Kripto para sektörünün en büyük hırsızlık vakası olarak kayıtlara geçen olayda, Ethereum ağının kullanıcı işlemlerini kolaylaştırmak amacıyla geliştirdiği bir özelliğin saldırganlar tarafından kullanıldığı tespit edildi. Blockchain kayıtları, saldırganların Binance'in müşteri çekimlerini gerçekleştirdiği dijital cüzdan üzerinde işlem yetkisi elde ederek çok sayıda kripto varlığı kısa sürede farklı adreslere aktardığını gösterdi.
Binance saldırısında 15 dolarlık işlemle milyarlar çalındı
Siber güvenlik şirketi Blockaid'in incelemesine göre saldırganlar, Ethereum ağında yaklaşık 15 dolar işlem ücreti ödeyerek oluşturdukları yetkilendirme sayesinde 2,5 milyar dolarlık kripto varlığı tek işlemde transfer etti.
Bu tutar, Binance'ten çalınan toplam varlıkların yaklaşık yüzde 40'ını oluşturdu.
Saldırganlar, normal şartlarda çok sayıda ayrı transfer gerektiren işlemleri tek seferde gerçekleştirerek güvenlik sistemleri tarafından tespit edilme riskini azaltmayı hedefledi.
İşlemlerin Ethereum blockchain kayıtlarında yer alması, saldırının nasıl gerçekleştirildiğine ilişkin teknik ayrıntıların incelenmesini sağladı.
Hackerlar Binance çalışanını sahte iş ilanıyla hedef aldı
Binance'in açıkladığı olay takvimine göre saldırganlar, sistemlere erişmek için önce bir şirket mühendisini hedef aldı.
Sahte iş ilanlarıyla kurulan tuzak sonucunda çalışanın zararlı yazılım indirmesi sağlandı.
Şirket, saldırının sosyal mühendislik yöntemleri, ele geçirilen cihazlar ve yapay zekâ tekniklerinin birlikte kullanıldığı çok aşamalı bir operasyon olduğunu bildirdi.
Sistemlere erişim sağlandıktan sonra müşteri varlıklarının çekilmesinde kullanılan Binance 14 adlı sıcak cüzdan hedef alındı.
Binance 14 cüzdanındaki kripto varlıklar hedef alındı
Binance 14, borsanın müşterilerinden gelen para çekme taleplerini karşılamak için kullandığı çevrim içi cüzdanlardan biri olarak faaliyet gösteriyor.
Bu tür sıcak cüzdanlarda Ethereum'un yerel kripto varlığı Ether, dolar destekli sabit kripto paralar ve farklı dijital tokenlar bulunabiliyor.
Dünyanın en büyük kripto para işlem platformu olması nedeniyle Binance'in söz konusu cüzdanında yüksek tutarlı varlık hareketleri gerçekleşiyor.
Saldırganlar, farklı kripto varlıklarını ayrı ayrı taşımak yerine Ethereum ağındaki yeni yetkilendirme mekanizmasından yararlandı.
Ethereum'un EIP-7702 özelliği saldırıda kullanıldı
Mayıs 2025'te Ethereum ağına eklenen EIP-7702 güncellemesi, dijital cüzdanların belirli yazılımlara kendi adlarına işlem gerçekleştirme yetkisi vermesini mümkün kılıyor.
Bu özellik sayesinde kullanıcıların her transfer için ayrı onay vermesine gerek kalmadan birden fazla işlem tek bir süreçte gerçekleştirilebiliyor.
Ancak Binance olayında aynı mekanizma, ele geçirilen cüzdanın saldırganların kontrolündeki yazılıma yetki vermesi için kullanıldı.
Blockaid'in tespitlerine göre hackerlar, 29 Ekim'de UTC 20.20 sularında Binance 14 cüzdanından alınmış geçerli bir dijital imzayı kullanarak saldırganların yazılımına işlem yetkisi tanımladı.
Bu ilk işlem sırasında herhangi bir kripto para transfer edilmedi. Yalnızca cüzdan adına işlem yapabilecek yazılımın yetkilendirilmesi sağlandı.
