Bir yazılım mühendisi, bir işe alım uzmanından sıradan görünen bir yaklaşım aldı. İşe alım uzmanının makul bir kimliği vardı, canlı bir video mülakatı yaptı ve bir sonraki turda teknik bir atama sundu.
Atama kötü amaçlı yazılım içeriyordu.
Binance, 29 Ekim 2026'da saldırganların cüzdanlarından yaklaşık 6,36 milyar dolar çektiği birden fazla şüpheli giriş noktasından birinin sahte işe alım süreci olduğunu söylüyor. FBI o zamandan beri hırsızlığı Kuzey Kore'ye atfetti ve sorumlu faaliyeti TraderTraitor olarak tanımladı.
Olay, rekorlardaki en büyük kripto para hırsızlığı olarak tanımlanıyor. Önemi çalınan miktarın ötesine geçiyor. Kuzey Koreli operatörlerin iş piyasasının her iki tarafını da kullandığını gösteriyor: teknoloji şirketlerine girmek için geliştiriciler olarak poz vermek ve içlerinde zaten çalışanları tehlikeye atmak için işe alım uzmanları olarak poz vermek.
Binance Saldırısında Ne Oldu?
Blok zinciri istihbarat firması TRM Labs'a göre saldırganlar, Binance cüzdanlarından 10 blok zinciri üzerinden yaklaşık 6,36 milyar dolar transfer etti. Fonların çoğu yaklaşık 20 dakika içinde hareket etti.
Etkilenen varlıkların Bitcoin, Ethereum, Solana, XRP, Arbitrum ve diğer ağlardaki tokenları içerdiği bildirildi. Binance, bağlı sıcak cüzdanlarından birinin karıştığını doğrularken, müşteri varlıklarının çoğunun çevrimdışı soğuk depolamada kaldığını belirtti.
Binance, kayıpları karşılamak için şirket fonlarından 6,34 milyar doların üzerinde bir rezerv ayırdığını söyledi. Borsa ve blok zinciri ortakları ayrıca etkilenen varlıkların yaklaşık 3 milyar dolarını dondurdu.
Dondurma, bazı varlıkların katılan ağlar, ihraççılar veya hizmetler aracılığıyla hareket etmesini engeller. Fonların kurtarıldığı ve iade edildiği anlamına gelmez. Saldırganlar, zaten değiştirilmiş, köprülenmiş veya katılan kuruluşların erişiminin ötesine geçmiş varlıkları hala kontrol edebilir.
FBI Neden Kuzey Kore'yi Suçladı?
FBI, saldırıyı Kuzey Kore'ye atfetti ve ülkenin siber operasyonlarıyla ilişkili kötü niyetli faaliyetler için kullanılan bir etiket olan TraderTraitor ile ilişkilendirdi.
Büro, saldırganların çalınan varlıkları merkeziyetsiz finans protokolleri ve anlık takas hizmetleri aracılığıyla aklamaya devam etmesinin beklendiği konusunda uyardı. Bu araçlar, kullanıcıların tokenlar veya ağlar arasında varlıkları değiştirmelerine olanak tanır, potansiyel olarak para izini daha karmaşık hale getirir.
Blok zinciri işlemleri görünür kalır, ancak görünürlük kurtarmayı garanti etmez. Araştırmacılar, farklı ağlardaki cüzdanları bağlamalı, hangi hizmetlerin kullanıldığını belirlemeli ve adresleri kontrol eden kişileri tespit etmelidir. Varlıklar, yaptırımlara uyma veya kimlik taleplerine uymayan platformlara ulaştığında, kurtarma daha zor hale gelir.
TRM Labs, saldırının özelliklerinin daha önceki Kuzey Kore bağlantılı hırsızlıklara benzediğini söyledi. Chainalysis de TraderTraitor'ın sorumlu olma olasılığının yüksek olduğunu değerlendirdi. FBI'ın atfı iddiaya resmi ağırlık katıyor, ancak tam adli kayıt kamuoyuna açıklanmadı.
