Binance’ten 6 milyar dolar çalındı, neredeyse yarısını bir dondurma düğmesi kurtardı

29 Ekim 2026, 20:20:59 UTC: Ethereum ağına 14,46 dolar ücretli bir işlem düştü. İşlem hiç para taşımıyordu, değer alanında sıfır yazıyor. Saldırgan aynı günün erken saatlerinde planı kendi cüzdanlarında prova etmişti: her seferinde 2 ila 6 dolar hareket ettirmişti. Üç buçuk dakika sonra, analistlerin Binance 14 adıyla bildiği bir Binance sıcak cüzdanından 167.464 ether ve 1,6 milyar dolarlık USDT stablecoin çıktı. Sabaha karşı borsa hasarı yaklaşık 6,3 milyar dolar olarak açıkladı. Bağımsız analistlerin şimdiye kadarki hesapları daha düşük: 5,3 ile 5,9 milyar dolar arası. Bir önceki rekor, Şubat 2025’te Bybit borsasından yapılan hırsızlıktı ve yaklaşık 1,5 milyar dolardı.

Yine de asıl tuhaf olan büyüklük değil. Ganimetin neredeyse yarısı, yaklaşık 3 milyar dolar, saatler içinde durduruldu. Polis durdurmadı, “blokzincirin kendisi” de değil; bunu, dondurma düğmesi olan bir avuç şirket yaptı. Kripto paralar da zaten kimsenin böyle bir düğmesi olmasın diye icat edilmişti.

On dört dolarlık bir vekâletname

Borsa müşteri parasını iki tür cüzdanda tutar. Soğuk cüzdanlar internetten kopuktur ve ana rezervi barındırır. Sıcak cüzdanlar ise sürekli bağlıdır: günlük çekimler bunların üzerinden geçtiği için içlerinde hep bir çalışma bakiyesi durur. Dünyanın en büyük borsasında bu bakiye milyarlarca doları bulur.

Saldırının anahtarı EIP-7702 adlı bir özellikti. Ethereum’a 7 Mayıs 2025’te Pectra güncellemesiyle geldi. Basitçe söylemek gerekirse bir vekâletname: sıradan bir cüzdan, dışarıdan bir programa kendi adına işlem yapma yetkisi veriyor. Kolaylık için tasarlandı; birkaç eylemi tek tıkta toplamak ya da ücreti başkasına ödetmek gibi. Böyle bir yetkiyi yalnızca cüzdanın kendisi imzalayabilir. Sahibi iptal edene kadar da geçerli kalır.

14,46 dolarlık işlem tam olarak böyle bir yetkiydi. İçinde bunlardan 50 tane vardı ve her biri Binance 14’ü, saldırganın dört saat önce yüklediği bir “süpürücü” programa devrediyordu. Elliden biri tuttu. Bir çek defteri düşünün: yetki yalnızca belirli numaralı bir çek için geçerli. Sıcak cüzdan bu “çekleri” durmadan yazıyor, dolayısıyla sıradaki numarayı tahmin etmek zor. Art arda atılan elli imza, birinin tutacağından emin olmanın bir yolu gibi görünüyor.

Süpürücü, Binance 14’ü tek işlemde boşalttı ve geride yalnızca 1 ether bıraktı. Sonraki 12 dakika içinde borsanın dört ağdaki on sıcak cüzdanından daha aynı adrese para aktı. Blokzincir güvenlik şirketi Blockaid saldırıyı böyle yeniden kurdu.

Saldırganın cüzdanın imzasını nasıl elde ettiği hâlâ belirsiz. Binance’in ön açıklamasına göre her şey, bir DevOps mühendisinin, yani sunucuları ve yazılım dağıtımını yöneten türden bir çalışanın ele geçirilen dizüstü bilgisayarıyla başladı. Davetsiz misafir bu bilgisayar üzerinden bir hizmet konteynerine ulaştı ve yetkisiz çekim taleplerini oradan gönderdi. Borsa, herhangi bir cüzdanın özel anahtarının sızdığına dair kanıt bulmadığını söylüyor. Bu doğruysa, hırsızın anahtar çalmasına hiç gerek kalmadı. Yetkiyi kendisi adına imzalatmayı, borsanın kendi sistemine yaptırdı.

Bitcoin’de olmayan düğme

USDT ve USDC’ye stablecoin deniyor. Bunlar, Tether ve Circle adlı iki özel şirketin çıkardığı dijital dolarlar; her biri tokenını bir dolar karşılığında geri almayı vaat ediyor. Bu tokenların nadiren konuşulan bir özelliği var: ihraççı, ağdaki herhangi bir adresi engelleyebilir. USDC şartlarında Circle, bir adrese ve adresten yapılan transferleri engelleme hakkını açıkça saklı tutuyor. Tether’in de aynı yeteneği var.

