Şirket hesabınızdan imzanız olmadan hiçbir transferin çıkmadığını düşünüyorsanız, Binance saldırısı bu inancı bugün sınamak için iyi bir neden. 29 Ekim 2026 akşamı yaklaşık 6,3 milyar dolar, dünyanın en büyük kripto para borsası Binance'in cüzdanlarından yetkisiz çekimlerle çıktı; bunun büyük kısmı yaklaşık 20 dakika içinde gerçekleşti. Borsanın eş CEO'su, operasyonun bir kısmının olağan onay kontrollerinden geçmediğini söyledi. İşletmeniz için ders kripto parayla ilgili değil: para çıkarabilen ya da bir alıcının hesabını değiştirebilen her yolu listeleyin ve her birinin iki kişi, iki cihaz ve kimsenin silemeyeceği bir kayıt gerektirmesini sağlayın.

Binance'te ne oldu, rakamlarla

Binance'in 30 Ekim tarihinde yayımladığı ikinci resmi güncellemeye göre, borsanın sıcak cüzdanları, yani müşteri çekimlerinin yapıldığı internete bağlı cüzdanlar, saat 20:05 UTC civarında ele geçirildi ve kayıp yaklaşık 6,3 milyar dolar oldu. Borsa çekimleri durdurdu, ortaklarının yardımıyla yaklaşık 3 milyar dolarlık varlığın blokzincir üzerinde dondurulduğunu açıkladı ve kayıpları karşılamak için kendi kaynaklarından 6,34 milyar dolardan fazlasını ayırdı; bunun 5 milyar doları çalınan token'ların aynısında tutuluyor, yani tutarın yaklaşık %80'i. Hedef, bu güncellemeden itibaren yaklaşık 34 saat içinde çekimleri aşamalı olarak yeniden başlatmak ve 2 Kasım'a kadar bir rezerv kanıtı raporu yayımlamaktı.

TRM Labs'in blokzincir verileri üzerindeki analizi önemli ayrıntılar ekliyor: fonlar 10 ağ üzerinden çıktı, hazırlık hırsızlıktan en az 36 saat önce başladı, saldırgan aracı kullanmadan önce başka bir cüzdanda prova yaptı ve yürütme anında birinin geçerli olması için önceden imzalanmış 50 yetkilendirme hazırladı. TRM toplam tutarı 6,36 milyar dolar olarak hesaplıyor; bu, Şubat 2025'teki 1,5 milyar dolarlık Bybit saldırısının yaklaşık dört katı. TRM ve Elliptic saldırıyı Kuzey Kore bağlantılı TraderTraitor grubuna bağlıyor; Elliptic ise henüz hiçbir hükümetin bu atfı doğrulamadığını belirtiyor.

Binance saldırının nasıl gerçekleştiği hakkında ne dedi

İlk soruşturma, bir DevOps mühendisine ait ele geçirilmiş bir dizüstü bilgisayarı işaret etti; bu cihaz saldırganın bir servis konteynerine ulaşmasına ve yetkisiz çekim işlemleri göndermesine imkân verdi. Borsa daha sonra, sonraki soruşturmanın ek sızma noktaları ortaya çıkardığını ve cüzdanlarının özel anahtarlarının sızdırıldığına dair bir kanıt bulmadığını açıkladı. Eş CEO, saldırının tek bir kişi tarafından yapılmadığını, saldırganın çalışırken araçlarını ve izlerini yok eden bir kendini imha mekanizması kullandığını ve Ethereum üzerinde kullanılan yetki devrinin Binance'in olağan onay kontrollerinden geçmediğini söyledi.

Basitçe söylemek gerekirse: saldırgan kasayı kırmadı. Transferleri Binance'in kendi sistemlerine imzalattı. TRM'nin değerlendirmesine göre en olası açıklama, imza sistemine saldırganın seçtiği işlemleri, farklı ağlarda ve farklı anahtarlarla, yaklaşık yarım saat içinde imzalatabilme yeteneği.

Bu neden tek bir kripto parası olmayan bir şirketi ilgilendiriyor

Çünkü her şirket bu imza sisteminin küçük bir versiyonunu işletir: bankanın kurumsal portalı, muhasebecinin muhasebe sisteminden dışa aktarıp bankaya yüklediği ödeme dosyası, bir tedarikçinin banka bilgilerinin düzenlendiği ekran, ödeme altyapınızdaki iade yetkisi, aylık bordro dosyası. Şirket sahibi olarak resmi onay yolunu görürsünüz, talep, sonra yönetici, sonra finans; ama saldırgan yan yolu arar: dosyaları otomatik yükleyen bir sistem hesabı, IBAN değiştirebilen bir BT yöneticisi ya da dış bir sağlayıcıda transfer gerçekleştirebilen bir entegrasyon anahtarı.

İki ders daha var. Birincisi hız: paranın büyük kısmı yaklaşık 20 dakikada çıktı ve hiçbir çalışan buna elle yetişemez; bu yüzden koruma, kendiliğinden devreye giren limitler ve uyarılardan oluşmalı. İkincisi hazırlık: saldırgan 36 saat önceden hazırlandı ve aracını test etti; yani izleyen biri için erken uyarı işaretleri vardı. Daha önce iş bilgisayarındaki tek bir ücretsiz yayın sitesinin şirketinizin parolalarını saldırganlara nasıl teslim edebileceğini yazmıştık; yetkileri elinde tutan kişinin cihazı şirketteki en değerli hedeftir.

