Binance, 3 Kasım 2026’da 29 Ekim’deki soygunun ilk olay raporunu yayımladı ve saldırganların sahte iş görüşmeleri, kötü amaçlı yazılım ve ele geçirdikleri iç yapay zekâ aracı üzerinden cüzdan altyapısına ulaştığını açıkladı.
Rapora göre hazırlık aylar öncesinde başladı. Bir iş ilanı platformu üzerinden kendisini proje direktörü olarak tanıtan kişi, profilinde Binance deneyimi yazan bir mühendise ulaştı. İlk tur görüşmeyi bir insan kaynakları temsilcisi yürüttü, ikinci turda ise var olmayan bir şirketin CEO’su olduğunu söyleyen biri konuştu. Görüşmenin sonunda mühendisten iş bilgisayarına bir ödev indirmesi istendi; depodaki kötü amaçlı kod, uç nokta güvenliğini atlatan sıfır gün açığı taşıyordu.
Rapor, görüşmecinin güven kurmak için kişisel fotoğraf ve videoların bulunduğu bir sosyal medya hesabını paylaştığını da yazıyor. Saldırganlar 20 Ekim’de ele geçirdikleri makineyi ve şirketin iç yapay zekâ aracını kullanarak iki cüzdan mühendisinin bilgisayarına ulaştı; 29 Ekim’de çalınan kimlik bilgileriyle bir konteyner devreye alındı ve kötü amaçlı bir betik çalıştırıldı.
Para çıkışı 29 Ekim’de 20:05 UTC’de başladı. Rapora göre 20:05 ile 20:09 arasında beş sıcak cüzdan saldırganın adresine 233,46 milyon XRP gönderdi; Solana ve Optimism cüzdanları yaklaşık 970.500 SOL ile 44,2 milyon OP aktardı, ayrıca 18.270 BTC çıktı. Saldırganlar imzalama hizmeti üzerinden Ethereum’un EIP-7702 yetkilendirme mekanizmasını kullanarak kendi sözleşmelerine Binance’in sıcak cüzdanı üzerinde kısmi icra hakkı verdi. Son yetkisiz transfer 2.961,9 ETH ile 23:56 UTC’de zincire işlendi; Binance 30 Ekim 00:10 UTC’de yetki devrini sıfır adrese çekerek temizledi.
Rapor toplam kaybı yaklaşık 6,34 milyar dolar olarak veriyor. Binance 2,85 milyar doları dondurduğunu, etkilenen tokenların yüzde 98’ini 31 Ekim itibarıyla şirket fonlarıyla tamamladığını ve gerekli tutarın yüzde 100’ünden fazlasını ayırdığını yazdı. ABD Federal Soruşturma Bürosu saldırıyı Kuzey Kore’ye bağladı; Chainalysis ve TRM Labs sorumluluğu TraderTraitor grubuna atfetti, Chainalysis kararını yüksek güven düzeyinde duyurdu ve çalınan paranın bir ay önceki Bitget saldırısından gelen parayla zincirde karıştığını gördü.
Aklama tarafı soygunun kendisinden daha uzun sürecek. Financial Times’ın 3 Kasım’daki haberine göre saldırganlar çalınan varlıkları küçük parçalara bölerek izlemeyi zorlaştırıyor ve süreç aylar, hatta yıllar alabilir; Chainalysis’ten Phil Larratt bu süreyi haftalar, aylar, belki yıllar diye tanımladı. Elliptic saldırganların 434 milyon dolarlık USDT’yi piyasa fiyatının yüzde 12 ila 26 altında Ethereum’a çevirdiğini, 18.270 BTC’yi de 19 adrese dağıttığını izledi. Saldırganların elinde kalan tutar için kaynaklar ayrı rakam veriyor: TRM Labs yaklaşık 2,4 milyar dolar diyor, FT ise 3,3 milyar dolar yazıyor.
Binance etkilenen cüzdan sistemini yeni bir ortamda yeniden kurdu, iç yapay zekâ aracını ve erişim denetimlerini yeniledi, cihazları değiştirdi ve ilgili mühendislerin kimlik bilgilerini iptal etti. Rapor bunun ilk değerlendirme olduğunu, bazı teknik ayrıntıların saldırıları önlemek için açıklanmayacağını ve bağımsız güvenlik firmalarının inceleme yapacağını belirtiyor.