Kuzey Kore'li hackerların geçen hafta Binance'den 6,3 milyar dolar çaldığı iddia edildi; bu kayıtlara geçen en büyük kripto hack'i oldu.
Yöntemleri sahte kimliklerle işe girmeden kod kütüphanelerini zehirlemeye ve üçüncü taraf cüzdan altyapısını tehlikeye atmaya kadar uzanıyor.
Yapay zekâ bu saldırıları daha ikna edici hale getiriyor; sahte röportajlarda derin sahte görüntülerin kullanıldığı görülüyor.
Kuzey Kore'den gelen hackerlar kripto paraları çalmada son derece etkili. Bir tahmin, geçen yılki tüm kayıpların yüzde 60'ını DPRK bağlantılı gruplara bağlıyor. Bu hackerlar birden fazla saldırı vektörü kullanıyor; bu da olay anında tespit etmeyi zorlaştırıyor.
Geçen hafta, Kuzey Kore'li hackerların iddia edildiği üzere 20 dakika içinde Binance'den 6,3 milyar dolar boşaltması, kayıtlara geçen en büyük kripto hack'i oldu. Saldırganlar sahte bir iş görüşmesiyle bir Binance mühendisinin iş bilgisayarına sızdı, dahili bir yapay zekâ aracını kullanarak diğer mühendislerin bilgisayarlarının kontrolünü ele geçirdi ve çalınan kimlik bilgileriyle dahili bir cüzdan imzalama servisini ele geçirdi; bunu borsa açıkladı.
— Binance (@binance) 3 Kasım 2026
Geçmişte Kuzey Kore'li hackerların sahte kimliklerle kripto şirketlerine işe alındığı, üçüncü taraf altyapı üzerinden saldırdığı ve yaygın kullanılan kod kütüphanelerini zehirlediği biliniyor. Daha yakın zamanda bunların hepsini daha ikna edici kılmak için yapay zekâ kullanmaya başladılar.
Kuzey Kore'li hackerların kripto saldırılarında kullandığı yöntemlerden bazı örnekler şöyle.
Sahte çalışanlar
Binance baş güvenlik sorumlusu Jimmy Su, Ağustos 2025'te Decrypt'e verdiği demeçte borsanın her gün şüpheli Kuzey Kore özgeçmişlerini çöpe attığını ve o tarihte bilinen hemen hemen tüm büyük DPRK hack'lerinde saldırıyı kolaylaştıran sahte bir çalışanın yer aldığını söyledi.
Su, özgeçmişlerde adayın Kuzey Kore'den olduğunu gösteren belirleyici işaretler bulunduğunu ancak borsa kırmızı bayrakların ayrıntılarını açıklamaya istekli olmadığını söyledi. Bazen kötü niyetli aktörler görüşme aşamasına kadar ilerliyor ve saldırganlar yüzlerini ve seslerini değiştirmek için derin sahte teknolojiyi kullanıyor.
"Tek gerçek iyi tespit, bunların neredeyse her zaman yavaş bir internet bağlantısına sahip olması," diye anlattı Decrypt'e. "Olan şey, çeviri ve ses değiştiricinin görüşme sırasında çalışıyor olması… işte bu yüzden her zaman gecikiyorlar."
İşe alınanlar genellikle işte şüpheli derecede iyi oluyor. Su, Kuzey Kore'li çalışanların genellikle bir şirketin en iyi performans gösterenleri arasında yer aldığını, bunun muhtemelen birkaç kişinin zaman dilimlerine göre tek bir rolü paylaştığı için olduğunu söyledi.
Tehdit dinmiyor. Binance, güvenlik ekibinin 2026'da sahte iş görüşmelerinden sahte video konferans uygulamalarına kadar uzanan tekniklerle 57 şüpheli Kuzey Kore bağlantılı siber tehdit vakasını tespit edip engellediğini açıkladı.
Sahte iş görüşmeleri
Saldırganlar dolandırıcılığı tersine çevirip zaten tanınmış kripto şirketlerinde çalışan kişileri hedeflemek için kendilerini işe alım uzmanı olarak gösteriyor. Genellikle saldırgan, görüşme sırasında video veya ses sorunu olduğunu iddia edip kurbanın cihazına kötü yazılım bulaştıran bir Zoom güncelleme bağlantısı gönderiyor.
