--- title: "Kripto borsası Binance'teki büyük sızıntı: Saldırganlar bilinen bir açığı kullandı" url: "https://teknotayf.com/haber/kripto-borsasi-binance-teki-buyuk-sizinti-saldirganlar-bilinen-bir-acigi-kullandi" markdown_url: "https://teknotayf.com/haber/kripto-borsasi-binance-teki-buyuk-sizinti-saldirganlar-bilinen-bir-acigi-kullandi.md" site: "teknotayf.com" language: "tr" published: "2026-11-13 16:00:00" updated: "2026-11-15 04:16:16" category: "Siber Güvenlik" tags: ["Kripto Para","Siber Güvenlik","Ethereum","Binance","Blokzincir"] source: "Dark Reading" --- # Kripto borsası Binance'teki büyük sızıntı: Saldırganlar bilinen bir açığı kullandı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/kripto-borsasi-binance-teki-buyuk-sizinti-saldirganlar-bilinen-bir-acigi-kullandi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Binance, Ethereum'un yeni hesap soyutlama özelliğindeki bir açığı kullanan siber saldırganlar tarafından hedef alındı. Geliştiricilerin sistemlerine sızan korsanlar, yaklaşık 6,34 milyar dolarlık kripto varlığı transfer etmeyi başardı. - **Yayın tarihi:** 2026-11-13 16:00 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Kripto Para, Siber Güvenlik, Ethereum, Binance, Blokzincir - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/cybersecurity-operations/attackers-binance-breach-targeted-weakness-missing-controls) ![Kripto borsası Binance'teki büyük sızıntı: Saldırganlar bilinen bir açığı kullandı](https://teknotayf.com/assets/uploads/2026/11/7a974521563fe70a685edef29a6d7620.jpg) Siber saldırganlar, blokzincir karmaşıklıklarını ve özellikle saldırganlar tarafından yerleştirilen 'sweeper' (süpürücü) yazılımları kullanarak, borsaların zararını sınırlamak için kurduğu güvenlik önlemlerini etkisiz hale getiriyor. 29 Ekim'de siber hırsızlar, **Binance** borsasına ait en az 11 cüzdandan kendi kontrol ettikleri adreslere yaklaşık **6,34 milyar dolar** değerinde çeşitli kripto paralar transfer etti. Uzmanlar, Binance'in kötü niyetli yetkilendirmeleri hızla tespit edip önceden test edilmiş bir 'acil durdurma anahtarı' (kill switch) ile devre dışı bırakacak güvenlik kontrollerini kurmadığını savunuyor; bu durum diğer kripto firmaları için de bir uyarı niteliğinde. Binance'in dahili güvenlik sistemleri dakikalar içinde uyarı verse de saldırganlar, Ethereum'un 2025 yılındaki EIP-7702 önerisiyle tanıtılan yeni bir hesap soyutlama özelliği olan akıllı hesapları kullandılar. Bu yöntemle sisteme 'sweeper' olarak bilinen kötü amaçlı bir kod yerleştirdiler. Bu kod, Binance'in ana hazine cüzdanında bulunan ve toplamda yaklaşık 2,5 milyar dolar değerindeki 60'tan fazla kripto parayı, saldırganların sadece birkaç dakika önce oluşturduğu adrese aktardı. Blokzincir güvenlik firması BlockAid'in analizine göre, işlem sonunda cüzdanda sadece tek bir ETH coin kaldı. Saldırganların diğer cüzdanlardan aynı adrese yaptığı büyük transferler Binance'te dahili alarmları tetikledi. Şirket karşı önlemler alsa da akıllı hesap yetkilendirmesi yaklaşık dört saat boyunca çalışmaya devam ederek ek fonların boşaltılmasına neden oldu. BlockAid kurucu ortağı ve CEO'su Ido Ben-Natan, EIP-7702 yetkilendirmesinin kalıcı bir delegasyon olduğunu belirtti. Ben-Natan, yetkilendirme zincire bir kez