Hackerlar 3,5 dakikada 2,5 milyar doları transfer etti
Yetkilendirme işleminin tamamlanmasından yaklaşık üç buçuk dakika sonra saldırganlar hazırladıkları sistemi devreye soktu.
Blockchain araştırma şirketi Tibane Labs'in incelemesine göre kullanılan yazılım, komut verildiğinde cüzdandaki varlıkları belirlenen başka bir adrese gönderecek şekilde tasarlandı.
Tek işlemde ele geçirilen varlıklar arasında 167 bin 464 Ether ve 60'tan fazla farklı kripto token yer aldı.
Transfer edilen tutarın en büyük bölümünü ise 1,6 milyar dolarlık Tether USDT oluşturdu.
Binance saldırıyı fark ettikten sonra da transferler sürdü
Hypernative Kurucu Ortağı ve Teknoloji Direktörü Dan Caspi, EIP-7702 mekanizmasının saldırganların daha hızlı hareket etmesini sağladığını belirtti.
Caspi'ye göre bu özellik, Binance güvenlik ihlalini tespit ettikten sonra bile saldırganların cüzdan üzerindeki yetkilerini korumasına imkân tanıdı.
Yetkilendirmenin doğrudan Ethereum ağı üzerinde bulunması nedeniyle Binance'in para çekme işlemlerini durdurması veya sıcak cüzdan hizmetlerini kapatması, verilen izni kendiliğinden ortadan kaldırmadı.
Bu sırada Binance 14 cüzdanına para yatırma işlemlerinin devam etmesi, saldırganların yeni gelen varlıkları da transfer edebilmesine olanak sağladı.
Aynı yöntemle toplam 3,6 milyar dolar ele geçirildi
Blockchain analiz şirketi Elliptic'in incelemesine göre saldırganlar, aynı yetkilendirme mekanizmasını kullanarak yaklaşık 3,6 milyar dolarlık varlığı kontrol ettikleri adreslere aktardı.
Bu tutara ilk işlemde alınan varlıkların yanı sıra başka bir Binance hesabından çekilen 823 milyon dolar da dahil edildi.
Saldırganlar, Binance 14 cüzdanında daha sonra dört ayrı transfer gerçekleştirerek varlık çekmeye devam etti.
Böylece ilk erişimin ardından oluşturulan yetki, farklı zamanlarda tekrarlanan işlemlerde de kullanılmış oldu.
Binance güvenlik önlemlerini artırdığını açıkladı
Binance yetkilileri, EIP-7702 özelliğinin saldırıda önemli rol oynadığını doğruladı.
Şirket, olayın ardından etkilenen yetkilendirmeyi iptal ettiğini ve ilgili cüzdan altyapısını yeniden oluşturduğunu bildirdi.
Ayrıca dijital imza süreçleri ve işlem izleme sistemleri güncellendi. Yetki devri içeren işlemler için daha sıkı kurallar, gelişmiş davranış analizi, ek işlem kontrolleri ve acil yetki iptal mekanizmaları devreye alındı.
Binance, saldırıda kullanılan erişim yolunun tekrar kullanılmasını önlemek amacıyla erişim kontrollerini de güçlendirdiğini açıkladı.
Şirket, müşteri fonlarının korunduğunu ve olayın finansal etkisini kendi kaynaklarından karşıladığını belirtti.
FBI saldırıdan Kuzey Kore'yi sorumlu tuttu
ABD Federal Soruşturma Bürosu (FBI), 6,3 milyar dolarlık Binance saldırısının arkasında Kuzey Kore'nin bulunduğunu açıkladı.
Pyongyang yönetimi ise saldırıyla herhangi bir bağlantısı olduğu yönündeki iddiaları reddetti.
Kripto para tarihinin en büyük hırsızlığı olarak kayıtlara geçen olay, dijital cüzdanların kullanımını kolaylaştıran yetkilendirme sistemlerinin güvenlik ihlallerinde nasıl kullanılabileceğini ortaya koydu.