Bu hafta şirketinizde neleri gözden geçirmelisiniz

  • Paranın çıkabileceği her yolun haritasını çıkarın: transfer başlatabilen, onaylayabilen, bir alıcının hesabını değiştirebilen ya da iade yapabilen her kişiyi ve her sistemi yazın; sistem hesapları, entegrasyon anahtarları ve dış sağlayıcılar da buna dahil.
  • Her transfer için iki kişi ve iki cihaz: transferi giren kişi onu onaylamaz ve onay başka bir cihazdan verilir. Bu, Temel Siber Güvenlik Kontrollerindeki görevler ayrılığı ilkesidir: bir görevin tamamlanması, her biri farklı yetkilere sahip birden fazla kişi gerektirir. Bunu kimin neyi imzaladığını belirleyen bir onay matrisine bağlayın.
  • Limitler ve anında uyarılar: bankanızdan günlük bir transfer limiti ve her büyük transferde, ayrıca bir alıcı eklendiğinde ya da değiştirildiğinde şirket sahibinin telefonuna anında bildirim isteyin.
  • İhtiyaç kadar yönetici yetkisi: her uzaktan erişim ve her ayrıcalıklı hesap için çok faktörlü kimlik doğrulamayı açın, bu yetkilere sahip kişilerin listesini düzenli olarak gözden geçirin ve eski çalışanlarla işi biten sağlayıcıların hesaplarını silin.
  • Saldırganın silemeyeceği bir kayıt: Binance saldırganı çalışırken izlerini sildi. Ayrıcalıklı hesaplar ve uzaktan erişim için olay kayıtlarını etkinleştirin, bir kopyasını sistemin dışında saklayın ve kontrollerin istediği gibi en az 12 ay tutun.
  • İlk dakikalar için bir plan: bir transferi durdurmak için bankayı kimin arayacağını, şüpheli hesabı kimin devre dışı bırakacağını ve acil durum numaralarının nerede olduğunu belirleyin. Binance vakasında Tether, saldırganın ana alıcı cüzdanını en büyük çekimden 37 dakika sonra dondurdu ve paranın büyük bir kısmını kurtaran da bu hızdı.

Suudi kontrolleri ne diyor?

Ulusal Siber Güvenlik Otoritesi (NCA) tarafından yayımlanan Temel Siber Güvenlik Kontrolleri ECC-2:2024, devlet kurumları ve onlara bağlı kuruluşlar ile kritik ulusal altyapıya sahip olan, onu işleten veya barındıran özel sektör kuruluşları için zorunludur; NCA, Krallık'taki diğer tüm kuruluşları da bu kontrollerden yararlanmaya güçlü biçimde teşvik eder. Kontroller Binance derslerine doğrudan karşılık geliyor: uzaktan erişim ve ayrıcalıklı hesaplar için çok faktörlü kimlik doğrulama (2-2-3-2), bilmesi gereken, en az yetki ve görevler ayrılığı ilkeleri (2-2-3-3), ayrıcalıklı erişim yönetimi (2-2-3-4), kimliklerin ve erişim haklarının düzenli gözden geçirilmesi (2-2-3-5) ve ayrıcalıklı hesaplar ile uzaktan erişim için sürekli izlenen ve en az 12 ay saklanan olay kayıtları (2-12-3).

Origami'nin bakışı

Binance saldırısını kripto paralarla değil, onay yollarıyla ilgili bir ders olarak okuyoruz. Çoğu şirket onayı resmi yol için tasarlar ve yan yolları unutur: ödeme dosyasını yükleyen sistem hesabı, IBAN düzenleyebilen kullanıcı, işlem yürütebilen entegrasyon anahtarı. Bu yan yollar, bir saldırganın ilk aradığı şeydir.

Satın alma döngüsü sistemi ya da tedarikçi ödemeleri portalı gibi parayla ilgili özel bir sistem geliştirdiğimizde, onayın ilk günden tasarımın parçası olmasını öneriyoruz: giriş ve onay için iki farklı kişi, tutar limitleri ve alıcı verilerindeki her değişikliğin kaydı. Özel bir sistem yerine hazır bir muhasebe yazılımına ihtiyacınız varsa Fahim'e göz atın.

Sonuç

Kayıtlara geçen en büyük kripto para hırsızlığından ders çıkarmak için bir kripto cüzdanına ihtiyacınız yok. Bu hafta muhasebeciniz ve BT sorumlunuzla iki saat ayırın: paranın çıkabileceği her yolu yazın, girişi ve onayı iki cihaza ayırın, bankadan limitler ve uyarılar isteyin, yönetici yetkilerine kimin sahip olduğunu gözden geçirin ve kayıtları sistemi yönetenlerin erişemeyeceği bir yerde saklayın. Sistemlerinizdeki onay yollarının gözden geçirilmesini istiyorsanız bizimle iletişime geçin ya da hizmetlerimize göz atın.

Kaynaklar