Binance saldırısına ilişkin ilk teknik bulgular, olayın klasik bir özel anahtar hırsızlığından farklı gerçekleşmiş olabileceğini gösteriyor. Dünyanın en büyük kripto borsalarından Binance, bir DevOps mühendisinin ele geçirilen dizüstü bilgisayarı üzerinden şirketin iç sistemlerine erişilmiş olabileceğini açıkladı. İlk değerlendirmelere göre saldırganlar, bu erişimi kullanarak yetkisiz para çekme işlemleri gerçekleştirmiş olabilir. Şirket, cüzdanların özel anahtarlarının çalındığına dair şu ana kadar kanıt bulamadığını, ancak soruşturmanın devam ettiğini bildirdi.
Bu açıklama, saldırının merkezinde cüzdan anahtarlarından çok işlem imzalama altyapısının bulunabileceği ihtimalini gündeme getirdi. Blok zinciri güvenlik şirketi Blockaid’in ilk incelemesi de saldırganların imzalama mekanizmasını manipüle etmiş olabileceğine işaret ediyor.
İçerik
Saldırganlar Binance Altyapısına Nasıl Sızdı?
Binance’in paylaştığı ön bulgulara göre saldırganlar, bir DevOps çalışanının kontrolünü kaybettiği dizüstü bilgisayar üzerinden servis konteynerlerinden birine erişmiş olabilir. Bu erişimin ardından sistem üzerinden yetkisiz para çekme talepleri oluşturulmuş olabileceği değerlendiriliyor. Bununla birlikte Binance, özel anahtarların açığa çıktığını doğrulayan herhangi bir bulguya ulaşmadığını belirtiyor.
Blockaid CEO’su Ben-Natan, Cointelegraph’a yaptığı açıklamada olayın bir imzalama altyapısı ihlali olabileceğini söyledi. Bu senaryoda saldırganların özel anahtarı doğrudan ele geçirmesi gerekmiyor. Bunun yerine, anahtarın kullanıldığı sistemi yanıltarak normalde onaylanmaması gereken işlemlerin imzalanmasını sağlayabiliyorlar.
İki yöntem arasındaki fark önemli. Özel anahtarın çalınması, saldırgana doğrudan yetki kazandırırken imzalama altyapısının manipüle edilmesi, güvenilir sistemlerin kötü amaçlı işlemleri onaylamasına yol açabiliyor. Ben-Natan’ın değerlendirmesi, Blockaid’in benzer olaylardan edindiği tecrübeye ve zincir üzerindeki işlem hareketlerine dayanıyor.
Binance 6,3 Milyar Dolarlık Zararı Nasıl Yönetecek?
Binance, saldırının toplam maliyetine ilişkin tahminini yaklaşık 6,3 milyar dolar olarak paylaştı. Şirket, blok zinciri ekosistemindeki iş ortaklarıyla koordinasyon kurarak etkilenen varlıkların yaklaşık 3 milyar dolarlık kısmını zincir üzerinde dondurmayı başardığını açıkladı.
Borsa, kullanıcıların zararlarını kendi kaynakları ve Kullanıcılar İçin Güvenli Varlık Fonu (SAFU) üzerinden karşılayacağını duyurdu. Ayrıca kullanıcı varlıklarının güvende olduğunu belirterek güncellenmiş bir Rezerv Kanıtı raporu yayımlama sözü verdi.
Güvenlik incelemeleri devam ederken Binance para yatırma ve çekme işlemlerini geçici olarak durdurdu. Saldırıyla ilişkilendirilen adresin yetkilendirmesini de iptal eden şirket, çalınan varlıkların takibi ve geri alınması için kolluk kuvvetleri ile blok zinciri analiz kuruluşlarıyla birlikte çalışıyor.
Binance, soruşturma tamamlandıktan ve elde edilen bulgular doğrulandıktan sonra saldırının teknik ayrıntılarını içeren kapsamlı bir rapor yayımlamayı planlıyor.
EIP-7702 Yetkilendirmeleri Saldırıda Nasıl Kullanıldı?
Blockaid’in zincir üzerindeki incelemesi, saldırganın Binance 14’ü hedefleyen tek bir işlemde 50 farklı EIP-7702 yetkilendirmesini bir araya getirdiğini ortaya koydu. Bu yetkilendirmelerden birinin hesabın ihtiyaç duyduğu nonce değeriyle eşleşmesi, işlemin kabul edilmesini sağladı.
EIP-7702, hesapların işlem yürütme yetkisini akıllı sözleşme koduna devretmesine imkân tanıyan bir mekanizma. Blockaid’in analizine göre saldırıya uğrayan hesap, doğrulanmamış bir varlık aktarım sözleşmesine yönlendirildi. Sözleşme, belirlenen bir operatörün hesaptaki token ve Ether varlıklarını çekebilmesine olanak sağlıyordu.
Ben-Natan, saldırının birden fazla cihazın ele geçirilmesini ve saldırganların Binance’in iç ağında ilerlemesini içermiş olabileceğini de belirtti. Arkham CEO’su Miguel Morel ise Binance’in açıklamasından önce, mevcut verilerin olayın çalınmış anahtarlardan mı yoksa altyapı ihlalinden mi kaynaklandığını kesinleştirmek için yeterli olmadığını söylemişti. Morel, saldırının o aşamada devam ediyor olabileceği ihtimalini de gündeme getirmişti.
Bybit Saldırısıyla Benzerlik Kuzey Kore İddiasını Gündeme Getirdi
Blockaid CEO’su Ben-Natan, Binance olayının Şubat 2025’te Bybit’e düzenlenen saldırıyla önemli benzerlikler taşıdığını ifade etti. Bybit’in adli inceleme raporuna göre saldırganlar, Safe geliştiricilerinden birinin kimlik bilgilerini ele geçirmiş, cüzdan sağlayıcısının altyapısına sızmış ve imza yetkililerini kötü amaçlı bir işlemi onaylamaya yönlendirmişti.
Ben-Natan, Binance saldırısındaki hazırlıkların Kuzey Kore bağlantılı siber operasyonları da andırdığını söyledi. Ancak bu benzerlik, saldırının Kuzey Kore tarafından gerçekleştirildiğini kanıtlamıyor. Binance henüz saldırganların kimliğini açıklamadı ve faillerin belirlenmesi için yetkili kurumlarla çalışmayı sürdürüyor.
Olay, kripto borsalarında güvenliğin yalnızca özel anahtarları korumaktan ibaret olmadığını bir kez daha gösteriyor. Binance’in yayımlayacağı teknik rapor, saldırının nasıl gerçekleştiğini ve hangi güvenlik açıklarının rol oynadığını daha net ortaya koyabilir. Gelişmeleri takip ederken doğrulanmış açıklamalarla henüz kanıtlanmamış iddiaları birbirinden ayırmak gerekiyor.
Bu içerik yatırım tavsiyesi değildir. Kripto para piyasası yüksek risk içerir; yatırım kararlarınızı kendi araştırmanıza dayanarak verin.