Sahte Mülakat Bir Giriş Noktasıydı
Binance, mühendislerinden birinin Eylül ayında meşru bir iş arama platformu aracılığıyla hayali bir şirketi temsil ettiğini iddia eden biri tarafından ulaşıldığını söyledi.
İlk mülakat sırasında, İK temsilcisi gibi davranan bir kişi canlı bir video görüşmesinde göründü. Profil, güvenilir görünmesi için yeterli kişisel içeriğe ve profesyonel geçmişe sahipti.
İkinci turda teknik bir atama yer aldı. Mühendisten, kötü amaçlı yazılım dağıtmak üzere değiştirilmiş bir kod deposunu indirmesi istendi.
Binance ayrıca, başka bir mühendisin bir yapay zeka kodlama aracını kurmaya çalışırken kurcalanmış bir yazılım yükleyicisini indirdiği ayrı bir olay keşfetti. Güvenlik ekibi bu yüklemeyi tespit etti, cihazı değiştirdi ve kimlik bilgilerini döndürdü. Şirket daha sonra çalışanın ve meslektaşlarının hala maruz kalmış olabileceğini söyledi.
Binance, birden fazla şüpheli uzlaşma noktası belirledi. Bu nedenle kanıtlar, tüm hırsızlığı tek bir mülakata veya tek bir çalışana indirgemeyi desteklemiyor. İşe alım yaklaşımı, aylarca değerli sistemlere erişimi olan kişileri hedef alan daha geniş bir kampanyanın parçası gibi görünüyor.
İş Mülakatları Neden Bir Saldırı Yöntemi Olarak İşe Yarıyor?
Teknik bir mülakat, saldırgana sıradan bir kimlik avı e-postasının sunmadığı bir şeyi verir: hedefi kod çalıştırmaya ikna etmek için makul bir sebep.
Yazılım mühendisleri rutin olarak depoları klonlar, paketleri inceler ve geliştirme araçları yükler. Bu eylemler etrafında inşa edilmiş bir mülakat ataması, normal işe alım uygulamasıyla tutarlı görünebilir. Saldırganın panik yaratmasına veya inanılmaz bir ödül vaat etmesine gerek yoktur. İstek bağlama uyuyor.
İş arayanlar, zorlu bir istihdam piyasası sırasında yeni temaslara daha açık olabilirler. İnandırıcı bir işe alım uzmanı, gerçekçi bir şirket profili ve birkaç tur sohbet, herhangi bir dosya indirilmeden önce şüpheyi azaltabilir.
Bu, geliştiricilere uyarlanmış sosyal mühendisliktir. Saldırgan, doğrudan kimlik bilgileri istemek yerine, hedefin gönüllü olarak kötü amaçlı yazılımı güvenilir bir ortama tanıtacağı bir durum yaratır.
Kuzey Kore Uzaktan İşe Alımın Her İki Yanını da Sömürüyor
Sahte işe alım operasyonun sadece bir parçası.
Kuzey Koreli BT çalışanları ayrıca, teknoloji ve finans şirketlerinde gerçek işler elde etmek için çalıntı kimlikleri ve uydurma istihdam geçmişlerini kullandılar. Ücretleri daha sonra Kuzey Kore hükümetiyle bağlantılı kuruluşlara ulaşmadan önce hesaplar, kripto para cüzdanları ve aracılar aracılığıyla transfer edilebilir.
28 Ekim'de ABD Hazine Bakanlığı'nın aldığı bir karar, bu şemalarla bağlantılı 10 kişiyi ve bir kuruluşu yaptırım listesine aldı. İki Rus vatandaşı, Kuzey Koreli BT çalışanı ağları için yaklaşık 5,5 milyon dolar değerinde kripto para dönüştürmekle suçlandı.
