Dünyanın en büyük kripto para borsalarından Binance, 29 Ekim’de gerçekleşen ve şirketin açıklamasına göre yaklaşık 6,34 milyar dolar değerindeki kripto varlığın çalınmasıyla sonuçlanan saldırıya ilişkin olay raporunu yayımladı. Raporda saldırının tek bir güvenlik açığından ya da anlık bir hatadan kaynaklanmadığı; çalışanları hedef alan, aylar boyunca ilerleyen çok aşamalı bir kampanya olduğu belirtildi.

Saldırganların önce çalışanlar hakkında bilgi topladığı, ardından sahte bir iş görüşmesi aracılığıyla bir mühendisin bilgisayarına zararlı yazılım bulaştırdığı aktarıldı. Bu erişim, daha sonra şirket içi sistemlere ve cüzdan altyapısında işlem yapma yetkisine ulaşmak için kullanıldı. Binance’in açıklamalarına göre olay, çalışanların dijital güvenliğinin ve yazılım geliştirme araçlarının korunmasının kripto varlık güvenliği kadar önemli olduğunu gösteriyor.

ABD Federal Soruşturma Bürosu (FBI), saldırıyı Kuzey Koreli hackerlarla ilişkilendirdi. Blokzincir analiz şirketleri TRM Labs ve Chainalysis de saldırının Kuzey Kore bağlantılı gruplarla ilişkili olduğu değerlendirmesini paylaştı. Kuzey Kore ise suçlamaları reddederek FBI’ın açıklamasını “siyasi provokasyon” olarak nitelendirdi. Bu atıflar, yetkililerin ve analiz şirketlerinin değerlendirmelerine dayanıyor; Kuzey Kore yönetimi sorumluluğu kabul etmiyor.

Aylar süren erişim girişimleri

Binance’in raporuna göre ilk bilinen girişim Haziran ayında gerçekleşti. Cüzdan altyapısında görev yapan bir mühendis, yapay zekâ destekli bir kodlama aracını kurmaya çalışırken değiştirilmiş bir Homebrew yükleyicisi indirdi. Homebrew, geliştiricilerin yazılım kurup yönetmek için kullandığı bir araçtır. Değiştirilmiş yükleyici, saldırganların hedef bilgisayara erişim sağlamasına yardımcı olabilecek zararlı bileşenler içeriyordu.

Binance’in güvenlik ekibi olağan dışı durumu fark ederek ilgili cihazı değiştirdi. Ancak şirketin değerlendirmesine göre bu müdahale, saldırganların hedef çalışanlar ve şirketin iç işleyişi hakkında daha fazla bilgi edinmesini engelleyemedi. İlk girişimin ardından toplanan bilgiler, sonraki aşamada çalışanları daha ikna edici biçimde hedeflemek için kullanılmış olabilir.

Eylül ayında başka bir mühendis, bir iş bulma platformunda kendisini işe alımcı olarak tanıtan bir kişi tarafından iletişime geçilerek sahte bir iş sürecine yönlendirildi. İki görüşmenin ardından mühendisten bir kodlama ödevini indirip çalıştırması istendi. Ödev gibi sunulan dosyadaki zararlı yazılım, mühendisin iş bilgisayarına bulaştı. Binance, zararlı yazılımın bilgisayardaki güvenlik yazılımını aşmayı başardığını bildirdi.

Bu yöntem, saldırganların teknik açıkların yanı sıra insan güvenini de hedeflediğini gösteriyor. İş görüşmesi ve kodlama ödevi, özellikle yazılım geliştiriciler için olağan süreçler gibi görünebilir. Bu nedenle dosyanın kaynağını doğrulamadan indirmek veya çalıştırmak, saldırganların kurumsal cihazlara ulaşmasına kapı açabilir.

Şirket içi yapay zekâ aracı ve erişim zinciri

Rapora göre saldırganlar 20 Ekim’de ele geçirilen bilgisayarı ve şirket içinde kullanılan bir yapay zekâ aracını kullanarak iki mühendisin daha cihazlarına erişti. Açıklamada, yapay zekâ aracının tek başına saldırının nedeni olduğu söylenmiyor. Bunun yerine, saldırganların daha önce elde ettikleri erişimi ve şirket içi araçları kullanarak ağ içinde ilerlediği aktarılıyor. Bu ayrım önemli: Yapay zekâ araçları meşru amaçlarla kullanılan yazılımlardır; ancak bir saldırgan, erişim sağladığı hesap ve cihazlar üzerinden bu araçları da kötüye kullanabilir.

Saldırganlar, ulaştıkları cihazlardan birinde cüzdan altyapısına yazılım dağıtma yetkisi buldu. Bu tür yetkiler normal koşullarda yazılım güncellemelerini ve altyapı değişikliklerini yönetmek için kullanılır. Yetkinin ele geçirilmesi, saldırganların sıradan bir çalışan hesabının ötesine geçerek hassas sistemlere ulaşmasına imkân verdi.

