# Binance: 6,34 milyar dolarlık soygunda saldırganlar sahte iş görüşmeleri ve şirket içi bir yapay zekâ aracı kullandı

> Binance’in ilk olay raporuna göre saldırı Haziran’da başladı. Yapay zekâ aracı mühendisler arasında geçişte kullanıldı; işlemleri imzalayan sistem değildi.

- Yayın: JARRUS (@jarrus.ai), thejarrus.com
- Haber tarihi: 3 Kasım 2026 (2026-11-03)
- Sitede: 2026-11-07
- Etiketler: Güvenlik, Şirketler ve çalışanlar
- Adres: https://thejarrus.com/tr/haber/binance-soygunu/

### Binance'in ilk olay raporu

Binance, 29 Ekim'deki saldırıya ilişkin ilk olay raporunu 3 Kasım'da kendi X hesabında bir makale olarak yayımladı. Rapora göre olay tek bir ihlal ya da basit bir oltalama saldırısı değildi. Saldırganlar sahte işe alım görüşmeleriyle sosyal mühendislik, zararlı yazılım indirmeleri, ele geçirilmiş şirket içi yapay zekâ araçları, çalışan bilgisayarlarının ele geçirilmesi ve gelişmiş bir işlem yetkilendirme yöntemini bir arada kullandı.

Binance belgeyi "ilk rapor" olarak niteliyor: soruşturma sürüyor, bulgular bağımsız incelemeden geçecek ve bazı teknik ayrıntılar gizli kalacak. Eş CEO Richard Teng aynı gün X'te bunun tek bir hata ya da tek bir ihlal değil, aylarca süren bir kampanya olduğunu yazdı. Teng CNBC'deki canlı yayında da Haziran'daki sahte geliştirici aracını ve Eylül'deki sahte iş görüşmelerini anlattı; bağımsız bir uzmanın şirketin yaptığı her şeyi inceleyeceğini söyledi.

https://x.com/_RichardTeng/status/2117626871445921884

### Haziran: kurcalanmış Homebrew kurulumu

Rapordaki ilk adım bir tedarik zinciri saldırısı. Binance'in cüzdan altyapısında çalışan bir Wallet DevOps mühendisi (raporda "Mühendis A"), popüler bir yapay zekâ kodlama aracını kurmak isterken arama motorunda bulduğu kurcalanmış bir Homebrew kurulumunu indirdi. Homebrew, macOS'ta yazılım kurmak için yaygın kullanılan bir paket yöneticisi. Güvenlik ekibi anormalliği fark edip cihazı değiştirdi ve kimlik bilgilerini yeniledi. Rapora göre yine de mühendisin rolü ve cüzdan altyapısı ekibindeki iş arkadaşları saldırgan için görünür hâle geldi.

Binance kodlama aracının adını vermiyor. Rapor bu adımda, SANS Internet Storm Center'ın 30 Nisan'da yazdığı, sahte bir Homebrew reklamıyla dağıtılan bilgi hırsızı yazılım örneğine bağlantı veriyor; bunun aynı kampanya olduğunu söylemiyor. Şirket, güvenlik ekibinin 2026 boyunca Kuzey Kore bağlantılı olduğundan şüphelenilen 57 siber tehdit vakasını tespit edip engellediğini de yazıyor. Bu vakalarda sahte iş görüşmeleri, popüler geliştirici araçları kılığına girmiş zararlı yazılımlar, ele geçirilmiş yazılım paketleri ve tarayıcı eklentileri ile sahte görüntülü görüşme uygulamaları kullanılmış.

### Eylül: sahte mülakat ve zararlı "ödev"

Eylül'de başka bir yazılım mühendisine ("Mühendis B") meşru bir iş arama platformu üzerinden, profilinde Binance deneyimi yazan ve kendini proje direktörü olarak tanıtan biri ulaştı. İlk tur, sahte bir İK temsilcisiyle canlı görüntülü görüşmeydi. Güven kazanmak için kişisel fotoğraf ve videoların bulunduğu bir sosyal medya hesabı paylaşıldı; Binance bu kurguyu daha önce gördüklerinden daha gelişmiş ve aldatıcı buluyor. İkinci tur sahte şirketin "CEO"suyla popüler bir sohbet uygulamasında yapıldı ve sonunda mühendisten iş bilgisayarına bir "ödev" indirmesi istendi.

