Kripto tarihinin en büyük saldırısı: 6,3 milyar dolarlık varlık nasıl ele geçirildi?

Dünyanın en büyük kripto para borsası Binance, yaklaşık 6,3 milyar dolarlık varlığın etkilendiği siber saldırıyla tarihinin en büyük güvenlik krizlerinden biriyle karşı karşıya. Her ne kadar henüz doğrulanmasa da Blockchain analiz şirketleri, saldırıyı Kuzey Kore bağlantılı TraderTraitor adlı hacker grubuna bağlarken saldırının hemen ardından yaklaşık 3 milyar dolarlık varlık donduruldu.

• Yaşanan bu olay, merkezî kripto borsalarının güvenliğini ve dijital finans sisteminin kırılganlığını yeniden gündeme taşıdı.

Binance saldırısında dikkat çeken ayrıntılardan biri, saldırganların ele geçirdikleri kripto varlıkları farklı ağlar ve işlem mekanizmaları üzerinden dönüştürerek izlerini saklamaya çalışması oldu. Saldırganlar 63 farklı tokeni ele geçirdi, milyarlarca dolarlık varlığı ETH ve Bitcoin'e dönüştürmeye yöneldi.

Yaklaşık 6,3 milyar dolarlık varlığın etkilendiği Binance saldırısı, bugüne kadar kaydedilen en büyük kripto para hırsızlığı olarak değerlendiriliyor. Daha önce Şubat 2025'te Bybit borsasından yaklaşık 1,5 milyar dolar değerinde kripto varlığın çalınması, sektör tarihinin en büyük saldırılarından biri olarak kayıtlara geçmişti. Binance saldırısında açıklanan tutar, Bybit vakasının yaklaşık dört katına ulaşıyor.

• Binance saldırısının büyüklüğü, yalnızca finansal kayıp açısından değil, merkezî kripto para borsalarının güvenlik altyapısının sorgulanması bakımından da önem taşıyor. Şirketin iç sistemlerine erişim sağlanarak milyarlarca dolarlık varlığın transfer edilebilmesi, dijital finans ekosisteminde operasyonel güvenlik ve kullanıcı varlıklarının korunmasına ilişkin tartışmaları yeniden alevlendirdi.

Buradaki kritik noktalar şunlar: Bir borsanın sıcak cüzdanlarından milyarlarca doların çıkarılabilmesi, saldırganların önceden hazırlık yapması, stablecoin şirketlerinin milyarlarca doları dondurabilmesi ve Bitcoin'in aynı şekilde dondurulamaması. Bunlar biraraya geldiğinde karşımıza sadece bir siber saldırı değil, dijital finans sisteminin güvenlik, rezerv ve merkeziyetçilik sorunlarını aynı anda ortaya çıkaran bir vaka çıkıyor.

29 Ekim 2026 gecesi tam olarak ne yaşandı?

Binance saldırısında dikkat çeken gelişmelerden biri, saldırganların ele geçirdikleri kripto varlıkları farklı blokzincir ağları ve finansal işlem mekanizmaları üzerinden hareket ettirmesi oldu. Blokzincir analiz şirketi TRM Labs'ın incelemesine göre, Binance'in Ethereum ağındaki sıcak cüzdanlarından birinden gerçekleştirilen ilk büyük transferde 167 bin 464 ETH ile birlikte 63 farklı kripto token saldırganların kontrolündeki adreslere aktarıldı. Söz konusu transferde yaklaşık 1,6 milyar dolar değerinde USDT de bulunuyordu.

Saldırganlar, ele geçirdikleri varlıkları tek bir cüzdanda tutmak yerine farklı işlem mekanizmalarını kullanarak dönüştürmeye ve dağıtmaya başladı. Özellikle USDT ve USDC gibi stablecoin'lerin ihraççıları tarafından dondurulabilmesi, saldırganları bu varlıkları ETH gibi merkezi bir ihraççısı bulunmayan kripto paralara dönüştürmeye yöneltti. TRM Labs'ın analizine göre, saldırganlar piyasa yapıcılar üzerinden stablecoin satışlarının yanı sıra Aave gibi merkeziyetsiz finans platformlarını kullanarak USDT teminatı karşılığında ETH borçlanma yoluna da gitti.

Saldırı sadece Ethereum ağıyla sınırlı kalmadı. TRM Labs'ın zincir üstü analizinde Bitcoin, Tron, XRP Ledger ve Solana'nın da aralarında bulunduğu toplam 10 farklı blokzincir ağından varlık transfer edildiği belirlendi. Analize göre, Ethereum ağından yaklaşık 3,79 milyar dolar, Bitcoin ağından 1,47 milyar dolar ve Tron ağından 628 milyon dolar değerinde varlık çıkarıldı. Diğer ağlardaki transferlerle birlikte toplam tutar 6 milyar doların üzerine ulaştı.

