Binance sıcak cüzdan ihlali

Borsalar müşteri çekimlerini çevrim içi tutulan sıcak cüzdanlardan öder. Bu cüzdanlar her gün binlerce işlemi otomatik imzalar. Zincir açısından geçerli bir imza, işlemin yetkili olduğu anlamına gelir; imzayı kimin istediğini zincir göremez.

Binance’in ilk açıklamasına göre giriş noktası ele geçirilmiş bir DevOps mühendisi dizüstü bilgisayarıydı; şirket özel anahtar sızıntısına dair kanıt bulmadığını söyledi. On farklı zincirde, farklı anahtar türleri ve imza şemalarıyla yarım saat içinde geçerli imzalar üretilmesi, saldırganın Binance’in imza sistemine istediği işlemi imzalatabildiğine işaret ediyor.

Saldırgan adreslerini ve boşaltma işlemlerini açık blokzincir kayıtlarından tek tek doğruladık, paranın bugün nerede durduğunu okuduk ve saldırgan adreslerini önceki büyük saldırıların ve yaptırım listelerinin adresleriyle karşılaştırdık. Bütün adresler ve işlem kimlikleri halka açık blokzincir verisidir.

29 Ekim 2026, 20:05 ile 23:56 (UTC) arasında Binance cüzdanlarından saldırgana on zincirde 40 transfer gitti. En büyük boşaltmalar ilk 20 dakikada yapıldı; ihraççıların ilk dondurması 21:01’de geldi.

Binance cüzdanlarından saldırgana giden transferler saat sırasıyla (UTC). “Zincirde doğrulandı” satırlarını açık blokzincir kayıtlarından (Blockscout, mempool.space, TronGrid, XRPL ve Solana düğümleri) tek tek okuduk; diğer satırlar yayımlanmış analizlerdeki toplamlardır.

Kamuoyunda “tek seferde” gönderildiği söylenen 18.270 BTC zincirde aynı blokta 11 ayrı işlem olarak görünüyor; en büyüğü 7.636,8 BTC.

Saldırganın elindeki varlıkların bir kısmı ihraççısının dondurabildiği sabit paralardı (USDT, USDC, RLUSD, USD1). Saldırgan ilk saatlerde dondurulabilir varlıkları dondurulamayanlara çevirmek için yarıştı.

Ethereum ve Tron’da çalınan 2,49 milyar USDT’nin 1,76 milyarı (%71) Tether tarafından donduruldu. Kalan 729 milyon USDT, dondurma ulaşmadan ETH ve TRX’e çevrildi (Bitquery).

Zararına satış: yaklaşık 325 milyon USDT, niyet tabanlı sözleşmelerle satılıp ~122.300 ETH alındı; satışın ima ettiği fiyat piyasanın %10’dan fazla üstündeydi.

Borç alma: bir saldırgan cüzdanı Aave V3’e 60 milyon USDT yatırıp ~19.760 ETH borç aldı; Aave bunun üzerine 16 ağda 175 V3 ve 4 ağda 117 V4 rezervini dondurdu.

Boşa giden dondurmalar: Tether’in dondurduğu 11 cüzdanın 6’sı dondurma anında zaten boştu.

Bitcoin tarafında 18.270,2 BTC 1.000’lik parçalara bölündü ve 20:48’de son birleştirme yapıldı.

2 Kasım 2026’da zincirden okunan bakiyeler. Yedi büyük ETH deposunun hiçbirinden giden işlem yok.

Yedi depodaki 512.621 ETH, Binance’ten doğrudan çalınan 200.630 ETH’nin iki katından fazla; aradaki fark dondurulmadan önce satılan sabit paralar ve diğer tokenlarla alınan ETH. TRM Labs bir sonraki aşamada köprülerin, takas servislerinin ve tezgâh üstü aracıların kullanılmasını bekliyor.

Saldırgana ait 78 Ethereum, 8 Tron ve 20 Bitcoin adresinin bütün işlem geçmişini çektik; bu adresleri ve işlem yaptıkları tüm karşı tarafları FBI’ın Bybit saldırısı için yayımladığı 51 adresle, Eylül 2026 Bitget saldırısının adresleriyle ve OFAC yaptırım listesindeki 123 Ethereum, 532 Bitcoin ve 266 Tron adresiyle karşılaştırdık.

Doğrudan ortak adres yok. Saldırgan cüzdanlarının işlem yaptığı 915 Ethereum ve 856 Tron karşı tarafı arasında da bu listelerden hiçbir adres yok. Binance ve Bitget saldırganlarının ikisinin de dokunduğu adresler doğrudan bir bağ göstermiyor:

Chainalysis, Binance’ten çalınan fonların Bitget saldırısının fonlarıyla zincir üstünde karıştığını bildiriyor. Bu bağlantıyı açık verilerle bağımsız olarak doğrulayamadık; bağ, etiketli veritabanlarında ya da incelediğimiz iki halkadan daha derinde olabilir.

Zincir verisinin yanında kendi infostealer verimizi de taradık. Dark Radar verisinde yedi büyük kripto borsasının kurumsal e-posta alan adlarına ait 171 çalınmış hesap kaydı var. Bu kayıtların bir kısmı müşteri girişi değil, iç sistemlerdir: beş borsada kurumsal hesapla kimlik sağlayıcılara, iç kod depolarına, iç izleme panellerine, yönetim panellerine ve bulut tek oturum açma portallarına giriş kayıtları görülüyor.

