29 Ekim 2026’da Binance cüzdanlarından farklı blokzincirlere yayılan yaklaşık 6,3–6,4 milyar dolarlık kripto varlık çıktı. Transferlerin büyük bölümü yaklaşık 20 dakika içinde gerçekleşti. FBI, hırsızlığı Kuzey Kore’nin TraderTraitor adlı grubuna atfetti. Zincir üstü izleme ekipleri varlıkların ağlar arasındaki hareketini takip ederken, THORChain’deki bir kesinti takasları kısa süreliğine durdurdu.
1
12
58
Bu rakamlar farklı incelemelerin tahminleri; üzerinde uzlaşılmış tek bir toplam değiller. Ayrıca hareket ettirilen varlıkları, dondurulanları ve Binance’in karşılayacağını söylediği müşteri kayıplarını ayrı değerlendirmek gerekiyor.
Ne oldu, sorumluluk kime atfedildi?
TRM Labs, 29 Ekim’de saat 20.05 UTC civarında başlayan çıkışların çoğunun yaklaşık 20 dakikada gerçekleştiğini ve Binance cüzdanlarından 10 blokzincirde yaklaşık 6,36 milyar dolar çıktığını hesapladı. Diğer analizlerde toplam ve ağ sayısı farklı: Elliptic 11 blokzincirde 6,43 milyar dolar, Bitquery ise dokuz ağda yaklaşık 6,3 milyar dolar izledi. Bu farklar, tek bir kesin hesap yerine farklı incelemelerin sonuçlarını yansıtıyor.
12
58
19
FBI, saldırıdan Kuzey Kore’yi sorumlu tuttu ve bu faaliyet için “TraderTraitor” adını kullandı. Büro, çalınan varlıkların ağırlıklı olarak ether’e (ETH) çevrildiğini gözlemlediğini de bildirdi.
1 Kuzey Kore suçlamayı reddetti. CoinDesk’in haberine göre Kim Yo Jong iddiaları siyasi provokasyon olarak nitelendirdi; Reuters ise Kuzey Kore’nin suçlamaları “saçma söylemler” diye reddettiğini aktardı.
56
48
Bazı haberler, Binance’in cüzdan işlemlerini imzalama süreçleriyle bağlantılı sistemlerin ele geçirilmiş olabileceğine işaret ediyor. Ancak burada yer alan bilgiler, saldırganların erişimi tam olarak nasıl elde ettiğini ortaya koyan eksiksiz bir adli inceleme sunmuyor.
5
16
Çalınan SOL nereye gitti?
4 Kasım tarihli, blokzincir izleme çalışmalarına dayanan haberlerde, hırsızlıkla ilişkilendirilen 970.522 SOL’ün yaklaşık yüzde 81’inin saldırganlarla bağlantılı cüzdanlardan çıktığı bildirildi. Arkham tarafından izlenen cüzdanlarda o sırada 182.443 SOL bulunduğu ve bu bakiyenin yaklaşık 16,9 milyon dolar değerinde olduğu aktarıldı.
22
29
Raporlara göre SOL farklı cüzdanlara bölündü ve THORChain dâhil olmak üzere dönüşüm ve zincirler arası takas rotalarından geçirildi. Bazı haberlerde USDC’ye, ardından Ethereum’a ve sonrasında Bitcoin’e uzanan bir rota tarif edildi. Bunlar işlem izleme raporlarıdır; her varlığın aynı yolu izlediğini veya aktarılan token’ların tamamının satılıp nakde çevrildiğini kanıtlamaz.
23
29
Piyasa etkisini değerlendirirken bu ayrım önemli. Bir haber, saldırı döneminde SOL fiyatında kısa süreli düşüş yaşandığını bildirdi. Ancak mevcut kaynaklar, saldırının daha geniş fiyat hareketlerine ne ölçüde katkıda bulunduğunu ortaya koymuyor; ekim ayındaki performans, açığa satış pozisyonları, ETF akışları veya borsalara yatırılan varlıklara ilişkin daha kapsamlı iddiaları da doğrulamıyor. Bir varlığın borsaya gönderilmesi tek başına satıldığını göstermez.
28
THORChain takasları neden durdurdu, neler yeniden açıldı?
