Binance Hack: 6,36 Milyar Dolarlık Varlığın Transfer Akışı, Aklama Yöntemleri ve Dondurmalar (29 Ekim 2026)

Son güncelleme: 01.11.2026 · Hazırlayan: Av. Ahmet Karaca, İstanbul Barosu (Sicil No 92414) · Baro levhasında doğrula

Binance hack’inde ne oldu?

29 Ekim 2026’da 20:05 UTC’den (23:05 TSİ) itibaren Binance’in blokzincirler üzerindeki sıcak cüzdanlarından (borsanın müşteri çekimlerini işlemek için kullandığı, internete bağlı cüzdanlardan) varlıklar tek bir saldırganın kontrolündeki adreslere gönderildi. TRM Labs, her transferi çalındığı andaki fiyatla değerlendirdiğinde toplamın yaklaşık 6,36 milyar dolar olduğunu hesapladı; çıkışların büyük bölümü ilk yarım saatte gerçekleşti. Bu, kayıtlardaki en büyük kripto hırsızlığıdır ve Şubat 2025’teki Bybit saldırısının (yaklaşık 1,5 milyar dolar) yaklaşık dört katıdır.

Binance olayı bir güvenlik ihlali olarak doğruladı, birden fazla ağda çekimleri geçici olarak durdurdu ve kullanıcı varlıklarının güvende olduğunu açıkladı. Şirket, kayıpları SAFU fonu (Binance’in kullanıcıları korumak için ayırdığı acil durum fonu) ve şirket kaynaklarıyla karşılayacağını bildirdi. Saldırının kök nedenine ilişkin teknik rapor yayımlanmadı.

Bu sayfadaki saatler, aksi belirtilmedikçe UTC’dir; Türkiye saati (TSİ) UTC’den üç saat ileridir. Rakamlar kaynak ve tarih belirtilerek verilir; kuruluşlar arasında fark olduğunda her biri ayrı gösterilir.

Ne kadar kripto varlık çalındı ve hangi zincirlerden çıktı?

Çalınan tutar, hangi kuruluşun hesabına bakıldığına göre 6,3 ile 6,43 milyar dolar arasında değişir. TRM Labs 6,36 milyar dolar (on zincir), Elliptic 6,43 milyar dolar (on bir zincir), Chainalysis yaklaşık 6,4 milyar dolar bildirdi; Binance’in kendi etki tahmini yaklaşık 6,3 milyar dolardır. Ethereum yaklaşık 3,79 milyar dolarla çalınan değerin yarısından fazlasını oluşturur, onu Bitcoin ve Tron izler.

Kuruluşların rakamları neden birbirinden farklı?

• Fiyatlama anı: TRM, her transferi çalındığı andaki fiyatla değerler (6,36 milyar $); aynı varlıkların güncel fiyatlarla değeri yaklaşık 6,23 milyar $’dır. Elliptic de çalınma anındaki fiyatları esas alır ve blok gezgini ile DefiLlama fiyatlarıyla çapraz kontrol yapar.
• Zincir sayısı: Elliptic, NEAR zincirini de sayarak on bir zincirden söz eder; TRM’nin listesinde on zincir vardır.
• Toplama katılmayan tutar: Elliptic, çekimler durdurulduktan sonra Binance’ten çıkan 169 milyon dolarlık tutarı 6,43 milyar dolarlık toplamına katmaz; bu tutar saldırganla bağlantısı olmayan, köklü adreslere gitmiştir ve Binance’in kendi fonlarını taşıması gibi görünür. Bu çıkış, Elliptic ile TRM arasındaki farkı açıklamaz; yalnız Elliptic’in neyi saymadığını gösterir.
• Binance tahmini: Binance’in yaklaşık 6,3 milyar dolarlık rakamı, Elliptic’in aktardığı biçimiyle bir “etki tahminidir”.

Elliptic’in dökümüne göre hırsızlığın %74’ünü dört varlık oluşturur: Ethereum üzerindeki USDT, BTC, USDC ve Tron üzerindeki USDT. Stablecoin’lerin toplam payı 3,46 milyar dolardır; geri kalanı BTC, ETH, XRP, SOL gibi yerel varlıklardan ve çeşitli tokenlerden oluşur. Bu dağılım olayın sonraki bölümünü belirler: stablecoin’ler ihraççıları tarafından dondurulabilir, yerel varlıkların ise ihraççısı olmadığı için bunları dondurabilecek merkezî bir taraf yoktur.

Saldırı saat saat nasıl ilerledi?

Saldırı en az 36 saatlik bir hazırlığın ürünüydü; ana çıkışlar ilk yarım saatte gerçekleşti, ikinci dalga ve yeniden süpürmeler 23:56’ya kadar sürdü, dondurma yarışı ise geceyi aştı. Aşağıdaki sıra TRM Labs, Elliptic ve Chainalysis’in zincir üstü gözlemlerinin birleşimidir.