"DPRK grubu ayrıca dışa dönük çalışanlarla görüşmeler ayarlamaya çalışacak," diye anlattı Su Decrypt'e. "Ya bir DeFi projesi ya da yatırım firması olarak. En kötüsü, onları üst düzey bir iş için işe alacaklar, iki kat, üç kat daha fazla ödeme teklif edecekler, sadece görüşmeye getirebilmek için."
Buna göre Binance saldırısı böyle başladı. Eylülde bir Binance yazılım mühendisine meşru bir iş arama platformu üzerinden proje direktörü gibi davranan biri ulaştı ve iki görüşme ayarladı. İlk görüşmede, varsayılan bir insan kaynakları temsilcisi, kişisel fotoğraf ve videolarla dolu bir sosyal medya hesabını paylaşarak canlı video görüşmesinde güven oluşturdu; Binance bu yaklaşımı "öncekilerden daha ileri ve aldatıcı" olarak nitelendirdi.
İkinci görüşme bir sohbet uygulamasında yapıldı; mühendise iş bilgisayarına bir "ödev" indirmesi söylendi. Kod deposu, kurulum sırasında çalışan ve meşru bir geliştirici aracını kötü amaçlı bir sürümle değiştirip saldırgan kontrolündeki bir sunucuya bağlanan daha önce bilinmeyen kötü yazılım içeriyordu; bu da Binance'in güvenlik araçlarını atlatıyordu.
Kuzey Kore bağlantılı bir grup, yaklaşık Aralık 2025 ile Temmuz 2026 arasında benzer yöntemlerle 100'den fazla ülkede en az 30 bin cihazı enfekte etti. Grup 7 binden fazla kripto cüzdanından fon veya kimlik bilgisi aldı ve 10,71 milyon doları Kuzey Kore'ye taşıdı.
Su sızıntısı olarak bilinen ya da Contagious Interview olarak adlandırılan grup, adaylara teknik görüşme ya da indirilmesi gereken kötü amaçlı dosyalar içeren kod görevi vererek yapay zekâ, kripto ya da NFT şirketi gibi davranıyordu. Bazıları görüşmelerde yapay zekâ yüz değiştirme yazılımı kullanıp videolarını kesiyor ve kötü bağlantı bahanesiyle adayın da aynısını yapmasını istiyordu.
Kütüphane zehirleme
Binance'den Su, Decrypt'e Kuzey Kore'li hackerların açık kod kütüphanelerini zehirlediğini ve bunu sahte çalışanların ardından ikinci en yaygın saldırı yöntemi olarak sıraladığını söyledi.
Node Package Manager yani NPM paketleri, geliştiricilerin sıkça kullandığı yeniden kullanılabilir açık kaynak kod koleksiyonlarıdır. Saldırganlar bu paketleri klonlayıp orijinal işlevini korurken küçük bir kötü amaçlı kod satırı ekleyebilir. Bu sayede kurban zehirlenmiş kod kütüphanesini kullanabilir ve fark etmeyebilir; kötü amaçlı kod, üzerine daha fazla şey inşa edildikçe zamanla daha derine gömülür.
Eylül 2025'te yazılım güvenliği firması ReversingLabs, Ethereum akıllı sözleşmelerini kullanarak kötü yazılım indiren iki NPM paketi buldu; firma daha önce böyle bir şey görmediğini söyledi. Paketler, çoğunlukla kripto ticaret botu olarak markalanmış ve binlerce taahhüt ve yıldız içeren, ReversingLabs'ın çoğunun sahte olduğunu düşündüğü daha geniş bir GitHub deposu ağına bağlıydı.
Bu taktik, zehirlenmiş blok zinciriyle ilgili açık kod kütüphaneleri üzerinden kullanıcıları hacklemeye çalışan kötü niyetli aktörlerin "sofistike kampanyası"nın parçasıydı; Binance daha önce bu saldırı vektörünü Kuzey Kore'li hackerlara bağlamıştı.
