Binance'e 6,34 Milyar Dolarlık Saldırı Sahte İş Görüşmesiyle Başladı

Binance'in 3 Kasım 2026'da yayımladığı ön inceleme raporuna göre 29 Ekim 2026'daki yaklaşık 6,34 milyar dolarlık saldırı, bir yazılım mühendisine sahte iş görüşmesinde verilen «ödev» dosyası ve ele geçirilen şirket içi yapay zekâ aracı üzerinden gerçekleşti. Binance, kaybın kullanıcılara yansıtılmayacağını ve zararı kendisinin üstleneceğini açıkladı; çekim işlemleri aşamalı olarak açılıyor.

Rapora ve Binance yönetiminin açıklamalarına göre etkilenen varlıkların toplamı yaklaşık 6,34 milyar dolar seviyesindeyken, yaklaşık 2,85 milyar dolar donduruldu ya da durduruldu. Etkilenen kripto varlıkların yüzde 98'i 31 Ekim 2026 itibarıyla borsanın kendi kaynaklarıyla karşılandı Binance'e göre kayıplar kullanıcılara yansıtılmayacak.

Saldırı hazırlığı sahte bir geliştirici aracıyla başladı

Raporda yer alan bulgulara göre hazırlık süreci Haziran 2026'da başladı. Cüzdan DevOps ekibinde görev yapan bir mühendis, arama motorunda bir yapay zekâ kodlama aracını ararken ulaştığı bağlantı üzerinden kurcalanmış bir Homebrew kurulum paketi indirdi. Binance şüpheli etkinliği fark ederek cihazı değiştirdi ve giriş bilgilerini yeniledi; ancak mühendisin rolü ile cüzdan ekibindeki çalışma arkadaşlarının bilgileri açığa çıktı. Rapora göre Binance, 2026 boyunca Kuzey Kore bağlantılı olduğundan şüphelenilen 57 siber tehdit girişimini tespit edip engelledi.

Sahte iş görüşmesi ve «ödev» dosyası

Eylül 2026'da başka bir yazılım mühendisiyle meşru bir iş ilanı platformu üzerinden temas kuruldu. İlk mülakat görüntülü olarak gerçekleştirildi ve güven tesis etmek amacıyla kişisel sosyal medya içerikleri paylaşıldı. İkinci aşamada ise sohbet uygulaması üzerinden bir şirket yöneticisi gibi davranan saldırgan, mühendisten iş bilgisayarına bir «ödev» dosyası indirmesini istedi. İndirilen kod deposu kurulum esnasında arka planda çalışarak meşru bir geliştirici aracını zararlı sürümle değiştirdi ve dış sunucularla bağlantı kurdu. Bu yazılımın mevcut uç nokta güvenlik araçlarınca fark edilmediği belirtildi.

Yapay zekâ aracından cüzdan sistemine

Saldırganlar 20 Ekim 2026'da ilgili bilgisayar ve şirket içi yapay zekâ aracı üzerinden diğer cüzdan mühendislerinin cihazlarına erişim sağladı. İlk mühendisin bilgisayarında konteyner dağıtım yetkisi veren bir erişim anahtarı (token) ele geçirildi. 29 Ekim 2026'da bu yetkiyle zararlı bir betik çalıştırıldı ve cüzdan imzalama servisine müdahale edilerek olağan dışı işlemler başlatıldı.

Yetkisiz transferler 29 Ekim 2026'da saat 20.05 UTC'de (Türkiye saatiyle 23.05) başladı. Giden varlıklar arasında 233,46 milyon XRP, 970.500 SOL, 44,2 milyon OP ve 18.270 BTC yer aldı. Saldırganlar Ethereum ağının EIP-7702 (bir cüzdanın işlem yetkisini bir akıllı sözleşmeye devretmesini sağlayan Ethereum özelliği) mekanizmasıyla sıcak cüzdan (internete bağlı, günlük işlemler için kullanılan cüzdan) yetkisini kendi sözleşmelerine devreden 50 imzalı işlem kullandı. Sıcak cüzdanlar MPC (anahtarın tek bir yerde tutulmadığı çok taraflı hesaplama yöntemi) altyapısıyla korunduğundan yetki tek anahtarla anında geri alınamadı. Son transfer saat 23.56 UTC'de 2.961,9 ETH olarak gerçekleşti; borsa 30 Ekim 2026'da saat 00.10 UTC'de (Türkiye saatiyle 03.10) yetkiyi sıfırlayarak bu kanalı kapattı.

