Binance, Saldırıdaki Sahte İş Görüşmelerini ve Yapay Zekâ Aracının Ele Geçirilmesini Ayrıntılarıyla Anlattı

Binance, 3 Kasım 2026’da yayımlanan ilk bulgularında, sahte işe alım görüşmelerinin, kötü amaçlı geliştirici yazılımlarının ve ele geçirilen bir kurum içi yapay zekâ aracının, 29 Ekim 2026’da yaklaşık 6,34 milyar dolarlık dijital varlığın çalınmasından önce gerçekleştiğini söyledi.

Borsa, mali kaybı kullanıcılara yansıtmak yerine kendisi karşılayacak. Binance, kaybı karşılamak için gereken tutarın %100’ünden fazlasını ayırdığını, etkilenen token varlıklarının %98’ini 31 Ekim 2026 itibarıyla yerine koyduğunu ve mutabakat ile piyasa fiyatlarındaki oynaklığa bağlı olarak yaklaşık 2,85 milyar doları dondurduğunu veya ele geçirdiğini bildirdi. Likiditesi daha düşük olan ve henüz yerine konmamış varlıkları satın alıyor.

Varlıkların yerine konduğuna ilişkin kaynak olarak gösterilen Rezerv Kanıtı sayfasında, saklama hizmeti kapsamındaki kullanıcı varlıklarının 1:1 oranında karşılandığı belirtiliyor. Sayfada Merkle ağacı kayıtları ve zk-SNARK kanıtları kullanılarak kullanıcıların bakiyelerinin yükümlülük raporunda yer aldığını doğrulaması sağlanıyor.

Bulgular henüz ilk aşamada. Soruşturma sürüyor, bağımsız inceleme henüz tamamlanmadı ve Binance, kötü niyetli kişilerin saldırı planlamasına yardımcı olmamak için bazı teknik ayrıntıları paylaşmıyor.

Cüzdan Saldırısından Önce Aylar Süren Erişim

Haziran 2026’da bir cüzdan DevOps mühendisi, bir arama motorunda bulduğu popüler bir yapay zekâ kodlama aracını kurmaya çalışırken kurcalanmış bir Homebrew yükleyicisini indirdi. Binance anormalliği tespit edip cihazı değiştirdi ve ilgili kimlik bilgilerini yeniledi; ancak mühendisin rolü ve cüzdan altyapısı ekibindeki çalışma arkadaşları saldırganın hedefi hâline gelmişti.

Eylül 2026’da başka bir yazılım mühendisine, meşru bir iş arama platformu üzerinden proje direktörü gibi davranan biri ulaştı. İnsan kaynakları temsilcisi olduğu öne sürülen biriyle yapılan canlı görüntülü görüşmenin ardından, popüler bir sosyal sohbet uygulamasında kendisini hayalî bir şirketin CEO’su olarak tanıtan biriyle ikinci bir görüşme yapıldı. Görüşmenin sonlarına doğru mühendise, kötü amaçlı bir kod deposu içeren iş ödevini iş bilgisayarına indirmesi talimatı verildi. Kod, kurulum sırasında çalıştırıldı.

Kötü amaçlı yazılım, meşru bir pyenv bileşenini kötü amaçlı bir sürümle değiştirdi ve saldırganın kontrolündeki bir sunucuyla iletişim kurdu. Binance, uç nokta korumasının o sırada sıfır gün kötü amaçlı yazılımı tespit edemediğini, saldırganın ise faaliyeti gizlemek ve ihlalin izlerini silmek için adımlar attığını söyledi.

20 Ekim 2026’da saldırgan, ikinci mühendisin ele geçirilmiş bilgisayarını ve kurum içi bir yapay zekâ aracını kullanarak ilk DevOps mühendisi ile başka bir cüzdan yazılımı mühendisinin sistemlerine erişimini genişletti. Ardından DevOps mühendisinin bilgisayarında konteyner dağıtımına yetki veren bir belirteç bulundu. Saldırgan, 29 Ekim’de 17.15 ile 19.56 UTC arasında üçüncü mühendisin bilgisayarına giriş yaptı, DevOps mühendisinden çaldığı kimlik bilgilerini kullandı, bir konteyner dağıttı ve cüzdan saldırısını başlatan kötü amaçlı komut dosyasını çalıştırdı.

