Blokzincir analiz şirketi TRM Labs, Binance’in sıcak cüzdanlarını hedef alan ve milyarlarca dolarlık dijital varlığın çalınmasıyla sonuçlandığı bildirilen saldırıyı, Kuzey Kore bağlantılı olduğu belirtilen TraderTraitor grubuna bağladı. Şirket, değerlendirmesini blokzincir üzerindeki işlemler ile zincir dışı istihbarat verilerine dayandırdığını açıkladı. Saldırının kesin teknik kaynağına ilişkin soruşturma ise sürüyor; Binance, tüm ayrıntıların henüz doğrulanmadığını belirtiyor.
TRM Labs’ın aktardığına göre saldırganlar, operasyonu gerçekleştirmeden en az 36 saat önce hazırlıklara başladı. Saldırı sırasında Ethereum başta olmak üzere birden fazla blokzincirdeki cüzdanlardan varlıklar taşındı. Haberde kayıplar yaklaşık 6,36 milyar dolar olarak aktarılıyor. Bu rakam, olayın ölçeğine ilişkin bildirilen tahmindir; Binance’in incelemesi ve yetkililerin çalışmaları ilerledikçe doğrulanmış miktar konusunda yeni bilgiler paylaşılabilir.
TRM Labs, saldırının bazı yönlerden Şubat 2025’te Bybit’ten yaklaşık 1,5 milyar dolarlık dijital varlığın çalındığı olayla benzerlik taşıdığını söylüyor. Her iki olayda da saldırganların transferlerden önce hazırlık yaptığı, operasyon cüzdanlarını küçük miktarlı işlemlerle finanse ettiği ve önceden oluşturulan imza ya da yetkilendirmeleri kısa zaman aralıklarında kullandığı belirtiliyor. Bu benzerlikler, iki saldırının aynı kişilerce gerçekleştirildiğini tek başına kanıtlamıyor; ancak araştırmacıların yöntemleri karşılaştırmasına yardımcı oluyor.
Saldırıdan önce yapılan hazırlıklar
TRM Labs’ın zaman çizelgesine göre hazırlıklar 28 Ekim sabahı başladı. Saldırganların Tornado Cash adlı kripto para karıştırma hizmetinden küçük transferler aldığı bildirildi. Böyle hizmetler, fonların işlem geçmişini doğrudan takip etmeyi zorlaştırabilir; ancak işlemleri bütünüyle görünmez kılmaz ve kullanılan her transferin saldırganlara ait olduğunu tek başına göstermez. Araştırmacılar bu hareketleri, diğer zincir üstü bulgularla birlikte değerlendirdi.
Saldırganlar, asıl işlemden önce yazılımı farklı cüzdanlarda test etti. TRM Labs’a göre son testten yaklaşık dört saat sonra benzer kod Binance’in Ethereum sıcak cüzdanlarından birinde kullanıldı. Testlerin amacı ve saldırganların sistemlere hangi noktadan eriştiği henüz kesinleşmiş değil. Binance’in ilk değerlendirmesinde bir mühendisin bilgisayarının ele geçirilmiş olabileceği üzerinde durulmuş, sonraki incelemelerde ise ihlalin başka noktaları da araştırılmıştı.
EIP-7702 yetkilendirmesinin kötüye kullanıldığı değerlendirmesi
Analizde Ethereum’un EIP-7702 mekanizması önemli bir unsur olarak öne çıkıyor. Bu mekanizma, standart bir cüzdanın belirli koşullarda akıllı sözleşme kodu çalıştırmasına imkân tanıyabiliyor. Özelliğin kendisi bir güvenlik açığı olarak tanımlanmıyor; risk, cüzdan adına verilen yetkinin nasıl kullanıldığına ve bu yetkinin kimlerin kontrolüne geçtiğine bağlı. TRM Labs, saldırganların bu mekanizmadan yararlanarak internete bağlı bir Binance sıcak cüzdanı üzerinden işlem yaptırmış olabileceğini değerlendiriyor.
Borsalar, kullanıcıların para çekme taleplerini hızlı karşılayabilmek için varlıklarının bir bölümünü çevrim içi sıcak cüzdanlarda tutar. Bu cüzdanlar sürekli erişilebilir oldukları için işlem kolaylığı sağlar; ancak çevrim dışı soğuk cüzdanlara kıyasla siber saldırılara daha fazla maruz kalabilir. Bu nedenle borsalar genellikle erişim kontrolleri, imza kuralları ve izleme sistemleri kullanır. Sıcak cüzdanın kontrolünün ele geçirilmesi, saldırganlara kullanıcıların hesaplarına değil, doğrudan cüzdanda tutulan varlıklara işlem yaptırma imkânı verebilir.
TRM Labs, saldırganların Binance’in Ethereum sıcak cüzdanı adına önceden imzalanmış 50 farklı yetkilendirme hazırladığını bildirdi. Ethereum işlemlerinde kullanılan nonce, bir cüzdanın işlem sırasını takip eden sayaç değeridir. Farklı nonce değerlerine göre birden fazla imza oluşturmak, uygun işlem sırası ortaya çıktığında yetkilendirmelerden en az birinin kabul edilmesi ihtimalini artırabilir. Analize göre bu yöntem, saldırganların tek bir imzanın geçerliliğine bağlı kalmadan işlem yapabilmesini sağladı. Bununla birlikte, imzaların nasıl elde edildiği ve saldırganların cüzdanın onay süreçlerine hangi aşamada eriştiği konusunda kesin açıklama henüz yapılmadı.
