Binance soygunu: FBI, Kuzey Kore'nin TraderTraitor örgütünü kayıtlara geçmiş en büyük kripto hırsızlığına bağladı
29 Ekim 2026 akşamı yetkisiz çekimler, Binance'in hot wallet'larını on bir blockchain üzerinden birkaç saat içinde boşaltmaya başladı. Kayıp tahminleri, borsanın kendi verdiği rakam olan yaklaşık 6,3 milyar dolardan, günlerce süren sayımların ardından Elliptic'in on-chain muhasebesinin durduğu 6,43 milyar dolara kadar uzanıyor; analiz şirketi bunu neredeyse kesinlikle tarihin herhangi bir türdeki en büyük tekil hırsızlığı olarak nitelendiriyor. Çekimler aynı gece durduruldu ve dünyanın en büyük kripto borsası, izleyen günleri yaklaşık 335 milyon kayıtlı kullanıcısına paralarının hiçbir yere gitmediği mesajını vermeye harcadı.
Rekor bir hırsızlığın rakamları
Dayanacak az emsal var. Ganimet, Şubat 2025'te Bybit'ten çalınan 1,46 milyar doların — o da bir dönemin rekoruydu — dört katından fazla; Saddam Hüseyin'in 2003'te Irak merkez bankasından aldığı yaklaşık 1 milyar doların ise altı katından fazla, Elliptic'in karşılaştırması böyle çiziyor. FBI'ın hesabından yola çıkan The Hacker News on bir blockchain'in etkilendiğini, değerin yüzde 82'sinin Ethereum ve Bitcoin üzerinde olduğunu sayıyor. En büyük dilim Ethereum'daydı: 186 token üzerinden yaklaşık 3,8 milyar dolar; yanında yaklaşık 1,48 milyar dolar değerinde 18.270 BTC.Kuzey Kore — yüksek güvenle
31 Ekim'de FBI hırsızlığı resmen TraderTraitor'a — Jade Sleet ve Slow Pisces adlarıyla da izlenen Kuzey Kore yanlısı bir küme — atfetti; ABD Secret Service ve IRS Criminal Investigation ile birlikte çalıştı. Aynı aktörler Bybit ve DMM Bitcoin soygunlarına, ayrıca KelpDAO ve Bitget'teki daha küçük olaylara bağlanıyor. Özel analistler daha ilk saatlerde aynı yöne işaret etmişti: araştırmacı ZachXBT saldırganı "muhtemelen Lazarus" diye adlandırdı, TRM Labs ise TraderTraitor'un sorumlu olduğuna dair "yüksek güvenli" bir değerlendirme yayımladı — birim, CoinDesk'in tanımıyla Lazarus Grubu'nun bir alt kümesi."Çalınan varlıkların yüzde 90'ını şimdi tedarik ettik; kalan yüzde 10'u da karşılamaya kararlıyız." — Binance eş-CEO'su Richard Teng, 31 Ekim 2026Binance çekimleri duraklattı ve ardından tüm müşteri kayıplarını eksiksiz karşılamayı taahhüt etti. Şirket, NBC News'a göre 1 milyar dolarlık Secure Asset Fund for Users güvence fonundan, vadeli işlem sigorta fonundan ve şirket kasasından beslenen yaklaşık 6,34 milyar dolar öz kaynak ayırdı; kalan yüzde on çoğunlukla daha az likit tokenlarda olup geri alımı daha uzun sürecek. Çekimler 1 Kasım'da 06:00 UTC'den itibaren aşamalı olarak yeniden açıldı ve korkulan banka koşusu içeride kaldı. The Block ilk dokuz buçuk saatte yaklaşık 3,64 milyar dolar net çıkış saydı — yönetilen varlıkların yaklaşık yüzde 2'si — ve borsanın, ilk yükselişin ardından hacimlerin "beklendiği gibi istikrara kavuştuğunu", mevduatların ise hatırı sayılır kaldığını aktardı. Bitcoin, haberin ardından geçen saatlerde şimdiden yüzde 5 düşüşle 77.380 dolar seviyesinde altı haftalık dipteydi — Guardian'ın aktardığı üzere.
Cüzdanlar nasıl boşaltıldı
Binance'in ilk açıklaması giriş noktası olarak bir DevOps mühendisinin ele geçirilmiş dizüstü bilgisayarını işaret ediyordu; şirket sonradan ek sızma noktaları olan ve kanıt silmeye tasarlanmış kötücül yazılım içeren karmaşık bir saldırıdan söz etti. Elliptic'in yeniden kurulumu saldırganın Ethereum'un 2025 Pectra güncellemesiyle gelen EIP-7702 delegasyonunu kötüye kullandığını gösteriyor: elli geçerli imzalı yetkilendirme taşıyan tek bir işlem, "Binance 14" etiketli cüzdanın kontrolünü bir sweeper sözleşmesine devretti; sözleşme üç buçuk dakika sonra cüzdanı 167.464 ETH ve 63 token ile birlikte boşalttı. Fonlar çalınan özel anahtarlarla değil, Binance'in kendi imza altyapısı üzerinden hareket etti — Elliptic'in ifadesiyle ele geçirilen, kriptografi değil, cüzdanların çevresindeki altyapı ve insanlardı.Aklama hattı
FBI beklentilerini önceden haritaladı. Saldırganın çalınan varlıkları ağırlıklı olarak Ethereum'a çevirdiğini izleyen büro, fonların DeFi ve anlık takas servisleriyle aklanmaya devam edeceğini öngörüyor ve servislerin tarayabilmesi için cüzdan adreslerini yayımladı. Şu ana kadarki on-chain tablo bilinen senaryoya oturuyor: stablecoin'ler, hızın değere tercih edildiği yüzde 12 ila 26 kayıpla ETH ve TRX'e çevrildi; 59,9 milyon USDT, karşılığında ETH borçlanmak için Aave'ye yatırıldı; TRX en az altı farklı köprüden geçirildi.- Birkaç gün içinde yaklaşık 2,85 milyar dolar on-chain olarak donduruldu ya da el konuldu — hırsızlığın yüzde 44'ü, neredeyse tamamı stablecoin, Elliptic'e göre; Binance'in kendi tahmini 3 milyar civarında.
- Bitcoin, XRP Ledger, Solana veya NEAR üzerinde hiçbir şey dondurulamadı; saldırganın elinde 800'den fazla adrese dağılmış, dondurulamaz yaklaşık 3,25 milyar dolar kaldı.
- Elliptic, borsalar ve cüzdan sağlayıcıları için 8.000'den fazla ilişkili adres içeren ücretsiz bir blocklist yayımladı.
- Kuzey Kore'yle bağlantılı aktörlerin son yıllarda toplam 6,5 milyar doların üzerinde kripto çaldığı sanılıyor ve Elliptic bu olayın o toplamı neredeyse ikiye katladığını not ediyor.