O gece de bunu yaptılar. Tether CEO’su Paolo Ardoino, şirketin 1,567 milyardan fazla USDT’yi dondurduğunu yazdı. Circle CEO’su Jeremy Allaire, kolluk kuvvetleriyle koordinasyon içinde 800 milyondan fazla USDC’nin engellendiğini söyledi. Ripple kendi stablecoin’inden yaklaşık 200 milyon doları, World Liberty Financial ise yaklaşık 27 milyon doları durdurdu. Genelde merkeziyetsiz diye anılan Arbitrum bile, Güvenlik Konseyi’nin kararıyla 74,56 milyon ARB tokenını dondurdu.

Ether ve bitcoin ise bambaşka bir hikâyeydi. İhraççı yok, düğme yok. Analiz şirketi Glassnode, çalınan varlıklar arasında 17.985 bitcoin saydı, değeri yaklaşık 1,45 milyar dolar. İlk süpürmeden gelen ether da saldırganın elinde kaldı. Doğru anahtarla imzalanmış bir transferi dünyada hiç kimse geri alamaz. Bir hırsız için bitcoin’in en iyi özelliği bu. Saldırganın borsanın ayrı bitcoin cüzdanlarına nasıl ulaştığını Binance henüz açıklamadı. Çekimleri sistemin kendisinin imzaladığı hizmet konteyneri teorisi bunu açıklayabilirdi.

Veto yetkili bir kurtarıcı

Aslında saçma bir durum bu. Kripto tarihinin en büyük hırsızlığının neredeyse yarısını, “gerçek” kriptonun sahip olmaması gereken araçlar durdurdu. Bitcoin, yaratıcısının tasarladığı gibi davrandı: imzalanmış bir transfer kesindir. Dijital dolarlar ise bir banka gibi davrandı.

Hırsızın elinden bir buçuk milyar doları alan düğme herkese karşı çalışır. Düğmeye bir mahkeme değil, bir şirket basar. Bu da dakikalar sürer. USDT sahibi, hesapta bir dolara değil, Tether’in tokenı geri alma vaadine sahip; o vaadin de bir şartı var. Birçok kişi bu takası makul bulacaktır: bankalar da şüpheli transferleri engeller. Yalnız stablecoin, cebinizdeki nakitten çok banka hesabına yakın ve bu gece aradaki farkı hiçbir konferanstan daha iyi gösterdi.

Binance müşterileri için bunun anlamı

Borsanın kendi verilerine göre Binance’in 335 milyondan fazla kayıtlı kullanıcısı var. Saldırı gecesi yatırma ve çekimleri durdurdu; 30 Ekim sabahı itibarıyla ne zaman yeniden başlayacağını söylememişti. Binance’in kurucu ortağı Yi He, borsanın SAFU sigorta fonundan ve kendi parasından “tüm hack zararlarını karşılayacağına” söz verdi. Kurucu Changpeng Zhao ise hırsızlığı neredeyse bir seyirci gibi izledi. “Binance’e yapılmış bir hack gibi görünüyor” diye yazdı X’te; aynı paylaşımda artık borsayı yönetmediğini ama kullanıcı fonlarının tamamen karşılanmasını beklediğini de not etti.

SAFU fonu Şubat 2026’dan beri bitcoin olarak tutuluyor, 15.000 bitcoin. 30 Ekim fiyatıyla bu yaklaşık 1,2 milyar dolar. Borsanın kendi tahmini doğruysa, zararın dondurulmayan kısmı, yaklaşık 3,3 milyar dolar, bunun neredeyse üç katı. Yani açığın büyük bölümünü borsanın kendi parasıyla kapatması gerekecek. Bu arada fonun kendisi, saldırganın aldığından daha az bitcoin barındırıyor.

Piyasalar hemen tepki verdi, ancak teknoloji şirketlerinin zayıf bilançoları da onları aşağı çekiyordu. Bitcoin 77.000 doların altına düştü, altı haftanın en düşük seviyesi. Borsanın kendi tokenı BNB bir günde yüzde 8’den fazla değer kaybetti.

Kimin yaptığı bilinmiyor. Blokzincir araştırmacısı ZachXBT ile Blockaid şirketi olası suçlu olarak Kuzey Kore’yi işaret etti, ama saldırıyı henüz resmen hiçbir kurum birine atfetmedi. Bybit hırsızlığını ise FBI Kuzey Kore’ye atfetmişti. Blockaid’e göre saldırgan ilk işlemleri, transferlerin izini bulandıran bir karıştırıcı olan Tornado Cash üzerinden finanse etti. Binance, olgular doğrulandıktan sonra ayrıntılı bir teknik değerlendirme yayımlayacağına söz veriyor.

Yıllardır kripto topluluğu, paranın bir dur düğmesi olup olmaması gerektiğini tartışıyor. Tek bir gecede o düğme yaklaşık 3 milyar doları kurtardı. Tartışma artık muhtemelen şuraya kayacak: düğmeye ne zaman basılacağına kim, hangi kurallara göre karar verecek?