Zincir Üstü Yetkilendirmeler Müdahaleyi Zorlaştırdı

Saldırgan, Binance’in olağan para çekme sürecinin dışında işlemler başlatmak için kurum içi bir cüzdan imzalama hizmetine yetkisiz erişim sağladı. 20.05 ile 20.09 UTC arasında Binance’e ait beş sıcak cüzdan, saldırganın kontrolündeki bir adrese 233,46 milyon XRP gönderdi. Sonraki çıkışlar Solana ve Optimism sıcak cüzdanlarından gerçekleşti; ayrıca Binance’e ait bir sıcak cüzdan, saldırganın kontrolündeki bir adrese 18.270 Bitcoin gönderdi.

Saldırgan, Ethereum’un EIP-7702 yetkilendirme mekanizmasından da yararlandı. Bu mekanizma, bir hesabın özel anahtarını açığa çıkarmadan belirli yürütme haklarını bir akıllı sözleşmeye devretmesine olanak tanıyor. Elli imzalama işlemi, hesap nonce değerini değiştirip kötü amaçlı yetki devri izinleri oluşturdu ve saldırganın kontrolündeki bir sözleşmeye Binance’e ait bir sıcak cüzdan üzerinde kısmi yürütme hakları verdi. Bu izinler, varlıkların borsanın para çekme altyapısından bağımsız olarak hareket etmeye devam etmesini sağladı.

Bu nedenle para çekme işlemlerinin askıya alınması ve sıcak cüzdan hizmetlerinin kapatılması, zincir üzerinde zaten verilmiş izinleri geçersiz kılmadı. Cüzdanda çok taraflı hesaplama kullanıldığından, izinleri hemen iptal etmeye yarayacak tek bir özel anahtar yoktu; bu yüzden ek zaman alan özel bir prosedür gerekti. Yetkisiz son transfer olan 2.961,9 Ether, daha önce beklemede kaldıktan sonra 23.56 UTC’de zincir üzerinde kesinleşti; ardından başka yetkisiz transfer gözlemlenmedi. 30 Ekim 2026’da 00.10 UTC’de Binance, Binance14 sıcak cüzdanından sıfır adrese yeni bir yetkilendirme işlemi gerçekleştirdi ve böylece kötü amaçlı yetki devri kodunu temizledi.

Sistemler Yeniden Kuruldu, FBI Ayrı Bir Atıfta Bulundu

3 Kasım itibarıyla Binance, etkilenen cüzdan sistemini yeni bir ortamda yeniden kurmuş; etkilenen kurum içi yapay zekâ aracını ve erişim denetimlerini de yeniden oluşturmuştu. Ayrıca etkilenen cihazları değiştirdi, ilgili kimlik bilgilerini ve belirteçleri kullanımdan kaldırdı, çalışanların cihazlarında gelişmiş taramaları tamamladı, yapay zekâ tabanlı davranışsal anomali tespitini genişletti ve cüzdan hizmetlerine yönelik risk denetimlerini güçlendirdi.

Bulguları doğrulamak ve ek önlemler önermek üzere bağımsız üçüncü taraf siber güvenlik uzmanlarından destek alınıyor. Binance, yapay zekâ destekli tespit, uç nokta koruması, geliştirici ortamlarının güvenliği ve davranışsal izleme alanlarındaki yatırımlarını artırıyor. Ayrıca, blok zinciri ortamlarında yapay zekâ güvenliğine odaklanan yapay zekâ şirketleri, sektör paydaşları ve güvenlik firmalarıyla bir güvenlik araştırma fonu ve hedefe yönelik girişimler oluşturmak için çalışıyor.

FBI, 31 Ekim 2026 tarihli ayrı bir duyuruda, olaydan Kuzey Kore’nin TraderTraitor aktörlerinin sorumlu olduğunu, FBI’ın USSS ve IRS-CI ortaklarıyla birlikte bu aktörlerin çalınan varlıkları çoğunlukla Ether’e dönüştürdüğünü gözlemlediğini ve DeFi ile anlık takas hizmetleri üzerinden aklamanın devam etmesinin beklendiğini belirtti. Kurumlar; düğüm operatörlerini, borsaları, DeFi hizmetlerini, blok zinciri analiz şirketlerini ve diğer sanal varlık sağlayıcılarını, listelenen adresleri içeren veya bu adreslerden kaynaklanan işlemleri engellemeye çağırdı.

Bu anlatı, kötü amaçlı yazılım tespitinin ötesine uzanan bir kontrol altına alma sorunu ortaya koyuyor: ele geçirilen ilk cihazın değiştirilmesi, saldırganın cüzdan ekibine erişimini sonlandırmadı; para çekme işlemlerinin askıya alınması da zincir üstü yetkiyi ortadan kaldırmadı. Bağımsız inceleme, artık hem Binance’in bu saldırı zincirini yeniden kurma çabasını hem de yeniden oluşturulan kontrollerin bu sorunu giderip gidermediğini denetleyecek.