işlendiğinde, saldırganların kontrolündeki kodun, cüzdan sahibi yetkiyi iptal edene kadar sıcak cüzdandaki mevcut ve sonradan yatırılan tüm fonları taşıyabileceğini söyledi. Bu işlem belirli bir tutar veya hedef adres içermediği için çekim kontrollerine takılmıyor. EIP-7702 yetkilendirmesiyle etkinleştirilen süpürücü fonksiyonu bilinen bir tehdit olmasına rağmen Binance, 3 Kasım'da yayınladığı raporunda, bu yetkilendirmelerin blokzincire akan işlemleri durdurma çabalarını engellediğini kaydetti. Şirket raporunda, bu yetkilendirmelerin kurulduktan sonra saldırganların Binance'in normal çekim altyapısından bağımsız olarak varlık taşımaya devam etmelerine olanak tanıdığını belirtti. Binance, zincir üzerindeki bu yetkileri iptal etmek için ek işlemlere ihtiyaç duydu; çekimlerin askıya alınması ve sıcak cüzdan servislerinin kapatılması, mevcut zincir üstü yetkilendirmeleri otomatik olarak geçersiz kılmadı. ## Temel Önlem: Geliştiricileri Korumak ve Eğitmek EIP-7702 yetkilendirme saldırısının gerçekleşmesine yol açan ilk zayıf nokta geliştiriciler oldu. Binance'in raporuna göre, bir geliştirici Mac'ler için açık kaynaklı bir paket yönetim aracı olan Homebrew'un modifiye edilmiş bir versiyonunu indirdi. İkinci bir geliştirici ise sahte bir iş görüşmesine kandırılarak sistemini ele geçiren kötü amaçlı bir yazılım 'ödevi' aldı. Saldırganlar, iki geliştiricinin sistemine sızmanın yanı sıra üçüncü bir geliştiricinin sistemini de kullanarak imzalama yetkileri elde etti. Blokzincir analistleri arasında 'Binance 14' olarak bilinen hedef cüzdanı doğru zamanda doldurmak için 50 adet önceden imzalanmış yetkilendirme oluşturdular. Olay müdahale firması Sygnia'nın Kuzey Amerika Başkan Yardımcısı Avi Sambira, benzer bir geliştirici hedeflemesinin 21 Şubat 2025'teki ByBit Ethereum soygununda da yaşandığını söyledi. Sygnia'nın analizine göre, hırsızlar asıl soygunun yaklaşık üç hafta öncesinde, çoklu imza güvenliğini sağlamak için Ethereum ve diğer merkeziyetsiz otonom organizasyonlar (DAO) tarafından kullanılan Safe{Wallet} geliştiricisinin Mac bilgisayarına sızmıştı. Sambira, bir AWS token'ının kullanıldığını ve saldırganların imzalama arayüzünü değiştirmeden önce yaklaşık iki hafta boyunca Safe{Wallet}'ın bulut ortamında faaliyet gösterdiğini belirtti. Binance'in açıklamalarının da benzer bir modelle uyumlu göründüğünü, uç nokta ve dahili araçların ele geçirilmesinin cüzdan imzalamaya yönelik kimlik bilgileri, token veya konteyner erişiminden önce geldiğini ifade etti. FBI, bu olayda da doğrudan Kuzey Koreli siber suçluları suçladı. FBI, saldırıların arkasındaki grup olan TraderTraitor ile bağlantılı 600'den fazla Ethereum, 19 Bitcoin ve 1 SOL adresi içeren bir liste yayınladı. Sambira'ya göre borsalar ve kripto finans şirketleri; geliştiricilerini, tedarikçilerini ve satıcılarını altyapılarının kritik unsurları olarak görmeli. Saldırganların giderek daha fazla geliştirici kimliklerini, depolarını, CI/CD hatlarını, bulut kontrol panellerini ve üçüncü taraf entegrasyonlarını hedef aldığını vurguladı. Bu varlıklar, çekim yetkisine sadece bir veya iki güven sınırı uzaklıkta bulunuyor. Sambira, TraderTraitor'ın gelişiminin eski teknikleri terk etmekten ziyade, bunları daha sofistike bir güven saldırısında birleştirmek olduğunu