Saldırganların, Bitcoin transferlerinde büyük tutarları daha küçük parçalara ayırarak farklı adreslere gönderdiği, blokzincir analizinde peel chain olarak adlandırılan yöntemi kullandığı tespit edildi. Bu yöntem, işlemlerin takibini ve varlıkların nihai olarak hangi adreslerde toplandığının belirlenmesini zorlaştırabiliyor.

Öte yandan, saldırganların varlıkları dönüştürme girişimleri, stablecoin ihraççılarının müdahalesiyle karşılaştı. Tether ve Circle başta olmak üzere çeşitli kuruluşlar, saldırıyla bağlantılı adreslerde bulunan varlıkların bir bölümünü dondurdu. TRM Labs'ın hesaplamasına göre, dondurulan varlıkların toplamı yaklaşık 2,7 milyar dolara ulaştı. 

Bu gelişme, kripto para ekosistemindeki önemli bir çelişkiyi de ortaya çıkardı: Merkeziyetsizlik iddiasıyla faaliyet gösteren dijital finans sisteminde, stablecoin ihraççıları belirli adreslerdeki varlıkların transferini engelleyebilecek merkezî bir güce sahip. Binance saldırısı, bir yandan büyük kripto borsalarının operasyonel güvenliğini diğer yandan stablecoin şirketlerinin dijital varlık piyasasındaki belirleyici rolünü yeniden gündeme taşıdı.

• Binance'in farklı ağlardaki birden fazla cüzdanından transfer yapılabilmesi, saldırının ne kadar geniş bir yetkilendirme alanına ulaştığını gösteriyor.

Şu ana kadar ortaya çıkan bilgiler, olayın yalnızca kripto para çalınması meselesi olmadığını; borsaların iç sistemlerine erişim, işlem onay mekanizmaları, merkezî saklama altyapısı ve stablecoin ihraççılarının müdahale gücü açısından da önemli sonuçları olduğunu gösteriyor.

Saldırıdan kim sorumlu?

Saldırganın kim olduğuna dair henüz netleşmiş bir veri ya da açıklama bulunmuyor ancak şu bilgiler önemli: TRM Labs'ın zincir üstü incelemesine göre, saldırganlar 29 Ekim 2026 gecesi harekete geçmeden en az 36 saat önce hazırlık yapmaya başladı. 28 Ekim'de saldırganın kullandığı operasyon cüzdanına Tornado Cash üzerinden küçük miktarlarda kripto para gönderildi. 29 Ekim'de saldırı için kullanılacak kod oluşturuldu. Kod farklı cüzdanlarda test edildi. Son provadan yaklaşık dört saat sonra Binance'in sıcak cüzdanlarından birinde kullanıldı. Bu bulgular saldırının anlık bir fırsat saldırısı olmadığını, önceden planlanmış ve test edilmiş bir operasyon olduğunu gösteriyor.

Ele geçirilen bir Binance çalışanının bilgisayarının saldırının başlangıç noktası olabileceği ifade edilirken, ancak olayın sadece bir bilgisayarın ele geçirilmesiyle tek başına milyarlarca doların transfer edilebildiği basit bir saldırı olmadığına dikkat çekiliyor. Saldırganların daha karmaşık yöntemlerle şirket sistemlerine sızmış olabileceği değerlendiriliyor. Kuzey Kore bağlantılı Lazarus gibi devlet destekli bir grup mu, yoksa başka bir organize siber suç yapılanması mı olduğu bilinmiyor. 

• Bir Binance mühendisinin saldırıyı bizzat düzenlediği veya saldırganlarla işbirliği yaptığı şeklinde iddialar da var ancak yine bunları doğrulayan bir kanıt yok. Dolayısıyla, Binance saldırısının faili resmen açıklanmış değil, henüz bir çalışanın saldırgan grupla bağlantısı kanıtlanmış değil.

AP'nin 30 Ekim 2026 tarihli haberine göre, TRM Labs ve Chainalysis, saldırının arkasında Kuzey Kore bağlantılı TraderTraitor grubunun bulunabileceğini değerlendiriyor. Bu bağlantıyı önemli kılan, grubun daha önce Şubat 2025'teki 1,5 milyar dolarlık Bybit saldırısıyla da ilişkilendirilmiş olması. FBI, Bybit saldırısının arkasında Kuzey Kore bağlantılı aktörlerin bulunduğunu açıklamıştı. Ancak Binance saldırısı için henüz aynı nitelikte kesinleşmiş bir adli fail tespiti bulunmuyor.

