FBI, pazar günü beş günlük spekülasyona son verdi: 29 Ekim'de Binance'ten çekilen 6,3 milyar dolar Kuzey Kore'nin işiydi. Büro yaptığı açıklamada hırsızlığı "TraderTraitor" adını verdiği faaliyete bağladı, faillerin çalınan varlıkları ağırlıklı olarak Ethereum'a çevirdiğini gözlemlediğini bildirdi ve paranın aklanma zincirinin bir sonraki durağının DeFi ile anlık takas hizmetleri olacağı uyarısını yaptı. Açıklama Gizli Servis ve IRS-Ceza Soruşturma birimiyle birlikte yapıldı.

Rakamı kavramak kolay değil. Chainalysis, hırsızlık anındaki tutarı 5,9 milyar dolar olarak hesapladı — 2025'teki Bybit saldırısının yaklaşık dört katı. Binance'in kendi tahmini 6,3 milyar dolar, Chainalysis CEO'su Jonathan Levin ise 6,4 milyar dolar dedi. TRM Labs olayı kayıtlara geçmiş en büyük kripto hırsızlığı olarak nitelendirdi ve "yüksek güvenle" TraderTraitor'a atfetti.

Ardından sınırlama çabası geldi. Binance 3 milyar doların dondurulduğunu söylüyor; bu rakam hafta boyunca Tether (1,57 milyar dolar), Circle (800 milyon doların üzerinde), Ripple (RLUSD), World Liberty Financial (USD1 cinsinden 27 milyon dolar), First Digital (FDUSD) ve Arbitrum Güvenlik Konseyi'nin (30,5 milyon dolar) tokenları kilitlemesiyle büyüdü. Borsa, 5 milyar doları çalınan tokenların aynısında olmak üzere 6,34 milyar doları aşan şirket fonu ayırdığını, kalanını tezgah üstü ve borsa içi alımlarla tamamlayarak rezervleri yerine koyduğunu açıkladı. 29 Ekim'de durdurulan para çekme işlemleri pazar günü yeniden açıldı. Eş CEO Richard Teng pazartesiye kadar bir rezerv kanıtı raporu sözü vermiş ve çalınan varlıkların yaklaşık yüzde 90'ının yerine konduğunu söylemişti.

Sektörün asıl incelemesi gereken kısım, saldırının nasıl gerçekleştiği. Binance'in ilk açıklaması, ele geçirilmiş bir DevOps mühendisinin dizüstü bilgisayarına işaret ediyordu: saldırgan buradan bir servis konteynerine ulaşıp yetkisiz para çekme talepleri göndermişti. Şirkete göre özel anahtar sızıntısı yoktu. Perşembe günü Teng daha kasıtlı bir tablo çizdi: saldırgan, bir sıcak cüzdan üzerinde yürütme yetkisi kazanmak için EIP-7702 delegasyonu kullanmıştı ve bu delegasyon "normal onay kontrollerimizden geçmemişti". Ayrıca araçları ve izleri yok eden bir kendini imha mekanizması devreye girmişti. Soruşturma ilerledikçe ek ihlal noktaları bulundu. Ethereum'un akıllı hesap yükseltmesi EIP-7702 sebep değil — analistler Cointelegraph'a hırsızlığın onsuz da mümkün olduğunu söyledi — ama işlemi tek süpürmeye indirgedi ve savunma tarafına avlanıp iptal edilmesi gereken yeni bir delegasyon sınıfı bıraktı.

Aklama tarafı da alışıldık değil. Chainalysis "daha önce görülmemiş" örüntüler bildirdi: kısa sürede binlerce işlem, fonların adresler arasında dolaşıp daha önce kullanılan cüzdanlara geri dönmesi — otomasyona işaret ediyor. Zincir üstü araştırmacı ZachXBT, Binance fonlarının THORChain üzerinden daha önceki Bitget saldırısının geliriyle aynı adreste birleştiğini buldu; o saldırı da TraderTraitor'a atfedilmişti.

Piyasa darbeyi anında aldı: bitcoin 76.900 dolar civarında yüzde 4,9 düşüşte, BNB yüzde 8, ether yüzde 5,7 ekside; Aave ve Uniswap tokenları çift haneli geriledi; Korku ve Açgözlülük endeksi ağustostan bu yana en düşük seviyesi olan 30'a indi. Aave, saldırganın çalıntı USDT karşılığında 44,6 milyon dolar borçlanmasının ardından V3'te 175, V4'te 117 rezervi dondurdu; pozisyon hareket etmeyi bırakınca dondurmayı kaldırdı. Standard Chartered'dan Geoffrey Kendrick ticari sonucu açıkça söyledi: merkeziyetsiz borsa tezi artık savunması daha kolay bir tez.

Çözülmüş olanlardan çok, açık kalanlar önemli. Dondurulan 3 milyar dolar geri alınabilir mi, yoksa sadece park mı edildi? Bir rezerv kanıtı anlık görüntüsü, mevduat sahiplerinin gerçekte sorduğu soruyu yanıtlıyor mu — tek bir delegasyon 6 milyar doları bir borsanın kontrollerinden nasıl geçirdi? Ve "tüm zararları karşılayacağız" bir güvenlik kontrolü mü, yoksa sıradaki borsanın da tutabileceği varsayılan bir söz mü?

Kaynaklar