Kuzey Koreli Hackerlar Binance’e İşte Böyle Sızdı: Sahte İş Mülakatı ve Yapay Zeka Truva Atı

Dünyanın en büyük kripto para borsası Binance’in yayınladığı kapsamlı siber olay inceleme raporu, siber savaşın ulaştığı korkutucu boyutu gözler önüne serdi. Milyarlarca dolarlık güvenlik duvarları, yapay zekalı anomali tespit sistemleri ve yüzlerce kişilik savunma ordusu; tek bir mühendisin hevesle girdiği “sahte bir iş görüşmesi” karşısında darmadağın oldu.

Kuzey Kore lideri Kim Jong-un’un rejimini finanse etmek için küresel dijital varlıkları hedef alan meşhur Lazarus Grubu (ve onun finans kolu BlueNoroff), Binance cüzdan mühendislerinin bilgisayarlarına sızarak kripto tarihinin en sofistike siber casusluk operasyonuna imza attı.

---

Lazarus ve BlueNoroff’un İnce İşi: LinkedIn’den Başlayan Av

Saldırının ilk tohumları sıradan bir siber saldırı gibi başlamadı. Kuzey Koreli korsanlar kaba kuvvetle şifre denemek yerine “Contagious Interview” (Bulaşıcı Mülakat) adını verdikleri aylar süren bir sosyal mühendislik senaryosu kurguladı:

• Hedef Belirleme: Binance’in sıcak ve soğuk cüzdan altyapısında yetkili kıdemli yazılım mühendislerinin sosyal medya ve LinkedIn profilleri mercek altına alındı.
• Sahte Kimlikler ve Şirketler: Hackerlar, Silikon Vadisi ve Londra merkezli saygın bir Web3 fonu ve teknoloji şirketi gibi görünen son derece profesyonel sahte kurumsal web siteleri, LinkedIn profilleri ve çalışan hesapları oluşturdu.
• Büyük Teklif: Hedef alınan mühendise, piyasa şartlarının iki katı maaş ve hisse opsiyonu içeren rüya gibi bir “Baş Sistem Mimarı” pozisyonu teklif edildi.

---

Sahte CEO’lar ve Canlı Görüntülü Mülakat Tiyatrosu

Mühendisin şüphesini sıfıra indirmek için inanılmaz bir tiyatro sahnelendi:

• Karşı taraf doğrudan dosya göndermedi. Öncelikle insan kaynakları mülakatı yapıldı.
• Ardından kendini “Proje Direktörü” ve “Şirket CEO’su” olarak tanıtan (yapay zeka filtreleri ve profesyonel aktörler destekli) kişilerle canlı video konferans görüşmeleri gerçekleştirildi.
• Görüşmeler son derece profesyonel teknik tartışmalarla geçti.
• Son aşamada adaya şu söylendi: “Sizinle çalışmayı çok istiyoruz; ancak sistemlerimizde karşılaşacağınız ölçeklenebilirlik problemini nasıl çözeceğinizi görmek için hazırladığımız küçük bir kodlama ödevini inceleyip çıktısını bizimle paylaşır mısınız?”

---

Zehirli Kodlama Ödevi: EDR ve Antivirüsleri Kör Eden Sıfır Gün

Mühendisin iş bilgisayarına indirdiği GitHub deposu görünümlü arşiv dosyasının içine, o an dünyadaki hiçbir güvenlik yazılımının ve EDR (Uç Nokta Tehdit Algılama) motorunun tanıyamadığı sıfırıncı gün (zero-day) zararlısı enjekte edilmişti:

• Meşru Kütüphane Kılığı: Zararlı kod, popüler bir Node.js ve C++ geliştirici bileşeninin içine gizlenmişti.
• Derleme Anında Enjeksiyon: Mühendis kodu çalıştırmak için terminalde npm install veya make komutunu verdiği anda, arka planda gizli bir PowerShell ve bellek içi (in-memory) enjeksiyon tetiklendi.
• Kalıcılık: Saldırganlar doğrudan alarm yaratacak işlemler yapmadı; mühendisin cihazına yerleşip aylarca bekleyerek şirket içi yetkilendirme anahtarlarını, Slack konuşmalarını ve iç ağ topolojisini haritalandırdı.

---

Şirket İçi Yapay Zekâ Aracının Sıçrama Tahtası Yapılması

Operasyonun en çarpıcı ve modern ayağı Ekim 2026’da gerçekleşti. Cihazda kalıcı olan hackerlar, Binance mühendislerinin rutin kod analizi ve iç sistem sorguları için kullandığı dahili bir kurumsal yapay zeka asistanının API yetkilerini ele geçirdi:

1. Hackerlar, ele geçirdikleri kimlik belirteçleriyle şirket içi yapay zeka aracına özel prompt’lar girerek cüzdan imzalama konteynerlerinin mimarisini sorgulattı.
2. Yapay zeka asistanı, meşru bir şirket çalışanından geldiğini sandığı bu sorgulara yanıt vererek izole sistemlerin güvenlik zafiyetlerini ve konfigürasyon yollarını saldırganlara teslim etti.
3. Bu sıçrama tahtası sayesinde saldırganlar doğrudan sıcak cüzdan imzalama mekanizmalarına yaklaşarak 29 Ekim gecesi eşzamanlı bir fon çekim operasyonu başlattı.

---

6.34 Milyar Dolarlık Tehdit ve Hızlı Müdahale

Saldırganlar sistemden yaklaşık 6.34 milyar dolarlık akıl almaz bir kripto varlığı transfer etmeye çalıştı. Ancak Binance’in çoklu imza (multisig) alarmları ve otomatik zincir üstü dondurma mekanizmaları devreye girdi:

• Fonların yaklaşık 2.85 milyar dolarlık bölümü borsanın güvenlik ekipleri, USDT ihraççısı Tether ve uluslararası kolluk kuvvetlerinin anlık iş birliğiyle donduruldu.
• Binance CEO’su ve yönetim ekibi, kullanıcı fonlarının hiçbir şekilde zarar görmediğini, tüm açığın şirketin devasa SAFU (Kullanıcılar İçin Güvenli Varlık Fonu) rezervlerinden karşılandığını duyurdu.
• FBI ve blokzincir analiz şirketi Chainalysis, transfer edilen adreslerin ve kullanılan karmaşık kripto mikserlerinin kesin olarak Kuzey Kore devleti destekli Lazarus / TraderTraitor kümesine ait olduğunu tescilledi.

---

Sonuç: En Güçlü Güvenlik Duvarı Bile İnsan Merakına Karşı Çaresizdir

Binance vakası, siber güvenliğin artık sadece sunucu yapılandırması veya kriptografik algoritmalarla sınırlı olmadığını acı bir şekilde kanıtlamıştır.

Siber ordular, en korunaklı kalelerin kapısını kırmak yerine; o kalenin içinde anahtarı elinde tutan insanın hırslarını, kariyer arayışlarını ve merakını hedef almaktadır. Teknoloji şirketleri için çıkarılacak en hayati ders şudur: İzole edilmemiş hiçbir bilgisayarda harici tek bir satır kod çalıştırılamaz; zira en büyük sıfır gün açığı her zaman insan psikolojisidir.