29 Ekim’de bu erişim zincirinden yararlanılarak cüzdan imzalama işlemlerine yetkisiz biçimde ulaşıldı ve kripto varlık transferleri gerçekleştirildi. Cüzdan imzalama, bir işlemin geçerli olduğunu onaylayarak blokzincire gönderilmesini sağlayan kritik bir süreçtir. Bu nedenle imzalama altyapısına erişim, kripto varlıkları koruyan güvenlik katmanlarının aşılması anlamına gelebilir.

Binance’in açıklamasında çalınan varlıklar arasında 18.270 Bitcoin, yaklaşık 233 milyon XRP ve 970 bin Solana sayıldı. Şirket, olayın maliyetini kendisinin karşılayacağını ve kullanıcıların zararını üstleneceğini belirtti. Açıklanan toplam değer, varlık fiyatlarının zaman içinde değişebilmesi nedeniyle belirli bir tarihteki değerlemeyi yansıtabilir.

Varlıkların takibi ve hizmetlerin yeniden açılması

Binance, çalınan varlıkların yaklaşık 2,85 milyar dolar değerindeki bölümünün dondurulduğunu ya da ele geçirildiğini bildirdi. Şirket ayrıca etkilenen varlıkların yüzde 98’inin yeniden yerine konduğunu açıkladı. Bu rakamlar Binance’in raporunda yer alan şirket beyanlarıdır; dondurulan veya geri alınan varlıkların kapsamı, farklı blokzincirlerde yapılan işlemlere ve üçüncü tarafların müdahale imkânlarına bağlı olabilir.

Saldırı sonrasında güvenlik önlemi olarak durdurulan para çekme işlemlerinin 3 Kasım itibarıyla aşamalı biçimde yeniden açılmaya başladığı belirtildi. Para çekme hizmetlerinin kademeli olarak devreye alınması, şirketin sistemleri kontrol etmesine ve işlemleri izleyerek olağan dışı faaliyetleri tespit etmesine imkân tanıyabilir. Kullanıcıların, hizmetlere ilişkin güncel bilgileri yalnızca Binance’in doğrulanmış iletişim kanallarından takip etmesi önem taşıyor.

Binance eş CEO’su Richard Teng, olayın tek bir hata veya tek bir bilgi sızıntısından ibaret olmadığını, aylar süren bir kampanya niteliği taşıdığını söyledi. Şirket, etkilenen sistemleri yeniden kurduğunu, yapay zekâ destekli güvenlik izlemesini genişlettiğini ve bağımsız bir siber güvenlik incelemesi başlattığını bildirdi. Binance ayrıca 2026’da Kuzey Kore bağlantılı olduğundan şüphelenilen 57 saldırıyı daha tespit edip engellediğini açıkladı. Bu sayı da şirketin kendi raporlamasına dayanan bir bildirim olarak değerlendirilmelidir.

Çalışanlar ve kullanıcılar için çıkarılacak dersler

Olay, sahte işe alım süreçlerinin yalnızca kişisel bilgileri çalmak için değil, kurumsal ağlara ve kritik altyapılara ulaşmak için de kullanılabileceğini ortaya koyuyor. Yazılım geliştiricilerden kodlama ödevi istenmesi tek başına şüpheli sayılmasa da, dosyanın nereden geldiği, hangi izinleri istediği ve hangi ortamda çalıştırılacağı dikkatle kontrol edilmeli. Beklenmedik dosyalar kişisel ya da iş cihazlarında doğrudan açılmamalı; işe alım süreci, ilgili şirketin resmî kanallarından doğrulanmalı.

Şirketler açısından ise çalışan cihazlarının korunması, erişim yetkilerinin ihtiyaçla sınırlı tutulması ve kritik işlemlerin birden fazla güvenlik kontrolüne bağlanması önem taşıyor. Yazılım dağıtım yetkileri ile cüzdan imzalama gibi hassas yetkilerin ayrılması, olağan dışı erişimlerin izlenmesi ve çalışanların kimlik avı yöntemleri konusunda düzenli olarak bilgilendirilmesi, benzer saldırıların etkisini azaltabilir.

Kullanıcılar, Binance’in açıklamasına göre saldırının maliyetinin şirket tarafından karşılanacağını bilse de hesap güvenliği konusunda temel önlemleri sürdürmeli. Benzersiz ve güçlü parolalar kullanmak, çok faktörlü kimlik doğrulamayı etkinleştirmek ve şüpheli bağlantılardan uzak durmak hesapların korunmasına yardımcı olur. Hiçbir kullanıcı, hesabını korumak amacıyla gönderildiği iddia edilen bir mesaj üzerinden parola, doğrulama kodu veya kurtarma bilgisi paylaşmamalıdır.

Binance saldırısı, kurumsal güvenliğin yalnızca güçlü teknik sistemlerden ibaret olmadığını; çalışanların, erişim yetkilerinin ve günlük kullanılan araçların da aynı bütünün parçası olduğunu gösteriyor. Sahte iş tekliflerini doğrulamak ve güvenilmeyen kodları iş cihazlarında çalıştırmamak, çalışanların alabileceği en temel önlemler arasında yer alıyor.