Ödevdeki kod kurulum sırasında çalıştı ve meşru bir geliştirme aracı bileşenini zararlı bir sürümle değiştirdi. Raporda adımlar Python sürüm yöneticisi pyenv üzerinden anlatılıyor: Homebrew dizinindeki asıl pyenv dosyası silindi, yerine aynı adla sahtesi konuldu. Rapora göre daha önce bilinmeyen bu sıfırıncı gün zararlı yazılımını o sırada uç nokta güvenlik araçları yakalamadı; saldırgan izlerini de sildi.

### 20 Ekim: şirket içi yapay zekâ aracı

Saldırgan, B'nin ele geçirilmiş bilgisayarından şirket içi bir yapay zekâ aracını "sıçrama tahtası" olarak kullanıp Mühendis A'nın ve başka bir cüzdan yazılım mühendisinin ("Mühendis C") bilgisayarlarının denetimini ele geçirdi. Ardından A'nın bilgisayarında bir konteyner dağıtım yetki jetonu (token) buldu.

Binance aracın adını, üreticisini, türünü ve denetimin araç üzerinden nasıl ele geçirildiğini açıklamadı. Rapora göre araç saldırganın mühendisler arasında geçmesine yaradı; işlemleri onaylayan ya da imzalayan sistem değildi. Şirket etkilenen aracı ve erişim denetimlerini yeniden kurdu.

Eş CEO Yi He 4 Kasım'da, yayımlamadan önce birçok uzmanın ayrıntıları rapora koymamayı önerdiğini, ama şeffaflığın güven yarattığına inandıklarını yazdı. Yi He'ye göre rapor sosyal mühendisliğin karmaşıklığı ve yapay zekâ yetki sınırları konusunda sektördeki diğer şirketlere yol gösterirse amacına ulaşmış olacak. Binance departman erişim yönetimi, güvenlik ortamları ve cihazlarda güvenlik sınırlarını yeniden kurdu, yapay zekâ araçlarını sıfırladı; yeni düzen sıfır güven ve en az yetki ilkelerine dayanıyor. Yi He, bir güvenlik denetiminin ardından ayrıca rapor yayımlanacağını da yazdı.

https://x.com/heyibinance/status/2117951579588595963

### 29 Ekim: imzalama servisi ve EIP-7702

Rapora göre saldırgan 29 Ekim'de 17.15 ile 19.56 arasında (raporda saat dilimi belirtilmiyor) Mühendis C'nin bilgisayarına girdi, A'dan çalınan kimlik bilgileriyle bir konteyner dağıttı ve saldırıyı başlatan zararlı betiği çalıştırdı. Böylece şirket içi cüzdan imzalama servisine yetkisiz erişim sağladı ve normal çekim sürecinin dışında işlemler başlattı.

İlk transfer 20.05'te (UTC; Türkiye saatiyle 23.05) XRP'de çıktı: beş sıcak cüzdan yaklaşık dört dakikada 233,46 milyon XRP gönderdi. Solana ve Optimism'den yaklaşık 970.500 SOL ve 44,2 milyon OP, Bitcoin sıcak cüzdanından 18.270 BTC çıktı. Ethereum'da saldırganlar imzalama servisi üzerinden 50 imzalama işlemi göndererek hesabın işlem sırası (nonce) değerini manipüle etti ve zararlı EIP-7702 yetkileri kurdu. EIP-7702, sıradan bir Ethereum hesabının işlem yürütme yetkisini bir akıllı sözleşmeye devretmesini sağlayan mekanizma.

Binance'e göre çekimleri durdurmak yetmedi, çünkü bu yetkiler zincir üstüne yazılmıştı. Cüzdanlar MPC (çok taraflı hesaplama) ile korunduğu ve tek bir özel anahtar bulunmadığı için yetkileri iptal etmek özel bir prosedür gerektirdi. Son yetkisiz transfer 23.56'da (Türkiye saatiyle 30 Ekim 02.56) 2.961,9 ETH oldu. 30 Ekim 00.10'da (Türkiye saatiyle 03.10) etkilenen cüzdanın yetkisi sıfır adrese devredilerek temizlendi.

Zincir analizi şirketleri de aynı tabloyu çiziyor. TRM Labs'e göre 50 yetki tek bir işlemde gönderildi; 3 dakika 24 saniye sonra cüzdan, 167.464 ETH ve 1,615 milyar USDT dahil 63 tokenden oluşan bütün bakiyesini gönderdi. Elliptic'e göre Ethereum kayıplarının 2,53 milyar doları tek bir işlemde çıktı. TRM, hazırlığın soygundan en az 36 saat önce başladığını yazıyor: saldırganın işlem cüzdanı 28 Ekim sabahından itibaren Tornado Cash'ten küçük çekimler aldı, saldırı kodu 29 Ekim'de iki cüzdanda denendi ve son sürüm üçüncü bir cüzdanda prova edildi.