Hazırlık: 28-29 Ekim

• 28 Ekim’den itibaren: Saldırganın yeni oluşturulmuş “operatör” cüzdanı, Tornado Cash’ten 0,1 ETH’lik üç küçük çekim aldı (TRM bunun 28 Ekim sabahı başladığını, Elliptic çekimlerin 28-29 Ekim arasında yapıldığını bildirir). Tornado Cash, farklı kullanıcıların fonlarını bir havuzda birleştirerek gönderen ile alıcı arasındaki bağı koparmaya çalışan bir karıştırıcıdır (mixer). Chainalysis’in aktardığına göre saldırgan, Ethereum’daki yetkilendirmeleri bu karıştırıcı üzerinden fonlanan bir operasyon cüzdanıyla gönderdi.
• 29 Ekim, gün içinde: TRM’ye göre operatör saldırı kodunun ilk sürümünü iki cüzdanda denedi, nihai sürümü üçüncü bir cüzdanda prova etti ve test fonlarını kendine geri gönderdi. Elliptic, sweeper kontratının 15:59 UTC’de dağıtıldığını ve provanın kullanımdan yaklaşık dört saat önce yapıldığını bildirir.
• Kurulum: Provadan yaklaşık dört saat sonra aynı kod, Binance’in Ethereum sıcak cüzdanına kuruldu. Zincir üstündeki hazırlık adımları herkese açık veridir; sızmanın zincir dışındaki kısmı ise zincirde görünmez. Tornado Cash’ten gelen üç çekim ve test cüzdanları, saldırının sonradan yeniden kurulmasında ilk izlenecek halkalardır.

Çalma ve dondurma: 29-30 Ekim (UTC ve TSİ)

Şekil 2, aynı olayları ölçekli bir zaman çizelgesinde gösterir: çıkışlar, stablecoin dönüşümü ve dondurmalar tek eksende, aralarındaki süreler gerçek oranlarıyla çizilmiştir.

EIP-7702 nedir ve Binance’in Ethereum sıcak cüzdanı bununla nasıl boşaltıldı?

EIP-7702 (Ethereum İyileştirme Önerisi 7702, “EOA’lar için kod ayarlama”), Mayıs 2025’teki Pectra güncellemesiyle devreye giren ve özel anahtarla yönetilen sıradan bir hesabın (EOA: kontrat kodu taşımayan hesap) imzalı bir yetkilendirmeyle bir akıllı sözleşmenin kodunu kendi adına çalıştırmasına izin veren standarttır. Yetkilendirme hesaba bir delegasyon göstergesi yazar (0xef0100 öneki ve ardından sözleşmenin adresi); bundan sonra hesaba yapılan her çağrı o sözleşmenin kodunu çalıştırır ve düzen, hesap yeni bir yetkilendirme imzalayana kadar sürer. Standart, toplu işlem ve işlem ücretinin başkası tarafından ödenmesi gibi kolaylıklar için tasarlanmıştır; saldırgan aynı mekanizmayı bir sıcak cüzdanın kontrolünü devralmak için kullandı.

Saldırının üç adımı

1. Hazırlık (28-29 Ekim). Operatör cüzdanı Tornado Cash üzerinden fonlandı, sweeper kontratı dağıtıldı ve üçüncü bir cüzdanda denendi. Sweeper, yalnızca operatörün talimatını kabul eden bir kontrattır; çağrıldığında bağlı olduğu hesabın tüm bakiyesini saldırganın adresine gönderir.
2. Yetkilendirme (20:20 UTC). Operatör, her biri Binance 14 adlı sıcak cüzdanın anahtarıyla imzalanmış 50 yetkilendirmeyi tek bir işlemde gönderdi. Her yetkilendirme cüzdanı sweeper kontratına bağlıyordu. Bir yetkilendirme, yalnızca hesabın işlem sayacının (nonce) o anda ulaştığı değerde geçerlidir. Binance 14 sürekli çekim işlediği için sayacı hep ilerler; saldırgan 50 ardışık sayaç değeri için imza hazırlayarak, işlem zincire girdiğinde bunlardan birinin tutacağını garanti etti. Biri tuttu. İmzalar önceden, toplu olarak üretilmişti.
3. Süpürme (≈20:24 UTC). Delegasyondan üç dakika 24 saniye sonra operatör cüzdana çağrı yaptı ve bakiyenin tamamını saldırgan adresine yolladı: 167.464 ETH ve 63 token. Delegasyon kaldırılmadığı için yeni imza gerekmedi; sonraki saatlerde cüzdana gelen her fon yeniden süpürüldü.

