FBI, 6 Milyar Doları Aşan Binance Hırsızlığında Kuzey Kore’nin TraderTraitor’ını Sorumlu Tuttu

Federal Soruşturma Bürosu (FBI), 31 Ekim 2026’da, Binance kripto para borsasından 6 milyar ABD dolarını aşan sanal varlık hırsızlığını Kuzey Kore’ye atfetti. Büro, Kore Demokratik Halk Cumhuriyeti’ni sorumlu gösteren ve kötü amaçlı siber faaliyeti “TraderTraitor” olarak adlandıran bir duyuru yayımladı. Hırsızlık 29 Ekim 2026 civarında gerçekleşti.

Duyuruya göre FBI, ABD Gizli Servisi ve IRS Ceza Soruşturma Birimi’ndeki ortaklarıyla birlikte, TraderTraitor faillerinin çalınan varlıkları ağırlıklı olarak Ethereum’a dönüştürdüğünü gözlemledi. Büro, failler varlıkları sonraki aklama aşamalarına hazırlarken bunların DeFi hizmetleri ve anlık takas hizmetleri üzerinden yapılan dönüşümlerle daha da aklanmasını bekliyor.

Üç kurum; THORNode operatörleri, RPC düğümü operatörleri, anlık borsalar, DeFi hizmetleri, blok zinciri analiz şirketleri ve diğer sanal varlık hizmet sağlayıcıları da dâhil olmak üzere özel sektör kuruluşlarına, duyuruda hırsızlıktan elde edilen varlıkları tuttuğu veya daha önce tutmuş olduğu belirtilen adreslerle yapılan ya da bu adreslerden kaynaklanan işlemleri engellemeleri çağrısında bulundu. Listede Ethereum, Bitcoin ve Solana adresleri yer alıyor. FBI, bu adreslerin Kuzey Koreli TraderTraitor failleri tarafından işletildiğini veya bu faillerle yakından bağlantılı olduğunu belirtiyor. FBI Siber Birimi, X’teki duyuru metnini 31 Ekim 2026’da GMT ile 22:36:58’de yayımladı.

FBI, “Kuzey Kore’nin yasa dışı siber suç ve sanal varlık hırsızlığı faaliyetlerini tespit etme, etkilerini azaltma ve engelleme” yoluyla sanal varlık topluluğunu koruma taahhüdünü sürdürdüğünü belirtti. Kurum, bilgi sahibi olan herkesten yerel FBI saha ofisiyle veya ic3.gov adresindeki İnternet Suçları Şikâyet Merkezi’yle iletişime geçmesini istedi.

29 Ekim’deki Hırsızlık Nasıl Gerçekleşti?

Blok zinciri istihbarat şirketi TRM Labs, hırsızlıkla ilgili kendi soruşturmasını 29 Ekim 2026’da yayımladı. Şirketin bildirdiğine göre, 20:05 UTC’den itibaren on blok zincirindeki Binance cüzdanlarından yaklaşık 6,36 milyar dolar çıktı; bunun büyük bölümü yaklaşık 20 dakika içinde gerçekleşti. 23:05 UTC civarında başlayan ikinci dalga ise Avalanche ve Polygon’daki Binance cüzdanlarını etkiledi. TRM, zincir içi ve zincir dışı istihbarata dayanarak saldırıyı yüksek güvenle TraderTraitor’a atfetti ve kayıtlardaki en büyük kripto para hırsızlığı olarak nitelendirdi; çalınan miktarın Şubat 2025’teki Bybit saldırısının yaklaşık dört katı olduğunu belirtti. Rakamlar, 30 Ekim 2026 saat 00:30 UTC itibarıyla zincir üstü verileri yansıtıyor.

TRM, zincir üstünde dondurulan varlıkların toplamını yaklaşık 2,7 milyar dolar olarak hesapladı: Tether yaklaşık 1,77 milyar USDT’yi, Circle yaklaşık 825 milyon USDC’yi, Ripple 40,5 milyon RLUSD’yi ve World Liberty Financial 27,8 milyon USD1’i dondurdu. Arbitrum Güvenlik Konseyi ise acil durum yetkilerini kullanarak saldırganın Arbitrum’daki cüzdanından 8.426 ETH ile yaklaşık 30 milyon dolar değerindeki 74,6 milyon ARB’yi zorla çıkardı. TRM’nin bildirdiğine göre saldırgan, bu işlemlere rağmen ihraççıların erişimi dışında kalan yaklaşık 2,4 milyar dolar değerinde, 420.000’den fazla ETH ve 18.270 BTC tutuyordu.

TRM’nin raporuna göre saldırgan, Ethereum’da önceden imzalanmış 50 yetkilendirme içeren bir EIP-7702 devri kullanarak Binance’in sıcak cüzdanını, kontrol ettiği bir fon toplama aracına dönüştürdü. Mayıs 2025’te Ethereum’un Pectra yükseltmesiyle kullanıma sunulan EIP-7702, sıradan bir cüzdanın bir yetkilendirme imzalayarak davranışının denetimini bir akıllı sözleşmeye devretmesini sağlıyor. Diğer dokuz zincirdeki Binance cüzdanları da aynı zaman aralığında olağan imzalı transferlerle saldırgana fon gönderdiğinden TRM, en olası açıklamanın Binance’in sıcak cüzdan imzalama altyapısının ele geçirilmesi olduğu değerlendirmesini yaptı. TRM’nin raporunu yayımladığı sırada Binance henüz olayın temel nedenini açıklamamıştı.

Bybit Saldırısıyla İlgili Önceki Atıf

FBI, TraderTraitor tanımını daha önce de kullandı. Büro, 26 Şubat 2025 tarihli bir kamuoyu duyurusunda (Uyarı Numarası I-022625-PSA), 21 Şubat 2025 civarında Bybit kripto para borsasından yaklaşık 1,5 milyar ABD doları değerinde sanal varlık çalınmasından Kuzey Kore’nin sorumlu olduğunu bildirdi. Duyuruda, TraderTraitor faillerinin hızla harekete geçtiği ve çalınan varlıkların bir bölümünü Bitcoin’e ve birden fazla blok zincirinde binlerce adrese dağıtılan diğer sanal varlıklara dönüştürdüğü belirtildi. Varlıkların daha da aklanmasının ve sonunda itibari para birimine dönüştürülmesinin beklendiği de ifade edildi. Bybit uyarısında RPC düğümü operatörleri, borsalar, köprüler, blok zinciri analiz şirketleri, DeFi hizmetleri ve diğer sanal varlık hizmet sağlayıcılarına benzer bir engelleme çağrısı yapıldı ve Ethereum adreslerinin listesi yayımlandı.

Binance, 31 Ekim 2026’da yayımladığı üçüncü kurtarma güncellemesinde, şirket kaynaklarından 6,34 milyar doların üzerinde kaynak ayırmasının ardından çalınan varlıkların yüzde 90’ını yerine koyduğunu söyledi. Borsa, Secure Asset Fund for Users fonunu kısmen devreye soktuğunu, Futures sigorta fonunun bir bölümünü ve şirket hazinesindeki kaynakları kullandığını belirtti. BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD ve ZEC’nin tamamının yüzde 100 oranında karşılıkla desteklendiğini; 31 Ekim 2026’da saat 00:00 UTC’de yeni bir Rezerv Kanıtı anlık görüntüsü aldığını ve sıfır bilgi kanıtının tamamının 3 Kasım 2026’ya kadar hazır olmasının beklendiğini de açıkladı. Borsa, para çekme işlemlerini 1 Kasım 2026’da yeniden başlatma planının yolunda olduğunu bildirdi.