Ethereum’daki transferler ve diğer ağlara yayılan hareketler
TRM Labs’a göre yetkilendirmenin devreye girmesinden 3 dakika 24 saniye sonra Binance’in Ethereum sıcak cüzdanından 167 bin 464 ETH saldırganların kontrolündeki adreslere aktarıldı. Aynı olay kapsamında yaklaşık 1,615 milyar USDT dâhil 63 farklı tokenın da taşındığı bildirildi. Bu rakamlar, TRM Labs’ın aktardığı zincir üstü analiz bulgularıdır. Varlıkların sonradan ne kadarının dondurulduğu veya geri kazanıldığına ilişkin kesinleşmiş toplam, soruşturma ve kurtarma çalışmalarının sonucuna bağlıdır.
Analize göre yetkilendirmenin iptal edilmemiş olması, cüzdana daha sonra ulaşan bazı varlıkların da tekrar çekilebilmesine yol açtı. Bu ayrıntı, olaylarda yalnızca ilk büyük transferin değil, erişim yetkisinin ne zaman kaldırıldığının da önemini gösteriyor. Bir saldırgan cüzdan üzerinde geçerli işlem yetkisini koruduğu sürece, cüzdana sonradan gelen fonlar da risk altında kalabilir. Binance’in bu yetkilendirmeyi ne zaman etkisiz hâle getirdiğine ilişkin tüm teknik ayrıntılar kamuoyuna açıklanmış değil.
Saldırının Ethereum’la sınırlı kalmadığı da bildirildi. TRM Labs; Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base ve Polygon ağlarında yetkisiz transferler tespit ettiğini açıkladı. Böylece olay, farklı işlem altyapılarına sahip toplam 10 blokzinciri kapsadı. Araştırmacılara göre milyarlarca dolarlık hareketlerin yaklaşık 20 dakikalık bir zaman diliminde gerçekleşmesi, saldırganların önceden koordine edilmiş bir plana sahip olduğuna işaret ediyor.
Bu ağlardaki cüzdanların anahtarları ve işlem onaylama yöntemleri birbirinden farklı olabilir. Buna rağmen, aynı dönemde birden fazla ağda saldırgan adreslerine geçerli transferler yapılması TRM Labs tarafından dikkat çekici bir bulgu olarak değerlendirildi. Şirket, saldırganların farklı ağlarda işlem onayı üreten altyapıya da erişmiş olabileceğini öne sürüyor. Bu, araştırmacıların değerlendirmesidir; Binance henüz saldırının tüm ağlardaki teknik bağlantısını ve erişim yöntemini doğrulayan kapsamlı bir açıklama yayımlamadı.
Varlıkların taşınması ve kurtarma çalışmaları
TRM Labs, saldırganların dondurulma ihtimali bulunan varlıkları başka dijital varlıklara çevirmeye çalıştığını bildirdi. Örneğin yaklaşık 60 milyon USDT’nin merkeziyetsiz borç verme platformu Aave’ye teminat olarak yatırıldığı ve karşılığında yaklaşık 19 bin 760 ETH borç alındığı belirtildi. Bu tür işlemler, varlıkların biçimini ve izlenen işlem yollarını değiştirerek kurtarma çalışmalarını karmaşıklaştırabilir. Ancak blokzincir kayıtları herkese açık olduğundan, fonların hareketleri analiz edilebilir; işlemlerin izlenebilirliği ile varlıkların geri alınabilmesi aynı şey değildir.
Aave, olayın ardından etkilenen piyasaları dondurduğunu açıkladı. Bir platformun piyasayı veya belirli bir işlemi durdurabilmesi, saldırganların ilgili hizmetleri kullanmasını sınırlayabilir; fakat diğer ağlarda bulunan ya da farklı biçimlere dönüştürülmüş tüm varlıkların otomatik olarak kurtarılacağı anlamına gelmez. Bu nedenle kurtarma süreci, borsaların, blokzincir analiz şirketlerinin, hizmet sağlayıcıların ve kolluk kuvvetlerinin koordinasyonunu gerektiriyor.
Binance, olayın karmaşık olduğunu ve soruşturmanın kolluk kuvvetleriyle koordineli biçimde yürütüldüğünü bildirdi. Şirket, teknik kaynak ve saldırının nasıl gerçekleştirildiği dâhil bazı ayrıntıların hâlâ netleşmediğini, doğrulanan bilgileri paylaşacağını söyledi. Binance ayrıca kullanıcı varlıklarının güvende olduğunu belirtti. Şirketin açıklamasına göre kayıplar SAFU kullanıcı koruma fonu ve Binance’in kendi kaynakları kullanılarak karşılanacak.
Binance, para yatırma işlemlerinin saldırıdan etkilenmediğini ve para çekme işlemlerinin durdurulmasının varlık çıkışlarını sona erdirdiğini aktardı. Şirket, yaklaşık 3 milyar dolarlık varlığın dondurulması için iş ortaklarıyla çalışıldığını da duyurdu. Para çekme hizmetlerinin açıklama anından itibaren 45 saat içinde yeniden başlatılması planlanıyordu. Bu süre, şirketin o sıradaki hedefini ifade ediyor; hizmetlerin fiilen ne zaman ve hangi koşullarla açıldığına ilişkin güncel durum ayrıca doğrulanmalıdır.
Olaydan çıkarılabilecek temel sonuç, sıcak cüzdan güvenliğinin yalnızca özel anahtarı korumaktan ibaret olmadığıdır. İşlem yetkilendirmeleri, imza üreten sistemler, geliştirici cihazları, ağlar arası operasyonlar ve yetkilerin zamanında iptal edilmesi de güvenlik zincirinin parçalarıdır. TRM Labs’ın bulguları, saldırının kapsamı ve yöntemine ilişkin önemli bir çerçeve sunuyor; ancak Kuzey Kore bağlantısı ve saldırının kesin erişim yolu, Binance’in incelemesi ile bağımsız soruşturmalar tamamlandıkça daha net hâle gelebilir.