Bir çalışanın bilgisayarının ele geçirilmesiyle başlayan bir saldırıda, saldırganlar şirketin iç güvenlik ve yetkilendirme mekanizmalarını nasıl aşabildi? Burada içeriden yardım ihtimali elbette soruşturulabilir. Ancak, teknik erişim bulgularını içeriden sabotajın kanıtı olarak sunmak şu aşamada doğru değil.

Saldırgan Binance sistemine nasıl girdi?

Binance'in 30 Ekim 2026 günü yayımladığı resmi açıklamaya göre, ilk incelemede şu senaryo öne çıkıyor: Binance bünyesinde çalışan bir DevOps mühendisinin bilgisayarı ele geçirildi. Saldırgan bu bilgisayar üzerinden şirketin iç hizmet altyapısındaki bir konteynere erişim sağladı. Bu erişimi kullanarak Binance'in işlem sistemine yetkisiz para çekme talimatları gönderdi. İşlem onay mekanizması, bu talimatların gerçekleştirilmesine izin verdi. Birden fazla sıcak cüzdandan farklı blokzincir ağlarına varlık transfer edildi.

Öte yandan Binance, özel cüzdan anahtarlarının çalındığına ilişkin kanıt bulmadığını söylüyor. Dolayısıyla mesele, ilk bulgulara göre klasik anlamda bir özel anahtar hırsızlığından ziyade, şirketin kendi işlem yetkilendirme altyapısının kötüye kullanılması. Bu, kripto borsalarının güvenliği açısından çok önemli bir ayrım. Çünkü anahtarları korumak tek başına yeterli değil; o anahtarları hangi sistemin, hangi koşullarda ve kimin talimatıyla kullanabildiği de güvenli olmalı.

Çok taraflı müdahale: Tether, Circle ve blokzincir ağları devreye girdi

Binance'e yönelik siber saldırının ardından saldırganların kontrolüne geçen kripto varlıkların hareketini engellemek amacıyla stablecoin ihraççıları ve blokzincir platformları harekete geçti. Tether, Circle, World Liberty Financial, Ripple ve Arbitrum'un da aralarında bulunduğu kuruluşların müdahaleleri sonucunda yaklaşık 2,7 milyar dolarlık varlık zincir üzerinde donduruldu. Binance ve Reuters ise müdahaleler sonucunda yaklaşık 3 milyar dolarlık varlığın tespit edildiğini veya dondurulduğunu kamuoyuna duyurdu.

Müdahalede en büyük pay, USDT'nin ihraççısı Tether'e ait. Tether, saldırıyla bağlantılı Ethereum ve Tron ağlarındaki cüzdan adreslerini kara listeye alarak, bu adreslerdeki USDT transferlerini engelledi. Reuters'ın 29 Ekim 2026 tarihli haberinde, Tether’in yaklaşık 1,57 milyar dolarlık varlığı dondurduğu kaydedildi.

Bitquery'nin daha sonraki zincir üstü incelemesinde ise dondurulan USDT miktarı 1,76 milyar dolar olarak hesaplandı. Tether'in müdahalesi, saldırganların farklı cüzdanlara aktardığı stablecoin'lerin önemli bir bölümünün kullanılmasını engelledi. Bununla birlikte bazı cüzdanların dondurma işlemi gerçekleşmeden önce boşaltıldığı da tespit edildi.

USDC'nin ihraççısı Circle da saldırıyla bağlantılı Ethereum adreslerindeki 823 milyon doların üzerinde USDC'yi dondurdu. Bitquery'nin işlem analizine göre Circle, ana Ethereum cüzdanındaki USDC'leri transfer edilmeden önce bloke ederek saldırganların bu varlıkları başka adreslere taşımasını engelledi.

Müdahaleye katılan bir diğer kuruluş World Liberty Financial oldu. Şirket, saklama hizmeti sağlayıcısı BitGo ile koordinasyon içinde hareket ederek saldırganların kontrolündeki cüzdanda bulunan WLFI tokenlerini dondurdu. Binance'in kurucu ortağı Yi He'nin açıklamasına göre, yaklaşık 27 milyon dolar değerinde stablecoin ve 2 milyon dolar değerinde WLFI tokeni de bu müdahaleler kapsamında donduruldu. Bitquery'nin analizinde World Liberty Financial'ın USD1 stablecoin'i üzerindeki sonraki müdahalesi de kaydedildi.