31 Ekim’de Ethereum’daki bir blok yeniden düzenlemesi, THORChain’de 10 ETH’lik bir yatırma işlemiyle ilgili soruna yol açtı. Haberlere göre protokol aynı yatırma için yanlışlıkla iki kez iade yaptı ve acil önlem olarak takasları durdurdu. Chainalysis, bu kesintinin Binance hırsızlığıyla bağlantılı aklama işlemlerini istemeden geciktirdiğini belirtti: Şüpheli saldırganlar da dâhil olmak üzere kullanıcılar, duraklama sırasında THORChain’in birçok köprüsünde takas yapamadı.
38
46
v3.21.1 güncellemesinin ardından THORChain, Bitcoin ve Ethereum’un yanı sıra listelenen dokuz varlıkla ilgili takasları yeniden başlattı. Yeniden açılış haberine göre Solana, BNB Smart Chain ve Cosmos Hub işlemleri ise duraklatılmış olarak kaldı.
41
Grey Ledger’a atfedilen ayrı bir haberde, takasların açılmasından sonraki 25 dakika içinde izlenen adreslerle ilişkili 41 işlemin tamamlandığı ve toplam 368,12 ETH ödendiği bildirildi. Bu, takip çalışmasının aktardığı bir sonuçtur; çalınan varlıkların tamamını gösteren bir hesap veya alıcı adreslerinin tümünün aynı aktörlerce kontrol edildiğinin kanıtı değildir.
42
FBI, THORChain node operatörleri dâhil kripto hizmetlerinden hırsızlıkla bağlantılı işlemleri kısıtlamalarını istedi. Büro, listesinde 608 Ethereum, 19 Bitcoin ve bir Solana adresine yer verdi. THORChain’in bağımsız çalışan node yapısı, böyle bir talebin protokol genelinde nasıl uygulanacağını basitçe açıklamayı zorlaştırıyor.
34
40
60
Dondurulan varlıklar, kalan bakiyeler ve müşteri kayıpları
Elliptic, ihraççıları Tether ve Circle’ın hırsızlıkla bağlantılı yaklaşık 2,8 milyar dolarlık stabilcoin’i dondurduğunu bildirdi. Dondurulan veya engellenen varlıklara ilişkin diğer tahminler de milyarlarca dolara ulaşıyor; ancak toplamlar kaynağa ve raporun yayımlandığı tarihe göre değişiyor.
52
60
Ayrı tahminlerde, çoğunlukla Bitcoin ve ether olarak, hırsızlıkla ilişkili adreslerde yaklaşık 3,21–3,25 milyar dolar bulunduğu belirtildi. Bunlar belirli tarihlerdeki izleme tahminleri. Bağlantılı bir cüzdanda görünen varlık, geri alınmış varlık demek değil; dondurulmuş bakiye de saldırganların elinde kalan bakiye ile aynı şey değil.
53
60
Binance, müşteri kayıplarını karşılayacağını açıkladı. 4 Kasım’da yayımlanan bir haberde borsanın etkilenen tutarın yaklaşık yüzde 98’ini yerine koyduğu bildirildi. Müşterilere kayıplarını telafi etmek, çalınan kripto varlıkları saldırganlardan geri almakla aynı anlama gelmiyor.
27
50
Kanıtlar neyi gösteriyor, neyi göstermiyor?
Mevcut kaynakların desteklediği genel tablo şu: Çok büyük miktarda varlık kısa sürede çalındı; FBI saldırıyı Kuzey Kore bağlantılı TraderTraitor grubuna atfetti ve Kuzey Kore bu suçlamayı reddetti; çalınan SOL’ün önemli bölümü hareket ettirildi; THORChain’deki kesinti ise zincirler arası takasları geçici olarak aksattı.
1
12
22
38
56
Mevcut bilgiler, bildirilen her işlem rotasını kesinleşmiş kabul etmeyi, varlık hareketini başarılı nakde çevirmeyle bir tutmayı veya saldırının Solana’daki genel fiyat yönünü belirlediğini söylemeyi desteklemiyor. Dondurulan tutarlar, hırsızlıkla bağlantılı cüzdanlarda kalan varlıklar ve Binance’in yerine koyduğu müşteri bakiyeleri farklı şeyleri ölçüyor; ayrı ayrı değerlendirilmeliler.