Blokzincir analiz şirketi TRM Labs tarafından yayımlanan teknik rapor, saldırının arkasındaki sofistike yöntemleri ve saatler süren hazırlık evresini gözler önüne serdi.
36 Saatlik Hazırlık ve EIP-7702 Zafiyeti
TRM Labs'ın blokzincir üzerindeki işlem akışları ve zincir dışı istihbarat verilerine dayandırdığı rapora göre saldırının hazırlıkları, 28 Ekim sabahından itibaren başlatıldı. Şubat 2025'te Bybit borsasından gerçekleştirilen 1,5 milyar dolarlık soygundaki taktiklerle benzerlik gösteren operasyonda korsanlar, önce gizlilik protokolü Tornado Cash üzerinden cüzdanlarını finanse etti ve kötü amaçlı yazılımları test ağlarında denedi.
Testlerin tamamlanmasının ardından korsanlar, Binance’in hızlı çekim işlemleri için kullandığı sıcak cüzdanları hedef aldı. Ethereum ağındaki EIP-7702 protokolünün yetkilendirme mekanizmasını istismar eden saldırganlar, Binance cüzdanı adına önceden hazırlanmış 50 farklı imza kombinasyonu üretti. Yetkilendirmenin cüzdana yüklenmesinden yalnızca 3 dakika 24 saniye sonra, 167 bin 464 ETH ve 1,615 milyar USDT başta olmak üzere 63 farklı kripto varlık hızla korsanların hesaplarına aktarıldı. Yetki iptal edilmediği için sıcak cüzdana düşen yeni yatırımlar da otomatik olarak çekilmeye devam etti.
20 Dakikada 10 Farklı Ağ Boşaltıldı
Kuzey Koreli grubun operasyonu yalnızca Ethereum ile sınırlı kalmadı. Korsanlar; Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base ve Polygon ağlarında eş zamanlı hareket etti. Yaklaşık 20 dakika içerisinde 10 farklı blokzincirdeki cüzdanlardan milyarlarca dolarlık bakiye tahliye edildi. TRM Labs uzmanları, farklı anahtar ve imzalama protokollerine sahip bu ağların tamamında aynı anda geçerli işlem üretilebilmiş olmasını, doğrudan borsa altyapısındaki onay mekanizmalarının ele geçirilmiş olabileceği şeklinde yorumladı.
Ele geçirilen stabil kripto paraların dondurulmasını engellemek isteyen bilgisayar korsanları, fonları hızla merkeziyetsiz finans (DeFi) havuzlarına aktardı. Yaklaşık 60 milyon USDT, borç verme platformu Aave'ye teminat yatırılarak dondurulması zor olan 19 bin 760 ETH'ye çevrildi. Durumu fark eden platform yetkilileri etkilenen havuzları askıya aldı.
Binance: "Kullanıcı Fonları Güvende, Zararı Karşılayacağız"
Olayın ilk etapta bir sistem mühendisinin cihazına sızılması kaynaklı olabileceğini değerlendiren Binance yönetimi, saldırının karmaşık bir siber operasyon olduğunu ve uluslararası kolluk kuvvetleriyle koordinasyon halinde soruşturmanın sürdüğünü duyurdu.
Borsa yönetimi, para çekme işlemlerinin durdurulmasıyla yeni varlık çıkışlarının engellendiğini ve yaklaşık 3 milyar dolarlık çalınan varlığın dondurulması için ekosistem ortaklarıyla ortak çalışma yürütüldüğünü bildirdi. Kullanıcıların hiçbir kayıp yaşamayacağını taahhüt eden borsa, oluşan tüm zararın şirketin öz kaynakları ve SAFU (Kullanıcılar İçin Güvenli Varlık Fonu) rezervlerinden eksiksiz karşılanacağını vurguladı. Para çekme işlemlerinin, güvenlik incelemelerinin tamamlanmasıyla birlikte 45 saat içinde kademeli olarak yeniden başlatılması planlanıyor.