Ripple da saldırıyla bağlantılı varlıkların dondurulması için yürütülen çalışmalara katıldı. Binance kurucu ortağı Yi He, Ripple'ın yaklaşık 200 milyon dolarlık varlığın dondurulmasına katkı sağladığını açıkladı. Ancak zincir üstü analizlerde Ripple'ın müdahalesi, Tether'in altın destekli tokeni, Paxos ve First Digital gibi kuruluşların işlemleriyle birlikte diğer küçük token ihraççılarının müdahaleleri arasında değerlendiriliyor. Bitquery bu gruptaki toplam dondurulan varlıkları yaklaşık 132 milyon dolar olarak hesaplıyor. Bu nedenle farklı kaynaklarda açıklanan rakamları doğrudan toplamak doğru değil.

Bir diğer önemli müdahale ise Arbitrum ağından geldi. Arbitrum Güvenlik Konseyi, saldırganın bu ağ üzerindeki ARB ve ETH varlıklarını kilitli bir cüzdana taşıyarak transfer edilmelerini engelledi. Bu işlem, stablecoin ihraççılarının kendi tokenleri üzerindeki dondurma yetkisinden farklı olarak, ağın acil durum müdahale mekanizması üzerinden gerçekleştirildi.

• Bitquery'nin zincir üstü analizine göre Tether, Circle ve diğer token ihraççılarının müdahaleleri ile Arbitrum'un operasyonu sonucunda yaklaşık 2,7 milyar dolarlık varlık donduruldu. Reuters ve Binance tarafından aktarılan yaklaşık 3 milyar dolarlık toplam ise daha geniş bir hesaplamaya dayanıyor.

Buna karşılık dondurulan varlıkların tamamının geri alındığı veya Binance'e iade edildiği anlamına gelen bir açıklama bulunmuyor. Söz konusu işlemler, öncelikle saldırganların bu varlıkları transfer etmesini veya kullanmasını engellemeye yönelikti. Binance ise saldırıdan kaynaklanan bütün kayıpları SAFU fonu ve şirket kaynaklarıyla karşılayacağını duyurdu.

EIP-7702 yetkilendirmesi nasıl kötüye kullanıldı?

TRM Labs'ın analizine göre, saldırganlar Ethereum ağındaki EIP-7702 özelliğini kullandı. Bu özellik, normalde bir Ethereum cüzdanının belirli koşullarda akıllı sözleşme kodunu kendi adına çalıştırabilmesine imkan veriyor. Saldırganlar, Binance'in sıcak cüzdanlarından birini kendi kontrol ettikleri bir kodu çalıştıran bir mekanizmaya dönüştürdü. Saldırgan, bu yetkilendirmeyle cüzdanda kendi kodunu çalıştırıp varlıkları kontrolündeki adreslere aktarabildi. TRM'nin tespitine göre, bu işlem için önceden hazırlanmış 50 yetkilendirme kullanıldı. 

• Buradaki kritik soru şu: Binance'in cüzdanı bu yetkilendirmeyi hangi koşullarda imzaladı? Şirketin ilk açıklaması ele geçirilmiş bir DevOps mühendisi bilgisayarına işaret ediyor ancak yetkilendirmenin tam olarak nasıl elde edildiği henüz açıklanmış değil. Bu nedenle saldırıyı yalnızca bir çalışanın bilgisayarının hacklenmesine indirgememek gerekiyor.

Saldırı sonrasındaki bu müdahaleler, kripto para piyasasında stablecoin ihraççılarının ve blokzincir ağlarının sahip olduğu merkezî müdahale gücünü de ortaya koydu. Merkeziyetsiz finans ekosisteminde faaliyet gösteren bu kuruluşların, olağanüstü durumlarda milyarlarca dolarlık dijital varlığın transferini engelleyebilmesi, kripto piyasasının güvenlik ve yönetişim tartışmalarını yeniden gündeme taşıdı.

Yukarıda detaylı şekilde bahsettiğimiz üzere burada çok önemli bir finansal sistem tartışması var: USDT ve USDC gibi merkezi ihraççıları bulunan stablecoin'ler, belirli adreslerdeki varlıkları dondurabiliyor. Bu özellik suç gelirlerinin takibinde işe yarıyor; ancak aynı zamanda merkezi bir aktörün blokzincir üzerindeki varlıkların kullanımını engelleyebilmesi anlamına geliyor. Başka bir deyişle, merkeziyetsiz finans ekosisteminin içinde oldukça merkezî bir müdahale mekanizması bulunuyor.