### Rakamlar: 6,34 milyar dolar, 2,85 milyar dolar donduruldu

Binance etkilenen varlıkları yaklaşık 6,34 milyar dolar olarak açıklıyor. Diğer tahminler hesaplamada kullanılan fiyatlara göre değişiyor: TRM Labs 6,36, Chainalysis yaklaşık 6,4, Elliptic 6,43 milyar dolar diyor; FBI "6 milyar dolardan fazla" ifadesini kullanıyor. Binance'e göre kolluk kuvvetleri, token ihraççıları ve blokzincir istihbarat şirketleriyle birlikte yaklaşık 2,85 milyar dolar donduruldu ya da durduruldu.

Etkilenen cüzdanlar Binance'in kendi sıcak cüzdanlarıydı. Şirket özel anahtar sızıntısına dair kanıt bulmadığını ve kaybın kullanıcılara yansımayacağını söylüyor. Binance 30 Ekim'de kaybı karşılamak için 6,34 milyar dolarlık şirket fonu ayırdı; kaynak, kullanıcı koruma fonu SAFU'nun ve vadeli işlemler sigorta fonunun bir kısmı ile şirket hazinesi. Şirkete göre 3-4 Kasım itibarıyla etkilenen tokenlerin yaklaşık yüzde 98'i yerine kondu. Çekimler 29 Ekim'de durduruldu, 1 Kasım'da aşamalı olarak yeniden açıldı.

Elliptic'in hesabına göre çalınan fonların yüzde 82'si Ethereum ve Bitcoin'den alındı. Ethereum'dan alınanların yüzde 64'ü donduruldu; Bitcoin'den alınanların ise hiçbiri dondurulamadı.

![Elliptic'in grafiği: Binance soygununda zincirlere göre çalınan ve dondurulan fonlar. Ethereum'da 3.798 milyon doların 2.417 milyonu, Tron'da 627 milyonun 379 milyonu donduruldu; Bitcoin, XRP Ledger, Solana ve NEAR'da dondurulan fon yok.](https://thejarrus.com/gorsel/binance-elliptic-zincir-tr.webp)
*Grafik: [Elliptic, The largest theft in history](https://www.elliptic.co/insights/binance-largest-hack-in-history/) (31 Ekim 2026 itibarıyla; Türkçeye çevrildi). Rakamlar milyon dolar; parantez içindeki oran, çalınan fonların dondurulan kısmı.*

### Atıf: FBI ve Kuzey Kore'nin reddi

FBI 31 Ekim'de, Kuzey Kore'nin 29 Ekim civarında Binance'ten 6 milyar dolardan fazla sanal varlığın çalınmasından sorumlu olduğunu açıkladı ve bu faaliyeti "TraderTraitor" olarak adlandırdı. FBI'a göre saldırganlar çalınan varlıkları ağırlıklı olarak ETH'ye çevirdi; fonların DeFi ve anlık takas servisleri üzerinden aklanmaya devam etmesi bekleniyor. FBI, ABD Gizli Servisi ve vergi dairesinin suç soruşturma birimi IRS-CI, özel sektörden saldırganlarla bağlantılı adreslerin işlemlerini engellemesini istedi ve adres listesini yayımladı. Binance raporunda FBI'ın bu bilgisine atıf yapıyor.

Chainalysis ve TRM Labs de saldırıyı yüksek güvenle TraderTraitor'a bağlıyor. Chainalysis'in dayanaklarından biri, Eylül'deki Bitget soygunundan çalınan fonların Binance'ten çalınanlarla zincir üstünde aynı adreste karışması. Elliptic de FBI'ın açıklamasından sonra kendi değerlendirmesinin TraderTraitor yönünde olduğunu yazdı.

Kuzey Kore suçlamayı reddetti. İşçi Partisi Merkez Komitesi daire başkanı Kim Yo Jong'un 2 Kasım'da yaptığı ve resmî haber ajansı KCNA'nın 3 Kasım'da yayımladığı açıklamada ABD'nin iddiası "saçma ve yeni olmayan bir söylem", olayı yine Kuzey Kore'ye bağlamak da "basmakalıp bir provokasyon" olarak nitelendi. Kim Yo Jong 4 Kasım'daki ikinci açıklamasında olayı tesadüfi ya da münferit bir iş olarak değil, Washington'ın Kuzey Kore'ye yönelik değişmeyen düşmanca politikasının bir uzantısı olarak gördüklerini söyledi.