Chainalysis, maaş benzeri stabilcoin ödemeleri gösteren bir cüzdandan yaptırım uygulanan konsolidasyon adreslerine ve ardından bir Rus aracısına giden bir akışı izledi. Fonlar nihayetinde dönüştürme için yaptırım uygulanan bir Rus borsası olan Garantex'e gönderildi.
Chainalysis soruşturması, daha geniş BT çalışanı ağının Kuzey Kore için yıllık 250 milyon ila 600 milyon dolar arasında gelir üretebileceğini, Birleşmiş Milletler panelinin tahminlerine atıfta bulunarak belirtti.
28 Ekim'de yaptırım uygulanan Rusların Binance hırsızlığına karıştığına dair kamuya açık bir kanıt yok. Vakalar, tek bir kanıtlanmış sanık grubu yerine aynı daha geniş stratejinin farklı bölümlerini ortaya koyuyor.
Yapay Zeka Sahte Kimlikleri Daha İnandırıcı Hale Getiriyor
Kuzey Koreli operatörlerin, özgeçmiş hazırlamak, ön yazı yazmak ve teknik mülakatlar yapmak için üretken yapay zekayı kullandığı bildirildi. Yapay zeka tarafından üretilen profil resimleri ve manipüle edilmiş video, başvuru sahiplerinin uzaktan görüşmeler sırasında gerçek kimliklerini gizlemelerine yardımcı olabilir.
Aynı araçlar sahte işe alım uzmanlarını da destekleyebilir. Bir saldırgan, bir şirket kimliği oluşturabilir, profesyonel görünümlü profiller üretebilir ve bir zamanlar dolandırıcılığı tespit etmeyi kolaylaştıran dilbilgisi hataları olmadan ikna edici yazılı konuşmaları sürdürebilir.
Deepfake video mükemmel olmak zorunda değil. Sıkıştırılmış bir video akışı aracılığıyla yapılan kısa bir mülakatta, küçük görsel sorunlar sıradan ağ sorunları gibi görünebilir. Bir aday veya işe alım uzmanı ayrıca arka planı bulanık tutmak için kamera kalitesi, bant genişliği veya gizlilik endişelerini de suçlayabilir.
Yapay zeka temel şemayı yaratmadı. Birden fazla sahte kimliği sürdürmenin maliyetini düşürdü ve temel taramayı daha az güvenilir hale getirdi.
Daha Önceki Yaptırım Davası Finansal Boru Hattını Açıklıyor
28 Ekim yaptırımları, Kuzey Koreli operatörler kripto para ödemeleri aldıktan sonra ne olduğunu anlamak için faydalı bir bağlam sağlıyor.
ABD Hazine Bakanlığı, Rus vatandaşı Ilya Aleksandrovich Boykov'un, Kuzey Koreli BT çalışanlarıyla bağlantılı yaptırım uygulanan bir şirket olan Alis için yaklaşık 3,5 milyon dolar değerinde kripto para dönüştürdüğünü iddia etti. Vitold Viktorovich Obertas, yaklaşık 2 milyon dolar değerinde kripto para dönüştürmek ve Kuzey Koreli yetkililer için en az 1,25 milyon dolarlık başka döviz işlemi yapmakla suçlandı.
Hazine ayrıca Rusya'da faaliyet gösteren Kuzey Kore kontrolündeki bir kuruluş olan First Financial and Technical Development Center'a da yaptırım uyguladı. Kuruluşla bağlantılı altı çalışanın 2025'ten bu yana 750.000 doların üzerinde gelir elde ettiği iddia edildi.
Bu atamalar, operasyonun teknik mülakatları geçebilen insanlardan daha fazlasını gerektirdiğini gösteriyor. Aynı zamanda yöneticiler, kimlik sağlayıcılar, dizüstü bilgisayar operatörleri, cüzdan denetleyicileri ve dijital varlıkları kullanılabilir fonlara dönüştürebilen aracılar da gerektiriyor.