Fail, önlemler ve çekimler

ABD Federal Soruşturma Bürosu (FBI) saldırıyı Kuzey Kore'ye bağlı TraderTraitor grubuyla ilişkilendirdi. Binance yönetimi bu bağlantıyı kendisi kurmadı, FBI'ın değerlendirmesine atıf yaptı. Borsa bünyesinde cüzdan ve yapay zekâ sistemleri yeniden kurulurken etkilenen mühendislere ait kimlik bilgileri ve erişim anahtarları iptal edildi; ele geçirilen cihazlar değiştirildi ve süreç bağımsız bir uzmanın incelemesine açıldı.

Binance'in 3 Kasım 2026 tarihli duyurusuna göre, 1 Kasım 2026'da belirli ağlarda başlatılan para çekme işlemleri, 3 Kasım 2026'da saat 04.00 UTC'den (Türkiye saatiyle 07.00) itibaren daha fazla varlık için kademeli olarak devreye alındı. Varlık yatırma süreçlerinin olaydan etkilenmediği açıklandı.

Türkiye açısından

Rapor verilerinde Türkiye'ye özgü bir kullanıcı kaybı ya da ayrıştırılmış veri yer almıyor; şirketin duyurduğu zarar karşılama taahhüdü tüm kullanıcıları kapsıyor. Mühendisleri hedef alan sahte mülakat senaryoları, uzaktan çalışan tüm yazılımcılar için küresel bir risk barındırıyor. Olayın gelişimine ilişkin adli değerlendirmeler daha önce FBI'ın saldırıyı Kuzey Kore'ye bağlaması ve çekimlerin aşamalı açılması haberinde yer almış, ilk bilgiler ise saldırının bir dizüstü bilgisayarla başlamış olabileceğine dair ilk haberler başlıklı haberde aktarılmıştı.

Ne yapmalısınız

Kullanıcıların ve kurum çalışanlarının benzer tehditlere karşı dikkat etmesi gereken temel adımlar şunlardır:

• Binance hesabınızdaki varlık ve çekim durumunu yalnızca resmi mobil uygulama ve doğrulanmış web adresi üzerinden takip edin.
• Sosyal medya ya da e-posta üzerinden iletilen sahte tazminat ve iade bağlantılarına itibar etmeyin.
• İş görüşmeleri kapsamında gönderilen deneme projelerini, kod depolarını ve ödev dosyalarını kurumsal iş bilgisayarlarınızda çalıştırmayın.
• Yazılım geliştirme araçlarını ve paket yöneticisi bileşenlerini arama motoru reklamları yerine doğrudan resmi geliştirici sayfalarından indirin.
• Şirketler, hassas altyapılara tam erişim sağlayan yetki anahtarlarının personel cihazlarında yerel olarak barındırılmasını sınırlandırmalıdır.

Kaynaklar

• Binance — İyileştirme Güncellemesi #6: Çekimler Daha Fazla Varlık İçin Yeniden Açılıyor, 3 Kasım 2026
• CNBC — Binance yönetiminin sahte iş görüşmeleri ve yapay zekâ aracı açıklaması, 3 Kasım 2026
• BBC News — Binance'in ön bulgularında sahte iş görüşmeleri, 3 Kasım 2026
• PANews — Binance ön inceleme raporunun tam metin aktarımı, 3 Kasım 2026
• Crypto Briefing — Binance ön raporu: sahte iş görüşmesi ve ele geçirilen yapay zekâ aracı, 3 Kasım 2026

Kapak görseli (temsili): dizüstü bilgisayarda kod — Tirza van Dijk, Wikimedia Commons, CC0 (kırpıldı, küçültüldü, ekrandaki bazı yazılar bulanıklaştırıldı).