TraderTraitor adı ve yöntemi yeni değil. ABD siber güvenlik ajansı CISA, FBI ve ABD Hazine Bakanlığı'nın Nisan 2022'deki ortak uyarısına göre bu saldırılar, kripto şirketlerinin sistem yönetimi ya da DevOps çalışanlarına gönderilen, işe alım süsü verilmiş ve yüksek maaşlı iş teklif eden iletilerle başlıyor. FBI, ABD Savunma Bakanlığı Siber Suç Merkezi ve Japonya Ulusal Polis Ajansı'na göre Mayıs 2024'teki 308 milyon dolarlık DMM Bitcoin soygununda da LinkedIn'de işe alımcı kılığına giren bir aktör, Japon kurumsal kripto cüzdan yazılımı şirketi Ginco'nun bir çalışanına işe alım öncesi test görünümünde zararlı bir Python betiği göndermişti. Chainalysis 3 Kasım'da, son 18 ayda Kuzey Kore bağlantılı benzer sahte mülakat ve zararlı yazılım düzenlerine 14,3 milyon dolardan fazla kayıp atfettiğini yazdı. Binance olayı adı konmuş belirli bir kampanyaya bağlamadı.

https://x.com/FBICyberBranch/status/2116660730745299426

### Kayıtlardaki en büyük kripto soygunu

Elliptic'e göre Binance soygunu, önceki rekor olan Şubat 2025'teki Bybit soygununun (1,46 milyar dolar) 4,4 katı. FBI, Bybit soygununu da TraderTraitor'a bağlamıştı. Elliptic'in listesindeki en büyük on kripto soygunundan dördü FBI tarafından Kuzey Kore'ye bağlanmış. Chainalysis'e göre Kuzey Kore bağlantılı hackerlar 2025'te en az 2,02 milyar dolarlık kripto para çaldı ve tüm zamanlardaki toplamları en az 6,75 milyar dolara ulaştı; Binance soygununda taşınan yaklaşık 6,4 milyar dolar tek başına bu toplamın yüzde 95'i kadar.

![Elliptic'in grafiği: en büyük kripto soygunları. Binance 6.431 milyon dolarla ilk sırada, ardından Bybit (1.460 milyon dolar) geliyor; karşılaştırma için 2003'teki Irak Merkez Bankası soygunu (1.000 milyon dolar) da gösteriliyor.](https://thejarrus.com/gorsel/binance-elliptic-en-buyuk-tr.webp)
*Grafik: [Elliptic, The largest theft in history](https://www.elliptic.co/insights/binance-largest-hack-in-history/) (1 Kasım 2026 itibarıyla; Türkçeye çevrildi). Rakamlar milyon dolar; renkli çubuklar FBI'ın Kuzey Kore'ye bağladığı soygunlar.*

Binance'in kurucusu Changpeng Zhao (CZ) 4 Kasım'da, hissedar olarak yazdığı gönderide bu ölçekte bir saldırının ciddi güvenlik hataları yaşandığı anlamına geldiğini, hiçbir platformun hacklenemez olmadığını ama bunun mazeret olamayacağını söyledi. CZ'ye göre kamuoyuna yapılan açıklamalar, yüzlerce çalışanı ve sistemi hedef alıp sonunda birkaçını ele geçiren, aylar hatta yıllar sürmüş gibi görünen bir saldırıyı basitleştiriyor. Raporda bu kapsamla ilgili bir rakam yok.

https://x.com/cz_binance/status/2117846768666755491

Binance olayı bağımsız siber güvenlik firmalarına inceletiyor; kök nedeni anlatan nihai rapor henüz yayımlanmadı. Şirket raporda yapay zekâ güvenliğine yatırım yapacağını, bir güvenlik araştırma fonu kuracağını ve önde gelen yapay zekâ şirketleriyle hedefli girişimler başlatacağını da açıkladı.

### Sahte Claude Code eklentisiyle ilişkisi

Saldırı, Cursor'ın eklenti mağazasında Claude Code eklentisinin kurcalanmış bir sürümünün dağıtıldığı güne denk gelmişti ve X'te iki olay arasında bağlantı olup olmadığı sorulmuştu. Binance'in raporu bu eklentiden söz etmiyor; raporda Claude Code, Cursor ya da Anthropic adı geçmiyor. Raporun anlattığı saldırı zinciri, zararlı 2.1.312 ve 2.1.313 sürümlerinin mağazada kaldığı 29 Ekim 09.27-20.35 (UTC) aralığından haftalar önce başlıyor: giriş Eylül'deki sahte mülakat ödeviyle oldu, yapay zekâ aracı üzerinden geçiş ve konteyner jetonunun bulunması 20 Ekim'de gerçekleşti.