Tehdidi karşılamak için Su, Binance'in çalışanlarının NPM kütüphanelerini ince elekten geçirdiğini söyledi.
Binance hack'inde oynanmış geliştirici araçları da rol oynadı. Haziranda Binance'in cüzdan DevOps ekibinden bir üye, arama motoru üzerinden bulduğu bir yapay zekâ kodlama aracını kurmaya çalışırken oynanmış bir Homebrew yazılım yükleyicisi indirdi; borsa bunu açıkladı. Güvenlik ekibi sorunu yakaladı, cihazı değiştirdi ve kimlik bilgilerini yeniledi; ancak olay mühendisi ve cüzdan altyapı ekibindeki meslektaşlarını saldırganlara açığa çıkardı.
Altyapı saldırıları
Binance'den önce en büyük kripto hack'i rekoru, Şubat 2025'te 1,4 milyar dolar kaybeden Bybit'e aitti. Siber güvenlik firmaları Kuzey Kore'li hackerların saldırıyı, borsa tarafından kullanılan bir kripto cüzdan sağlayıcısı olan Safe'in altyapısına kötü amaçlı kod yerleştirerek gerçekleştirdiğini ortaya çıkardı.
Güvenlik firmaları, Safe'in çevrimiçi altyapısına doğrudan kötü amaçlı JavaScript kodunun enjekte edildiğini söyledi. Saldırganların bunu nasıl başardığı net değildi.
Bybit, Decrypt'e altyapısının tehlikeye girmediğini ve hack'in tamamen üçüncü tarafın istismar edilmesiyle gerçekleştiğini söyledi.
Binance saldırısı borsanın kendi sistemlerini hedef aldı. 29 Ekim'de saldırgan çalınan kimlik bilgileriyle bir konteyner dağıtıp yetkisiz erişimle dahili bir cüzdan imzalama servisine ulaştı; bu da normal para çekme sürecinin dışında işlem başlatmasını sağladı. Ethereum'da imzalama servisini kullanarak EIP-7702'yi istismar etti; bu mekanizma bir hesaba akıllı sözleşmeye yürütme yetkisi verme imkânı tanır ve saldırgan kontrolündeki bir sözleşmeye Binance sıcak cüzdanının kısmi kontrolünü verir.
Bu zincir üstü yetkilendirmeler Binance para çekmeyi askıya aldıktan sonra bile çalışmaya devam etti. Sıcak cüzdan çok taraflı hesaplama kullandığı için Binance'in bunları hızla iptal edebileceği tek bir özel anahtar yoktu; borsa bunu açıkladı.
Yapay zekâ destekli dolandırıcılıklar
Yukarıda belirtilen saldırı vektörlerinin her biri yapay zekâ araçlarıyla turbo şarj edilebilir.
Yılın başlarında Google, Kuzey Kore'den gelen kripto şirketlerini hedef alan yapay zekâ destekli bir kötü yazılım kampanyası konusunda uyardı. Benzer şekilde Binance'den Su da yapay zekâ araçlarının saldırıların etkinliğini artırmak için kullanılabileceğini belirtti.
Yapay zekâ destekli hack'ler konusundaki endişeler son aylarda arttı; Ethereum kurucusu Vitalik Buterin ekimde yapay zekânın önümüzdeki iki yıl içinde şifrelemeyi kırabileceğinin "olası" olduğunu söyledi. Bu açıklama, OpenAI'nin 90 yıllık bir matematik problemini günler içinde çözdüğünü iddia etmesiyle birlikte yapay zekâ destekli matematiğin patlaması ortamında geldi. Uzmanlar sektörü yapay zekâ destekli şifreleme saldırılarına hazırlamaya çağırdı.
Kuzey Kore'li hackerların yapay zekâ kullanarak şifrelemeyi kırdığına dair doğrulanmış bir rapor yok. Ancak yapay zekâyı başka alanlarda ne kadar hızlı benimsedikleri göz önüne alındığında, sektörün buna bir sonraki adım olarak hazırlanması gerekebilir.