söyledi. Sahte işe alımcılar ve kötü amaçlı kodlama ödevleri başlangıç noktasını oluştururken; çalınan oturumlar, bulut kimlik bilgileri ve güvenilir arayüzler bu başlangıcı işlem kontrolüne dönüştürüyor. ## Şüpheli İşlemlere ve Yetkilendirmelere Dikkat Siber saldırganlar önceden oluşturdukları yetkilendirmeleri kullandıklarında, her işlemin geçerli bir 'nonce' (sıralı sayaç) gerektirmesi nedeniyle 50 tanesini aynı anda gönderdiler. Böylece 50 yetkilendirmelik bir pencere kullandılar ve bunlardan sadece birinin eşleşmesi yeterli oldu. Kötü amaçlı bir süpürücü kurmak için yapılan bu 'nonce püskürtme' işlemi yeni ancak bilinen bir tehdit. Ağustos ayındaki USENIX Security konferansında sunulan bir makalede, Hong Kong Bilim ve Teknoloji Üniversitesi ile iki Çinli okuldan araştırmacılar, EIP-7702 mekanizmasıyla en az 924 kötü amaçlı akıllı sözleşmenin etkinleştirildiğini ve bunun en az 2,3 milyon dolarlık kayba yol açtığını ortaya koydu. BlockAid kendi araştırmasında dört farklı olayda en az 1,1 milyon dolarlık kayıp tespit etti. Firma, ilk milyar dolarlık saldırının 2026 sonundan önce geleceğini öngörmüştü ancak tahmininde 100 kat yanıldı. BlockAid'den Ben-Natan, bu saldırıların bir dizi kontrolle durdurulabileceğini veya etkisinin azaltılabileceğini belirtti. Gerçek zamanlı kripto işlem yapan şirketlerin; kötü niyetli kuralları tespit etmek için simülasyonlar kullanması, işlem boyutları ve hedefleri üzerinde politikalar uygulaması, büyük işlem patlamaları için uyarılar oluşturması ve imzalama işlemini durdurup cüzdan dolumlarını engelleyen hızlı bir acil durdurma anahtarı konuşlandırması gerektiğini söyledi. Binance'in bu kontrollerin hiçbirine veya sadece bazılarına sahip olduğu görülüyor. Şirketin, blokzincirine kaydedilen işlemleri durdurması yaklaşık dört saat sürdü (saldırı 20:05 UTC'de başladı ve son işlem 23:56 UTC'de kaydedildi). Sonrasında şirket, çalınmaya çalışılan varlıkların yaklaşık **2,85 milyar dolarını** dondurmayı ve geri almayı başardı. Binance, yorum taleplerine yanıt vermedi. Binance, iyi bir izleme sistemine sahip olmanın ve anormal işlemleri tespit edebilme yeteneğinin önemini vurguluyor. Saldırılara yanıt vermedeki zorluk, kripto borsalarının ve altyapı firmalarının hırsızlık ve dolandırıcılıkla mücadelede karşılaştığı sorunları gözler önüne seriyor. Binance, saldırıları tespit etmek ve transferleri gerçek zamanlıya yakın şekilde engellemek için iç içe geçmiş kontroller oluşturmuştu; ancak devlet destekli saldırganlar, EIP-7702 süpürücüsü aracılığıyla bu kontrolleri aşmanın bir yolunu buldu. TRM Labs küresel politika başkanı ve eski federal savcı Ari Redbord, saldırganların fonları hızla dışarı çıkarabilmesi nedeniyle kripto firmaları üzerindeki baskının artacağını söyledi. Redbord, yıllardır büyük finans kurumlarına, teknoloji şirketlerine ve hatta devlet kurumlarına yönelik hack olayları gördüklerini, ancak kriptoda farkın fonların gerçek zamanlı çalınabilmesi olduğunu belirtti. Geri alma penceresinin olmadığını ve paranın dakikalar içinde yok olduğunu ekledi. Sygnia'dan Sambira, kripto finans firmalarının dört alanda görünürlüğe sahip olması gerektiğini belirtti: kimlik ve yetki yönetimi, altyapı ve yürütme bütünlüğü, saklama ve işlem yetkilendirmesi ile zincir içi ve zincir