Kripto varlık tarihinin en büyük siber saldırısında, dünyanın önde gelen borsalarından Binance yalnızca 20 dakika içinde yaklaşık 6,3 milyar dolarlık kayıp yaşadı. Blokzincir ağlarının şifrelerini kırmak yerine iç imza yetkilerini ve akıllı sözleşmelerin yazılımsal açıklarını hedef alan profesyonel korsanlar, merkezi borsaların güvenlik mimarisini derinden sarstı.
Gölgede hazırlık: Test transferleri ve “süpürücü” sözleşme
Siber güvenlik ve blokzincir analiz şirketi Blockaid’in verilerine göre, saldırı rastgele bir açık bulma girişimi değil, aşamalı ve son derece planlı bir operasyon olarak kayıtlara geçti. 28 Ekim 2026 tarihinde saldırganlar, fonların izini kaybettirmek amacıyla gizlilik odaklı mikser servisi Tornado Cash üzerinden dijital cüzdanlarına transfer yaptı.
Ertesi gün 2 ila 6 dolarlık küçük miktarlarla test işlemleri gerçekleştiren korsanlar, geliştirdikleri mekanizmanın sorunsuz çalıştığını doğruladı. Testlerin ardından Ethereum ağı üzerinde “Sweeper” (Süpürücü) adı verilen özel bir akıllı sözleşme devreye sokuldu. Bu program, hedef cüzdana giren tüm varlıkları anında saldırganın belirlediği dış adrese aktarma ve ek sözleşmeleri tetikleme yetkisine sahipti.
EIP-7702 standardı ve 50 yetkilendirme hamlesi
Soygunun teknik omurgasını, Mayıs 2025’te yürürlüğe giren “EIP-7702” protokolünün istismarı oluşturdu. Bu standart, geleneksel şahsi cüzdanların akıllı sözleşmelere bağlanarak otomatik komutlar yürütmesine imkan tanıyor. Ancak verilen yetkinin yeni bir imza ile iptal edilene kadar kalıcı olması, tek bir yetkisiz onayla cüzdanın kontrolünün tamamen ele geçirilmesine zemin hazırladı.
Saldırganlar, borsanın en aktif sıcak cüzdanlarından biri olan “Binance 14″ü hedef aldı. Sürekli işlem yapıldığı için değişen sıra numarasını (nonce) aşmak amacıyla korsanlar art arda 50 yetkilendirme isteği gönderdi. Ağ tarafından kabul edilen tek bir eşleşme, cüzdanın saniyeler içinde saldırganın kontrolündeki akıllı sözleşmeye bağlanması için yeterli oldu.
20 dakikada milyarlarca dolarlık boşaltma
Yetkilendirmenin tamamlanmasından yalnızca üç dakika sonra borsa cüzdanından devasa transferler başladı. Tek bir işlemle 167 binden fazla Ethereum, 1,6 milyar doların üzerinde Tether ve yaklaşık 60 farklı dijital varlık hortumlandı.
Operasyon dakikalar içinde Optimism, Arbitrum ve Avalanche ağlarındaki 10 farklı sıcak cüzdana sıçradı. Korsanlar, USDC ihraççısı Circle bağlantılı akıllı hesaplardan 823 milyon dolar çekerken, ilk saldırının ardından Binance 14 cüzdanına yeni yatırılan 200 milyon dolarlık ek Tether bakiyesini de geride bırakmadı.
Kuzey Kore şüphesi ve fonların aklanma süreci
Olayın ardından güvenlik otoriteleri saldırının arkasındaki aktörlere odaklandı. TRM Labs ve Chainalysis, kullanılan teknik yöntemlerin ve cüzdan hareketlerinin Kuzey Kore bağlantılı siber casusluk birimi “TraderTraitor” (Lazarus Grubu) ile büyük benzerlikler taşıdığını bildirdi. Binance ise resmi soruşturmanın devam ettiğini belirterek kullanıcı zararlarının rezerv fonlarından karşılanacağını duyurdu.
Çalınan fonların izini süren Tether, Circle ve Ripple gibi şirketler yaklaşık 3 milyar dolarlık stabil kripto parayı dondurmayı başardı. Ancak korsanların binlerce sahte cüzdan üzerinden takas ettiği ve merkeziyetsiz borç alma protokollerinde teminat olarak kullandığı 2,4 milyar dolarlık Bitcoin ve Ethereum, geri döndürülemez şekilde kayıplara karıştı. Dijital finans dünyası, şifreleme algoritmalarının değil, otomatik yetkilendirme zincirlerinin zaafiyete açık olduğunu en sert biçimde tecrübe etti.
