Editör: Enver Adıgüzel
Binance, yaklaşık 6 milyar dolarlık saldırıda ilk başta ele geçirilmiş bir çalışan dizüstü bilgisayarından şüphelenmesinin ardından soruşturmacıların ek ihlal noktaları tespit ettiğini açıkladı. Borsa, bu ek noktaların ne olduğunu açıklamadı.
Borsa, 30 Ekim tarihli önceki güvenlik güncellemesinde, ön soruşturmada bir DevOps mühendisinin dizüstü bilgisayarının ele geçirilmiş olabileceğini belirlediğini ve saldırganın bu yolla dahili bir hizmet konteynerine erişip yetkisiz çekimler başlatmış olabileceğini bildirmişti.
Ayrıca Okuyun
Çekim altyapısı inceleniyor
Binance, cüzdan özel anahtarlarının sızdığına dair herhangi bir kanıt bulunmadığını söyledi. Blockchain istihbarat firması TRM Labs’ın 29 Ekim tarihli soruşturmasına göre, saldırganlar Binance ile ilişkili cüzdanlardan 10 blockchain üzerinden yaklaşık 6 milyar dolar aktardı ve varlıkların büyük bölümünü yaklaşık 20 dakika içinde hareket ettirdi.
Etkilenen ağlar arasında Ethereum, Bitcoin, Tron, Solana ve XRP Ledger yer aldı. TRM, saldırganların hırsızlığı gerçekleştirmeden en az 36 saat önce hazırlığa başladığını, ana çekimlerden önce ön işlemler yaptığını ve kötü amaçlı kod yerleştirdiğini tespit etti.
TRM’nin aktardığına göre Ethereum üzerinde saldırgan, EIP-7702 kullanarak bir Binance sıcak cüzdanının kontrolünü kötü amaçlı bir sözleşmeye devretti. İşlemde, biri saldırganın işlem yürütme talimatları yüklemesine ve ardından cüzdandaki varlıkları boşaltmasına olanak tanıyan 50 önceden imzalanmış yetkilendirme kullanıldı.
TRM, diğer blockchain’lerdeki cüzdanların geçerli imzaya sahip olağan işlemler gerçekleştirdiğini belirtti. Farklı ağlar ve imzalama sistemleri arasında koordineli işlemlerin, Binance’in sıcak cüzdan imzalama altyapısının ele geçirilmiş olabileceğine işaret ettiğini söyledi.
Binance, etkilenen adres yetkilendirmesini iptal ettiğini ve çekim altyapısını yeniden yapılandırdığını açıkladı. Borsa ayrıca, blockchain ortaklarıyla iş birliği yoluyla yaklaşık 3 milyar dolar değerinde etkilenen varlığı dondurduğunu ve tüm kayıpları Kullanıcılar için Güvenli Varlık Fonu (SAFU) ile kurumsal kaynaklarından karşılayacağını söyledi.
Kuzey Kore bağlantısı ortaya çıktı
Binance teknik arızayı incelerken, blockchain araştırmacıları olayın Kuzey Koreli hackerlara atfedilen bir dizi önceki saldırıyla bağlantılı olabileceğine dair kanıtlar tespit etti. TRM Labs, Şubat 2025’teki 1,5 milyar dolarlık Bybit saldırısıyla ilişkilendirilen Kuzey Kore bağlantılı TraderTraitor grubunun Binance saldırısından sorumlu olduğundan “çok yüksek derecede emin” olduğunu söyledi.
Blockchain araştırmacısı ZachXBT, Binance saldırısında çalınan fonların, Eylül ayındaki yaklaşık 388 milyon dolarlık Bitget saldırısının fonlarıyla aynı Ethereum adresinde karıştığını bildirdi. ZachXBT’ye göre iki olaydan gelen fonlar THORChain üzerinden geçtikten sonra aynı adreste buluştu. Bu örtüşmenin iki saldırının aynı aktöre ait olabileceğine işaret ettiğini, ayrıca Bitget saldırısının daha önce TraderTraitor’a atfedildiğini ve bu grubun Kelp DAO olayıyla da bağlantılı olduğunu belirtti.
Blockchain güvenlik firması MistTrack ise Binance’ten çalınan varlıklarla ilgili ayrı bir bağlantı tespit ettiğini bildirdi. Firmaya göre çalınan TRX tokenları, daha önce Phemex saldırganıyla ilişkilendirilen bir Ethereum adresine ulaşmadan önce Bitget Wallet’ın zincirler arası köprüsünden geçti.
Binance, saldırganların kimliğini henüz doğrulamadığını ve çalınan varlıkları izlemek için kolluk kuvvetleri ile blockchain istihbarat firmalarıyla iş birliği yaptığını söyledi.
İlgili: Binance hack soruşturmasında yeni sızma noktaları tespit edildi
Kaynak: Binance