Raporda saat dilimi verilmeyen 29 Ekim oturumu UTC ise eklentinin mağazada olduğu saatlere denk geliyor, ancak Binance bu oturumu A'dan önceden çalınan kimlik bilgilerine bağlıyor. Haziran'daki adım da bir eklenti değil, kurcalanmış bir Homebrew kurulumu.

*Kapak görseli yapay zekayla üretildi.*

## Kaynaklar

1. [Binance (X): 29 October Binance Security Incident: Initial Findings and Response Update, 3 Kasım 2026](https://x.com/binance/status/2117626126214504729)
2. [Richard Teng (X): Teng’in raporla birlikte yaptığı açıklama: 6,34 milyar dolar, yüzde 98, 2,85 milyar dolar donduruldu, 3 Kasım 2026](https://x.com/_RichardTeng/status/2117626871445921884)
3. [Binance (X): İlk açıklama: ele geçirilmiş DevOps mühendisi dizüstü bilgisayarı, özel anahtar sızıntısına dair kanıt olmaması, yaklaşık 6,3 milyar dolar, 30 Ekim 2026](https://x.com/binance/status/2115993361517891592)
4. [Yi He (X): Binance eş CEO’su: rapordaki yapay zekâ yetki sınırları uyarısı, yapay zekâ araçlarının sıfırlanması, sıfır güven ve en az yetki ilkeleri, 4 Kasım 2026](https://x.com/heyibinance/status/2117951579588595963)
5. [FBI Cyber Branch (X): FBI uyarısının X duyurusu (TraderTraitor), 31 Ekim 2026](https://x.com/FBICyberBranch/status/2116660730745299426)
6. [FBI: North Korea Responsible for $6 Billion+ Binance Attack, 31 Ekim 2026](https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack)
7. [KCNA: Press Statement of Kim Yo Jong, Department Director of C.C., WPK, 3 Kasım 2026](http://www.kcna.kp/en/article/detail/873496f71f6ab3e667a4271b5a4cf4c6)
8. [Chainalysis: The $6.4 Billion Binance Hack: Tracing the North Korea Link, 30 Ekim 2026](https://www.chainalysis.com/blog/binance-exploit-latest-findings-and-response/)
9. [Chainalysis: DPRK Hackers Perfected Their Fake Interview Playbook Over Dozens of Attacks Before Binance, 3 Kasım 2026](https://www.chainalysis.com/blog/binance-hack-dprk-employment-fraud/)
10. [TRM Labs: North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History, 29 Ekim 2026](https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history)
11. [Elliptic: The largest theft in history: North Korea behind the $6.4 billion Binance hack, 30 Ekim 2026](https://www.elliptic.co/insights/binance-largest-hack-in-history/)
12. [CNBC: Binance co-CEO Richard Teng says hackers used fake job interviews, AI tool to steal $6.3 billion in crypto, 3 Kasım 2026](https://www.cnbc.com/2026/11/03/binance-co-ceo-teng-says-hackers-used-fake-job-interviews-to-steal-6point3-billion-in-crypto.html)
13. [Changpeng Zhao (X): A hack of this scale means serious security failures occurred., 4 Kasım 2026](https://x.com/cz_binance/status/2117846768666755491)
14. [Chainalysis (X): North Korean hackers stole at least $2.02B in crypto in all of 2025, bringing their all-time total to at least $6.75B., 3 Kasım 2026](https://x.com/chainalysis/status/2117668711494562250)
15. [KCNA: Press Statement of Kim Yo Jong, Department Director of C.C., WPK, 4 Kasım 2026](http://www.kcna.kp/en/article/detail/547d4372853b197db4d1c73810d70768)
16. [SANS Internet Storm Center: Malicious Ad for Homebrew Leads to MacSync Stealer, 30 Nisan 2026](https://isc.sans.edu/diary/32942)
17. [CISA: TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies, 18 Nisan 2022](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-108a)
18. [FBI: FBI, DC3, and NPA Identification of North Korean Cyber Actors, Tracked as TraderTraitor, Responsible for Theft of $308 Million USD from Bitcoin.DMM.com, 23 Aralık 2024](https://www.fbi.gov/news/press-releases/fbi-dc3-and-npa-identification-of-north-korean-cyber-actors-tracked-as-tradertraitor-responsible-for-theft-of-308-million-from-bitcoindmmcom)
19. [FBI (IC3): North Korea Responsible for $1.5 Billion Bybit Hack, 26 Şubat 2025](https://www.ic3.gov/PSA/2025/PSA250226)

Hata bildirimi: hata@thejarrus.com