Bir cüzdanı yaptırım listesine almak bir rotayı engelleyebilir. Ağ, adresleri, zincirleri, aracılıkları veya nakit çıkış hizmetlerini değiştirerek yanıt verebilir. Bu nedenle işlem izleme, yalnızca statik bir kara listeye güvenmek yerine ilişkilere ve davranışlara bakmalıdır.
Neden Kripto Şirketleri Çekici Hedefler?
Kripto şirketleri, uzaktan çalışmayı aktarılabilir değere doğrudan erişimle birleştirir.
Geliştiricilerin kaynak koduna, dağıtım araçlarına, bulut altyapısına veya dahili cüzdan sistemlerine erişimi olabilir. Güvenlik mühendisleri, birden fazla ağı koruyan kimlik bilgileriyle çalışabilir. Bir uç noktayı tehlikeye atan bir saldırgan, her saat hareket edebilecek varlıkları barındıran sistemlere giden bir yol arayabilir.
Geleneksel finansal transferler genellikle takas sistemleri, bankalar ve iş saatleri kontrollerinden geçer. Bir kripto para işlemi dakikalar içinde sınır ötesinde işlem görebilir. Bu hız meşru kullanıcılara fayda sağlar, ancak aynı zamanda bir hırsızlığı durdurmak için mevcut süreyi de kısaltır.
Binance olayı, bu sorunun ölçeğini göstermektedir. Blok zinciri ortaklarının çalınan varlıkların neredeyse yarısını dondurduğu bildirildiğinden, koordineli bir yanıt etkili olmadan milyarlarca dolar hareket etti.
Sıcak Cüzdanlar Kritik Bir Güvenlik Sınırı Olmaya Devam Ediyor
Sıcak cüzdanlar, borsaların para çekme işlemlerini gerçekleştirebilmesi için çevrimiçi sistemlere bağlıdır. Bu kullanılabilirlik, imzalama kimlik bilgilerini çevrimdışı tutan soğuk cüzdanlardan daha fazla maruz kalmalarına neden olur.
AP raporu, dışarıdan bir güvenlik uzmanının, tehlikeye atılan bir yetkilendirmenin etkilenen cüzdana aşırı geniş veya uzun süreli erişim sağlamış olabileceğini sorguladığını belirtti. Binance tam bir teknik hesaplama yayınlamadı ve soruşturması devam ediyor.
İlgili sorun sadece bir borsanın sıcak cüzdan kullanıp kullanmadığı değildir. Her aktif işlem platformunun müşteri para çekme işlemlerini gerçekleştirmek için bir yola ihtiyacı vardır. Sorular, çevrimiçi ne kadar değer tutulduğu, işlem limitlerinin nasıl uygulandığı ve olağandışı transferler için kaç bağımsız onay gerektiğidir.
Güvenli bir soğuk depolama sistemi toplam kaybı sınırlayabilir, ancak zaten operasyonel bir cüzdana taşınmış varlıkları koruyamaz. Tespit ve işlem kontrolleri hala o sınırda önemlidir.
3 Milyar Dolar Dondurmak Kurtarma Sürecini Sonlandırmıyor
Bildirilen yaklaşık 3 milyar dolarlık dondurma önemli. Aynı zamanda önemli bir miktarı çözülmemiş bırakıyor.
Bazı blok zinciri ihraççıları tokenları sözleşme düzeyinde dondurabilir. Borsalar, tanımlanmış adreslerle bağlantılı mevduatları engelleyebilir. Doğrulayıcılar, köprüler ve analiz firmaları, çalınan varlıklar hareket etmeye başladığında hızla uyarılar dağıtabilir.
Diğer varlıkları durdurmak daha zordur. Saldırganlar, merkeziyetsiz havuzlar aracılığıyla tokenları değiştirebilir, zincirler arasında hareket edebilir, gizlilik araçları kullanabilir veya fonları ABD yetkilileriyle işbirliği yapmayan yargı bölgelerinde bulunan hizmetler aracılığıyla yönlendirebilir.
