Kripto tarihinin en büyük soygunu yirmi dakika sürdü. Asıl hikâye, o yirmi dakikadan önce ve sonra yaşananlarda.
29 Ekim akşamı, Türkiye saatiyle 23:05. Binance’in XRP cüzdanlarından beşi neredeyse aynı anda hareketlendi ve 233 milyon XRP tek bir adrese geçti. Takip eden yirmi dakika içinde Bitcoin, Ethereum, Tron, Solana ve beş zincir daha aynı kaderi paylaştı. Toplam: yaklaşık 6,36 milyar dolar. Kripto tarihinin en büyük soygunu, bir kahve molası kadar sürdü.
Nasıl olduğunu anlamak için üç şeye bakmak gerekiyor: hazırlık, kullanılan numara ve kaçış.
Soygundan önce prova yapıldı
Bu bir fırsatçılık değildi. 28 Ekim sabahı, saldırganın kullanacağı cüzdana Tornado Cash üzerinden üç küçük ödeme geldi — operasyonun yakıtı. Ertesi gün saldırı kodu önce iki ayrı cüzdanda test edildi, sonra üçüncüsünde son provası yapıldı. Prova bittikten yaklaşık dört saat sonra aynı kod Binance’in sıcak cüzdanına kuruldu.
Yani kasaya girilmeden önce kasanın bir kopyası üzerinde çalışılmıştı.
Cüzdana vekâletname imzalatmak
İşin can alıcı kısmı Ethereum tarafında yaşandı ve anlaşılması sanıldığı kadar zor değil.
Ethereum’a Mayıs 2025'teki güncellemeyle gelen bir özellik var: bir cüzdan, kendi adına hareket etme yetkisini bir yazılıma devredebiliyor. Günlük hayattaki karşılığı vekâletname. Siz imzalıyorsunuz, vekiliniz sizin adınıza işlem yapabiliyor. Normal şartlarda son derece faydalı bir özellik; işlemleri toplu yapmayı, ücretleri düşürmeyi sağlıyor.
Saldırgan tam olarak bunu yaptı. Binance’in sıcak cüzdanına, kendi yazdığı bir yazılım lehine vekâletname imzalattı. O yazılımın tek bir işlevi vardı: cüzdanı boşaltmak.
Delegasyon kurulduktan 3 dakika 24 saniye sonra Ethereum cüzdanındaki her şey 167 bin ETH ve 63 farklı token — çekildi.
Neden elli imza?
Burada güzel bir ayrıntı var. Böyle bir vekâletname, yalnızca cüzdanın belirli bir işlem sayısında geçerli oluyor. Bir nevi “bu belge yalnızca 412. işlemde geçerlidir” yazması gibi. Ama Binance’in sıcak cüzdanı dünyanın en yoğun cüzdanlarından biri; sayaç saniyeler içinde ilerliyor.
Saldırgan bu sorunu kaba ama etkili bir yolla çözdü: tek bir vekâletname yerine, ardışık numaralara karşılık gelen elli tanesini birden imzalattı. Hangisi tutarsa o.
Üstelik vekâletname iptal edilene kadar yürürlükte kaldığı için iş tek seferle bitmedi. O gece cüzdana yeni para girdikçe boşaltma işlemi altı kez daha tekrarlandı — saat 20:41'de, 20:59'da, 21:04'te ve sonrasında.
Mesele tek bir zincir olsaydı
Buraya kadarı bir oltalama saldırısıyla açıklanabilirdi: birileri kandırıldı, imza alındı, iş bitti.
Ama aynı gece Bitcoin’de bir sıcak cüzdan 18 bin BTC gönderdi. Tron’da 612 milyon USDT çıktı. Solana, Arbitrum, Optimism, Base, Avalanche ve Polygon’da benzer hareketler oldu. Bunların her biri farklı anahtarlar ve birbirinden tamamen farklı imza yöntemleri kullanıyor. Hepsi yarım saat içinde, sıradan ve kurallara uygun transferlerle boşaldı.
Blokzincir analiz şirketi TRM’in değerlendirmesi şu: bu tablo, Binance’in imzalama altyapısının ele geçirilmiş olmasına işaret ediyor. Yani çalınan tek tek anahtarlar değil, “bu transfer onaylansın” diyen merkezi sistemin kendisi.
Burada dürüst olmak gerekiyor: bu bir analiz şirketinin yorumu. Binance henüz ayrıntılı teknik raporunu yayımlamadı. Kesin cevap o raporla gelecek.
Saldırı yirmi dakika, savunma bir saat
Manşetlerdeki rakam 6,3 milyar. Ama gecenin asıl haberi bence başka bir rakam.
Tether, soygundan 56 dakika sonra, saat 21:01'de saldırganın ana cüzdanındaki 971 milyon USDT’yi dondurdu. Circle üç dakika sonra 823 milyon USDC’yi kilitledi. Ripple 22:01'de, World Liberty Financial 22:10'da devreye girdi. Gece yarısını sekiz dakika geçe Arbitrum’un güvenlik konseyi saldırganın cüzdanından zorla transfer yaptı.
Toplam dondurulan: yaklaşık 2,7 milyar dolar.
Bunu tek bir şirket yapmadı. Birbiriyle yıllardır kıyasıya rekabet eden kurumlar, saatler içinde aynı anda hareket ettiği için oldu.
Çalmak kolay, kaçırmak pahalı
Saldırganın asıl problemi parayı almak değil, elinde tutmaktı.
Stablecoin’ler dondurulabiliyor. Bu yüzden saldırgan, elindeki USDT’yi dondurulamayacak varlıklara çevirmek için yarışa girdi ve acelesinin bedelini ödedi. 325 milyon dolarlık USDT’yi ETH’ye çevirirken piyasa fiyatının yaklaşık %10 üzerinde bir maliyete katlandı. Borç verme protokollerine yatırıp kredi çekmeyi denedi; Aave ilgili piyasaları dondurdu.
Elinde hâlâ 2,4 milyar dolar civarında varlık var. Ama her hamlesi iz bırakıyor ve her hamlesi pahalı.
Aynı yöntem, dört katı büyüklükte
Şubat 2025'te Bybit 1,5 milyar dolar kaybetmişti. FBI o saldırıyı Kuzey Kore bağlantılı TraderTraitor grubuna bağladı. TRM, bu saldırının da aynı grubun işi olduğunu yüksek güvenle değerlendiriyor.
Benzerlikler tesadüf gibi durmuyor: operasyon cüzdanının Tornado Cash’ten küçük miktarlarla fonlanması, günler öncesinden hazırlık, ve önceden alınmış imzaların tek seferde patlatılması.
Fark şu: ölçek dört katına çıktı.
Bu yüzden olayı “Binance’in güvenlik zafiyeti” diye okumak eksik kalıyor. Karşımızda programlı, sabırlı, prova yapan ve sektörün yeni özelliklerini bizden hızlı öğrenen bir ekip var. Kullandıkları vekâletname özelliği, Ethereum’un meşru bir yeniliğiydi.
Saldıran taraf sürekli organize. Savunan taraf ise, dün gece olduğu gibi, ancak yangın çıktığında bir araya geliyor.
Asıl mesele de burada.
