Binance, tarihi soygunla ilgili ayrıntılı olay raporunu yayımladı: Kuzey Kore bağlantılı saldırganlar eylülde sahte bir işe alım süreciyle bir mühendisin bilgisayarına sızmış, haziranda virüslü bir yazılımla ele geçirilen ikinci bir cihazın bilgisiyle ekim sonunda borsanın sıcak cüzdan imza altyapısına ulaşmış. Borsa, etkilenen varlıkların yüzde 98'ini şirket kaynaklarıyla tamamladığını ve 2,85 milyar dolarlık varlığın dondurulduğunu açıkladı.
Kripto tarihinin en büyük soygununun nasıl işlediği sonunda tüm ayrıntısıyla ortaya çıktı. Binance, 6,3 milyar dolarlık saldırıyla ilgili ilk olay raporunu medya brifingiyle yayımladı. Ortaya çıkan tablo, tek bir gece değil, aylar boyunca özenle kurulmuş bir operasyon: Şirketin eş CEO’su Richard Teng, ‘Bu tek bir hata ya da tek bir ihlal değildi; aylar boyunca inşa edilmiş bir kampanyaydı’ dedi.
Raporun merkezinde iki mühendis var. Birincisi haziranda, bir yapay zekâ aracı ararken internet reklamıyla yönlendirildiği, kurcalanmış bir Homebrew paketi indirdi. Binance güvenlik ekibi anomaliyi yakaladı, cihazı değiştirdi ve kimlik bilgilerini yeniledi; ancak saldırganlar bu mühendisin rolünü ve cüzdan ekibindeki meslektaşlarını öğrenmişti. İkinci mühendis ise eylülde meşru bir iş arama platformunda ‘proje direktörü’ kimliğine bürünen biri tarafından hedef alındı: Sahte bir insan kaynakları temsilcisiyle görüntülü görüşme, kişisel fotoğraflarla beslenmiş bir sosyal medya hesabı ve ardından kurgusal bir şirketin sahte CEO’suyla ikinci tur. Mühendis, iş bilgisayarına indirmesi istenen ‘kodlama ödevi’ni çalıştırdığında, uç nokta güvenliğini atlatan sıfır gün kötü amaçlı yazılımla sistem açıldı.
Zincirin son halkaları hızlı gelişti. 20 Ekim’de saldırganlar, sahte görüşmeyle ele geçirilen makineyi ve borsanın dahili yapay zekâ aracını kullanarak iki cüzdan mühendisinin bilgisayarına ulaştı. 29 Ekim’de çalınan kimlik bilgileriyle bir kapsayıcı dağıtıp kötü amaçlı betiği çalıştırdılar; paralar aynı akşam TSİ 23.05’te akmaya başladı. Güvenlik şefi Jimmy Su’ya göre saldırganlar, Ethereum’un EIP-7702 özelliğini kullanarak sıcak bir cüzdan üzerinde kötü niyetli yürütme izinleri kurdu. Binance’in sıcak cüzdanları çok taraflı hesaplama ile korunduğundan tek bir anahtar bu izni geri alamadı ve çevreleme ancak ertesi gün TSİ 03.10’da tamamlanabildi.
Rapor, taze düzeltme rakamları da içeriyor: Borsa, etkilenen varlıkların yaklaşık yüzde 98’ini şirket kaynaklarıyla tamamlayarak kullanıcılara geri verdiğini, yaklaşık 2,85 milyar dolarlık varlığın dondurulduğunu ya da ele geçirildiğini belirtti. Şirket, 2026 boyunca Kuzey Kore bağlantılı 57 ayrı girişimi engellediğini ve olayı bağımsız siber güvenlik uzmanlarına inceleteceğini açıkladı. Fortune’ın aktardığı ek detay çarpıcı: Binance, kamuya dönük olmayan rollerdeki çalışanların LinkedIn profili bulundurmasına izin vermiyor.
Vaka, sektörün en eski dersiyle bitiyor: En sağlam kriptografik duvar bile, anahtarına erişen insan üzerinden aşılabilir. Kuzey Kore bağlantılı grupların sahte işe alım tuzakları yıllardır biliniyor; ancak dünyanın en büyük borsasının, kendi dahili yapay zekâ aracını saldırı zincirine alet eden böyle bir kampanyayı önleyememesi, yapay zekâ çağında kurumsal güvenliğin yeni cephesini tanımlıyor.