Bitget, şüpheli Kuzey Koreli hackerların kendi onay sürecini taklit etmesi sonucu 351 milyon dolar kaybetti

Ne oldu

Kripto para borsası Bitget, 24 Eylül 2026'da saldırganların cüzdanlarından 351,6 milyon dolar boşalttığını söylüyor; bu, yılın şimdiye kadar bilinen en büyük kripto hırsızlığı. TechCrunch'a göre bu soygun, Eylül başındaki 340 milyon dolarlık hırsızlığı geride bırakıyor; o olayda saldırgan en sonunda paranın 47 milyon dolar dışındaki tamamını geri vermişti.

Borsanın The Hacker News'te aktarılan ve RedEye Threat Intelligence tarafından incelenen kamuoyuna açık açıklamalarına göre Bitget'in güvenlik sistemleri yetkisiz transferleri 24 Eylül'de UTC ile 18:31'de tespit etti. TechCrunch toplamı 351 milyon doların üzerinde veriyor. Borsaya göre fonlar, aktif işlem için kullanılan internete bağlı cüzdanlar olan hot cüzdanlardan ve warm cüzdanlardan ayrıldı. Bitget, cold cüzdanlarının ve platform varlıklarının ezici çoğunluğunun etkilenmediğini belirtiyor.

Taklit edilen bir onay süreci

Kaybın büyüklüğü hikayenin sadece yarısı. Bitget CEO'su Gracy Chen'e göre saldırgan "cüzdan altyapımızdaki kritik bir backend sistemini ele geçirdi, işlem verilerini taklit etmek için kullandı ve fonların dışarı çıkarılması için yetkilendirme sürecimizi tetikledi."

Çalınan bir private key ya da ele geçirilmiş bir imzalayıcı (signer) bildirilmiyor. Onay iş akışı tasarlandığı gibi çalıştı — sadece, güvendiği bir sistemin ürettiği sahte verilerden oluşturulan işlemleri onayladı.

Çalınan varlıklar arasında yedi ağa yayılmış ETH, XRP, BNB, AVAX, USDT ve USDC bulunuyor: Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC ve Base.

Chen, IP davranışına ve on-chain analizlere dayanarak operasyonun "Kuzey Koreli hacker örgütlerinin bilinen kalıplarıyla büyük ölçüde örtüştiğini" söyledi; ancak Bitget belirli bir grup adını vermedi. TechCrunch'a göre blockchain istihbarat firması TRM Labs, 2026'da bugüne kadar çalınan tüm kripto varlıkların kabaca dörtte üçünü, ülkenin nükleer silah programını finanse ettiğinden şüphelenilen topluluklar olan Kuzey Koreli aktörlere atfediyor.

Kapsama alma ve cevapsız sorular

The Hacker News'e göre Bitget, kapsamlı bir güvenlik incelemesi yapılana kadar çekimleri askıya aldı; yatırımlar, işlemler ve müşteri bakiyeleri normal şekilde devam ediyor. Mandiant ve SlowMist üçüncü taraf bir soruşturma yürütüyor ve Bitget, etkilenen her zincirin arkasındaki vakıflarla iletişime geçti — RedEye bazılarının saldırgan adreslerini zaten dondurduğunu bildiriyor. Borsanın self-custodial Bitget Wallet ürünü ayrı bir altyapıda çalışıyor ve etkilenmedi.

TechCrunch, Bitget'in kullanıcı koruma fonunda 464 milyon dolar bulunduğunu ve şirketin bu tutarın hırsızlığın maliyetini karşılaması gerektiğini söylediğini aktarıyor.

Bilinmeyen çok şey var. Bitget, ilk erişim vektörünü, hangi backend sisteminin ele geçirildiğini, saldırganın ne kadar süre içeride kaldığını veya çalınan paranın ne kadarının dondurulduğunu açıklamadı.

Tanıdık bir kalıp

The Hacker News, açıklamanın SentinelOne'ın Hindistan merkezli bir BT hizmetleri şirketine yapılan saldırıyı TraderTraitor'a atfetmesinden yaklaşık bir hafta sonra geldiğine dikkat çekiyor; bu grup, 1,5 milyar dolarlık Bybit hırsızlığı ve KelpDAO'nun LayerZero köprüsüne yapılan 292 milyon dolarlık saldırıyla tanınıyor ve Kuzey Kore bağlantılı. Bitget olayını adı konmuş herhangi bir grupla ilişkilendirmiş değil.

RedEye'nun çerçevelediği daha geniş eğilim şu: en maliyetli kripto hırsızlıkları artık kriptografiyi kırmaya dayanmıyor. İmzalama adımının çevresindeki sistemleri hedefliyorlar: işlemleri hazırlayan backend'i, bunları gösteren arayüzü ve ikisine de erişebilen satıcıları ve BT sağlayıcılarını. Anahtar güvende kalırken saldırgan neyin imzalandığını kontrol ediyor.

Neden önemli

Bu hata modu kriptonun çok ötesine geçer. Ödeme işlemleri, satıcı banka bilgisi değişiklikleri, release onayları ve ayrıcalıklı erişim iş akışlarının tümü, eylemi doğru şekilde tanımlaması için yukarı akıştaki bir sisteme güvenen onay zincirleridir. Ele geçirilmiş tek bir makine hem işlemi hem de açıklamasını değiştirebildiğinde, onay yalnızca verilerin dahili olarak tutarlı olduğunu doğrular.

Savunmacılar için RedEye'nun önerileri: hedef adresleri, ayrı yönetici kimlik bilgileriyle ayrı bir altyapıda tutulan izin listeleriyle doğrulayın; her giden transferi imzalamadan önce oluşturulmuş bir taleple mutabık kılın; kayıpları backend'de değil imzalayıcıda zorunlu kılınan hız limitleriyle sınırlayın; BT hizmet sağlayıcılarını cüzdan çevresinin bir parçası olarak değerlendirin. Mandiant ve SlowMist bulgularını yayımlayana kadar diğer borsalar, aynı tekniğin kendilerine karşı hâlâ işe yarayabileceğini varsaymak zorunda.