaramaması için gizli kalacağını da söylüyor.