Binance tarafında, iç sistemlere kurumsal hesapla erişen iki ele geçirilmiş cihaz öne çıkıyor:

Cihaz A’nın logu saldırıdan 32 gün önce bir Telegram log dağıtım kanalında dolaşıyordu. Bu kanallardaki loglar satılır ya da toplu dağıtılır; içindeki erişim bilgileri herhangi bir alıcının eline geçmiş olabilir.

Cihaz A’da dört kurumsal parola kişisel sitelerde de kullanılıyor; cihazda bilinen bir kurumsal güvenlik yazılımı görünmüyor. Erişimi büyük veri platformunun neredeyse tamamını (iş akışı orkestrasyonu, olay akışı yönetimi, not defterleri) ve bir izleme panelinde kullanıcı oluşturma yetkisini kapsıyor.

Cihaz B, Binance’in tarif ettiği DevOps profiline en yakın aday; ancak erişim bilgileri olaydan yaklaşık bir yıl önceye ait.

35 Binance logunun hiçbirinde cüzdan, imza, çekim, saklama ya da anahtar yönetimi sistemine ait kayıt yok. Saldırının bilinen cüzdan adreslerinin hiçbiri loglarda geçmiyor.

Bu cihazların saldırıyla bağlantılı olduğuna dair bir kanıt yok; Binance’in açıkladığı ele geçirilmiş DevOps dizüstü bilgisayarı ile aynı cihaz olup olmadıklarını bilmiyoruz. MacSync bir siber suç aracıdır ve TraderTraitor’a atfedilmemiştir. Bulgu, mühendis cihazlarından sızan erişim bilgilerinin büyük bir borsada bile aylarca açıkta dolaşabildiğini gösteriyor.

Olası yol (kanıtlanmadı): bir çalışanın cihazı ele geçirilir, erişim bilgileri suç kanallarında dolaşır ya da satılır, iç sistemlere ulaşılır ve oradan imza altyapısına ilerlenir. Bu analizde bu yolun 29 Ekim saldırısında kullanıldığına dair kanıt bulunmadı. Bu soruyu kesin olarak yanıtlayabilecek kayıtlar Binance’in kendi erişim günlükleridir.

Bu bölümdeki bulguların tam teknik ayrıntıları yayından önce Binance güvenlik ekibine ve FBI’a iletildi. İç sistem adları, adresler, log kimlikleri ve kimlik bilgileri yayımlanmamıştır.

Bir çalışan bilgisayarının ele geçirilmesiyle başlayıp milyarlarca dolarlık çekimle biten bir saldırı, yol boyunca birçok güvenlik kontrolünü aşmak zorundadır. Binance’in iç kontrolleri kamuya açık değil; bir kontrolün yetersiz kaldığını yalnız sonucu zincirde ya da Binance’in açıklamasında görülen aşamalarda söylüyoruz, diğer aşamalarda o adımı durdurabilecek kontrolü yazıyoruz. İlk üç aşamadaki bulgular Dark Radar verisindeki iki cihaza aittir; bu cihazların 29 Ekim saldırısında kullanıldığı kanıtlanmadı.

Saldırı başlamadan önce görülebilecek işaretler: hazırlık zincirde saatler önce görünüyordu. Tornado Cash ile fonlanan bir cüzdan 29 Ekim gün içinde EIP-7702 sözleşmeleri kurdu, iki cüzdanda test yaptı ve 15:59’da süpürücü sözleşmeyi kurdu; saldırı 20:20’de başladı. Karıştırma servisinden fonlanıp kısa sürede yetki devri sözleşmesi kuran cüzdanları izleyen bir zincir üstü tehdit takibi bu hazırlığı saldırıdan önce işaretleyebilirdi. Dark Radar verisindeki iki cihaz ise olaydan 32 ve yaklaşık 370 gün önce görünür durumdaydı.

Bu olayda tek bir hata yok; birbirini izleyen katmanlar sırayla aşıldı. Uç nokta ve kimlik katmanında başlayan bir ihlal, imza ve çekim katmanındaki tutar ve hız sınırlarında durdurulabilirdi. En büyük kayıp, imza aşamasındaki politika kontrollerinin ve sıcak cüzdan bakiyesinin saldırganın erişimiyle orantılı olmamasından geldi.

Saldırganla ilişkilendirilen halka açık blokzincir adresleri ve işlemleri. Binance’e ait cüzdanlar “kurban” olarak işaretlidir.

Saldırı, Binance’in açıklamasına göre bir çalışanın bilgisayarıyla başladı. Ele geçirilen erişim bilgileri çoğu zaman olaydan önce yeraltı pazarlarında dolaşıma girer; imza altyapısına erişen mühendis cihazları en kritik varlıklar kadar sıkı izlenmeli.

Uyum ekipleri saldırgan adreslerini ve bunlardan beslenen yeni cüzdanları (Bitcoin parçaları, ETH depoları, THORChain ve Relay üzerinden beslenen adresler) yatırma taramasına eklemeli; fonların önümüzdeki günlerde borsalara, takas servislerine ve OTC masalarına ulaşması bekleniyor.