FBI özellikle DeFi ve anlık takas hizmetlerinin aklama sürecinde görünebileceği konusunda uyardı. Bu uyarı, bu hizmetlerin bilerek katıldığı anlamına gelmez. İzin gerektirmeyen araçlar hem meşru müşteriler hem de yaptırım uygulanan aktörler tarafından kullanılabilir.
Kurtarma, araştırmacıların yeni adresleri ne kadar hızlı tespit ettiğine ve kalan paranın ne kadarının engelleyebilecek hizmetlere ulaştığına bağlı olacaktır.
Şirketler Saldırıdan Ne Öğrenmeli?
Binance vakası, işe alım güvenliğinin neden yalnızca bir İK departmanına ait olamayacağını gösteriyor.
Güvenilir görünen bir iş teması, üretim sistemlerine bir yol haline gelebilir. Bir mülakat sırasında alınan kod, tanınmış bir istihdam platformundan gelse bile, güvenilmeyen yazılım olarak kabul edilmelidir. İzole bir cihazda veya geçici bir ortamda test etmek, sıradan bir kariyer sohbetinin kurumsal kimlik bilgilerine ulaşmasını engelleyebilir.
Kimlik kontrollerinin işe alımdan sonra da devam etmesi gerekir. İlk gün belgeleri doğrulayan ancak olağandışı uzaktan erişimi, cihaz konumlarını veya ödeme değişikliklerini görmezden gelen bir şirket, hesabın başka birinin devraldığına dair işaretleri kaçırabilir.
FBI'ın Kuzey Koreli BT çalışanları hakkındaki rehberliği, istihdam geçmişini bağımsız olarak doğrulamayı, kimlik tutarsızlıklarını incelemeyi ve üçüncü taraf adreslere gönderilen şirket cihazlarına yakından dikkat etmeyi önermektedir. Ayrıca yetkisiz uzaktan erişim yazılımları ve bir çalışanın gerçek konumunu gizlemek için kullanılan ABD merkezli "dizüstü bilgisayar çiftlikleri" konusunda da uyarıda bulunmaktadır.
Kripto şirketleri için işe alım kontrolleri, cihaz güvenliği, cüzdan izinleri ve yaptırım taraması tek bir sistem olarak çalışmalıdır. Saldırganlar zaten onlara bu şekilde davranıyor.
Tapbit, dijital varlık piyasalarını şekillendiren güçleri takip eden okuyucular için piyasa analizi ve kripto eğitimi yayınlamaktadır. Tapbit üzerindeki en son haberleri keşfedin, Tapbit Girişi aracılığıyla mevcut bir hesaba erişin veya platform hakkında daha fazla bilgi edinmek için Tapbit ile kaydolun.
Sıkça Sorulan Sorular
Ekim 2026'da Binance'i kim hackledi?
FBI, hırsızlığı Kuzey Kore'ye atfetti ve TraderTraitor ile ilişkilendirdi. TRM Labs ve Chainalysis, saldırının davranışına ve önceki olaylarla bağlantılarına dayanarak benzer değerlendirmeler yaptı.
Binance'ten ne kadar çalındı?
Binance cüzdanlarından 10 blok zinciri üzerinden yaklaşık 6,36 milyar dolar değerinde kripto varlığı transfer edildi. Bu, rekorlardaki en büyük kripto para hırsızlığı olarak tanımlandı.
Binance müşteri fonlarını kaybetti mi?
Binance, kayıpları karşılamak için şirket fonlarından 6,34 milyar doların üzerinde bir rezerv ayırdığını ve kullanıcılara yardım etme sözü verdiğini söyledi. Şirket, müşteri varlıklarının çoğunun çevrimdışı soğuk depolamada kaldığını bildirdi.