dışı tespit. Sadece blokzincir üzerindeki işlemleri izleyen şirketlerin, değişiklikleri çok geç fark ettiğini ekledi. Ayrıca kripto firmalarının, işlemleri başlatabilen, onaylayan, değiştiren veya yürüten tüm kimlikleri ve sistemleri titizlikle takip etmesi ve bu hesapların yetkilerini askıya almaya hazır olması gerektiğini söyledi. Sambira, en yüksek koruma değerine sahip kontrollerin; kimlikleri ve tokenları iptal etme, transferleri durdurma, cüzdanları izole etme ve etkilenen altyapıyı dakikalar içinde yeniden kurma yeteneklerini önceden tanımlamak olduğunu belirtti. Bu yeteneklerin kriz anı gelmeden test edilmesi ve düzenli olarak yeniden denenmesi gerektiğini vurguladı. TRM Labs'ten Redbord, bu kontrollerin test edilmesinin kritik olduğunu çünkü şirketlerin bunların gerçek zamanlı çalışacağından emin olmaları gerektiğini söyledi. Kripto ile uğraşan her şirket için uygulanabilir kısmın, bu kalıpların tanınabilir olması olduğunu belirtti. Gerçek zamanlı izleme yapılırsa, en önemli an olan ilk saniyelerde harekete geçilebileceğini, her şeyin hızla ilgili olduğunu söyledi. İşlemlerin izlenmesi şüpheli faaliyetleri hızla tespit edebilir ve Binance ile ByBit vakalarında olduğu gibi, çok fazla değer kaybedilmeden saldırıları durdurabilir. Redbord'a göre yeterli yanıtın anahtarları hız ve çeşitli paydaşlarla olan ilişkilerdir. Tether ve Circle gibi ihraççıların, çalınan tokenları tutan adresleri dondurabileceğini, ardından bu tokenları yakıp aynı miktarı hak sahibine yeniden tanımlayabileceğini belirtti. Fonların peşinden koşmaya gerek kalmadan, zincir üzerinde telafi edilebileceğini ekledi. Hemen hemen tüm ihraççılar, borsalar, blokzincir istihbarat firmaları ve birçok küresel kolluk kuvveti, TRM Labs ve diğer sektör oyuncuları tarafından kripto olaylarının erken tespiti ve istihbarat paylaşımı için oluşturulan Beacon Network'ün bir parçası. Ayrıca, kripto bağımlı işletmelerin çalıştıkları borsaların çekim limitleri ve izinli listeleri olduğundan emin olmaları, imzalama sistemlerini bu amaçla ayrılmış bilgisayarlarda izole etmeleri ve mühendislerini sosyal mühendisliğe karşı sürekli eğitmeleri gerektiğini belirten Redbord, organizasyonların tespit, kontrol altına alma ve dondurma sürelerini saniyelere indirmesi gerektiğini söyledi. Büyük işlemlerin onaylanmasının, sadece bu amaçla kullanılan sistemlerden gelen çoklu imzalar gerektirmesi gerektiğini ve işletmelerin kurtarma sürecinde operasyonel kalmalarını sağlayacak bir yanıt planına sahip olmaları gerektiğini ekledi. Binance, ilk olay raporunda etkilenen sistemlerin belirlenmesi, temizlenmesi veya değiştirilmesi ve cüzdanların yenilenmesi dahil bazı adımları attığını belirtti. Şirket ayrıca çalışan cihazlarında 'geliştirilmiş' güvenlik taramalarını tamamladığını, kimlik bilgilerini yenilediğini ve yapay zeka tabanlı gelişmiş davranışsal anomali tespiti sistemini devreye aldığını açıkladı. Şirket, kötü niyetli kişilerin güvenliği tehlikeye atmasını önlemek için uyguladıkları ve uygulamaya devam ettikleri bazı güvenlik önlemlerinin gizli kalacağını belirtti. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/kripto-borsasi-binance-teki-buyuk-sizinti-saldirganlar-bilinen-bir-acigi-kullandi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.