FBI, Binance'teki dev kripto hırsızlığını Kuzey Kore'ye bağladı

ABD Federal Soruşturma Bürosu (FBI), dünyanın en büyük kripto para borsalarından Binance'e yönelik saldırıyı resmen Kuzey Kore'ye bağladı. FBI'ın açıklamasına göre 29 Ekim 2026 civarında gerçekleşen ve 6 milyar doları aşan sanal varlık hırsızlığının arkasında, kurumun "TraderTraitor" adıyla andığı Kuzey Kore bağlantılı siber faaliyet bulunuyor.

Saldırının ardından Binance para yatırma ve çekme işlemlerini dondurmuş, ardından yaklaşık 6,7 milyar dolar değerinde farklı kripto paranın çalındığını doğrulamıştı. Bazı analistler suçlamayı ilk günlerden itibaren TraderTraitor'a yöneltmişti; FBI'ın açıklaması bu değerlendirmeyi resmi bir atıfa dönüştürdü.

FBI'ın açıklaması ve paranın akıbeti

FBI'ın duyurusuna göre TraderTraitor aktörleri çalınan varlıkları ağırlıklı olarak Ethereum'a (ETH) çeviriyor. Soruşturma, FBI'ın yanı sıra ABD Gizli Servisi (USSS) ve IRS-CI ortaklığıyla yürütülüyor. Kurumlar, bu varlıkların bir sonraki aşamada merkeziyetsiz finans (DeFi) hizmetleri ve anlık takas servisleri üzerinden dönüştürülerek aklanmasının beklendiğini belirtiyor.

FBI ayrıca çalınan fonları barındırdığına inandığı cüzdan adreslerinin uzun bir listesini paylaştı. THORNode ve RPC düğümü işletmecilerinden, anlık takas servislerinden, DeFi platformlarından, blokzincir analiz şirketlerinden ve diğer sanal varlık hizmet sağlayıcılarından, bu adreslerle ya da bunlardan türeyen işlemleri engellemeleri istendi.

Saldırı nasıl gerçekleşti?

Binance'in açıklamasına göre olayın başlangıcında bir DevOps mühendisinin dizüstü bilgisayarının ele geçirilmesi yatıyor. Bu erişim, saldırganlara bir servis konteynerine giriş imkânı sağladı ve yetkisiz çekim işlemleri buradan gönderildi. Bazı yorumcular mühendisin klasik bir sahte iş teklifi dolandırıcılığına, bazıları ise romantik dolandırıcılığa kurban gitmiş olabileceğini öne sürdü.

İlk raporlara göre saldırganlar Bitcoin, Ethereum, Solana, XRP ve Arbitrum dahil 10 farklı zincirden para çekti. Ethereum tarafında, hesaba yeni giren her varlığı otomatik olarak çeken bir akıllı sözleşme de kurdukları belirtiliyor. Binance işlemlerini yeniden başlattı ve kayıplarının büyük bölümünü karşıladı.

Kullanıcı varlıkları etkilenmedi

Olayda görece olumlu nokta, çalınan paraların kullanıcılara değil borsanın kendi fonlarına ait olması. Kripto borsaları, kendi varlıkları ve müşteri varlıkları için ayrı cüzdanlar bulundurmak zorunda. Binance ayrıca, platform çapındaki olağanüstü olaylarda kullanıcı varlıklarını korumak üzere tasarlanmış SAFU (Secure Asset Fund for Users) adlı bir güvenlik fonu işletiyor.

Lazarus Group ve sahte iş teklifi kampanyaları

TraderTraitor, Kuzey Kore adına çalıştığı değerlendirilen geniş bir siber suç yapılanması olan Lazarus Group'un alt kollarından biri olarak tanımlanıyor. Grubun, devlet aygıtını ve silah programını finanse etmek için para çaldığı iddia ediliyor. Kuzey Kore bu suçlamalara yanıt vermedi.

Siber güvenlik topluluğu, grubun Operation DreamJob ve Contagious Interview adlı iki büyük kampanyayı yürüttüğüne uzun süredir dikkat çekiyor. Bu kampanyalar yazılım geliştiricileri, blokzincir programcıları ve DevOps çalışanlarını hedef alıyor. Saldırganlar sahte şirketler, sahte çalışanlar ve cazip iş teklifleri hazırlıyor, hedeflerle LinkedIn üzerinden iletişime geçiyor ve görüşmeler sırasında bilgisayarlara zararlı yazılım bulaştırıyor. Bazı durumlarda ise Çin, Vietnam ya da Tayland vatandaşı gibi görünerek açık pozisyonlara başvuruyor; işe alındıklarında bu konumu hassas veri ve para çalmak için kullanıyorlar.