Delegasyonun kalıcılığı ve ikinci bir cüzdana uzanan yetki

Delegasyon yürürlükte kaldığı sürece cüzdan, kendi iç mantığı yerine saldırganın sözleşmesiyle çalışır. TRM Labs 20:41, 20:59, 21:04, 21:44, 22:39 ve 23:56 UTC’de yeni gelen fonların süpürüldüğünü kaydetti. Binance 14 aynı zamanda başka bir Binance akıllı hesabının yürütücüsü (Elliptic’in ifadesiyle sahibi) olduğundan, saldırgan bu yetkiyle o hesaptan 823 milyon USDC çekebildi; Circle bu USDC’yi kısa süre sonra dondurdu.

Bu ayrıntı, EIP-7702 delegasyonlarının izlenmesinde bir ölçüt verir: delegasyon yapılmış bir hesabın kod alanı 23 bayttır ve 0xef0100 ile başlar. Normalde kodu bulunmaması gereken bir hazine cüzdanında böyle bir kod görünmesi, TRM’nin de belirttiği gibi, derhâl alarm üretmesi gereken bir göstergedir. Fon geldiği anda süpüren bot mantığının bireysel cüzdanlardaki görünümü sweeper bot şüphesi yazımızda anlatılıyor.

Saldırı bir oltalama mıydı, yoksa Binance’in imza altyapısının ele geçirilmesi mi?

Zincir verisi ikinci seçeneği destekliyor. Ethereum’daki 50 yetkilendirme tek başına oltalanmış imzalarla açıklanabilir; ilk işaretler de bu yöndeydi. Ancak aynı yarım saat içinde XRP Ledger’daki beş cüzdan, Bitcoin, Tron, Solana, Arbitrum, Optimism, Base ve Avalanche’deki Binance cüzdanları, delegasyon olmadan, olağan imzalı transferlerle saldırgana fon gönderdi. Bu cüzdanlar farklı zincirlerde, farklı anahtar türleri ve imza şemalarıyla çalışır. TRM’ye göre en olası açıklama, saldırganın Binance’in sıcak cüzdan imzalama sistemine kendi seçtiği işlemleri imzalattırabilmesidir.

Ethereum’daki ikinci bir sıcak cüzdan olan Binance 16 da delegasyona gerek duymadan, kendi anahtarıyla imzalanan sıradan bir transferle 28.006 ETH, 55,7 milyon USDT ve 25,9 milyon RLUSD gönderdi; Elliptic bu transferin diğer tokenlerle birlikte toplam değerini 174 milyon dolar olarak hesaplar. TRM, 50 yetkilendirmenin önceden toplu üretilmesinin saldırganın erişiminin zamanla sınırlı olabileceğine veya imzaların bir sistemden talep edilmesi gerektiğine işaret edebileceğini belirtir.

Binance’in şimdiye kadarki açıklamaları

• İlk değerlendirme: Binance, olayın bir DevOps mühendisinin ele geçirilmiş dizüstü bilgisayarını içerebileceğini, bunun bir servis konteynerine erişim ve yetkisiz çekim işlemleri göndermeye imkân verdiğini açıkladı; bu aşamada özel anahtar sızıntısına dair bir kanıt bulunmadığını belirtti.
• Sonraki güncelleme: Soruşturma ek ihlal noktaları ortaya çıkardı ve olay karmaşık bir saldırı olarak tanımlandı.
• Co-CEO Richard Teng’in video açıklaması (30 Ekim): Saldırı tek bir kişi tarafından gerçekleştirilmedi, saldırgan araçları ve izleri imha eden bir kendini silme mekanizması kullandı ve EIP-7702 delegasyonu Binance’in olağan onay kontrollerinden geçmedi.
• Kök neden: Binance, ek ihlal noktalarının ne olduğunu henüz açıklamadı.

Bybit saldırısıyla karşılaştırma

Binance’ten çıkan varlıklar hangi güzergâhı izledi?

Çalınan varlıklar çıkış zincirine göre farklı yollar izledi. Ethereum’daki stablecoin’lerin bir bölümü hızla ETH’ye çevrildi, bir bölümü Aave’de teminat gösterilerek ETH borçlanmak için kullanıldı; büyük bölümü donduruldu. Bitcoin, kısa bir peel zinciriyle 19 adrese bölündü ve bekletiliyor. Tron’daki USDT ve TRX, otomatik bir halka dağıtım ağında dönüştürülüp ETH’ye çevriliyor. XRP, Solana ve NEAR ise çalındıkları adreste hareketsiz duruyor. Şekil 4, bu güzergâhların tamamını çıkıştan son duruma tek haritada gösterir.

Güzergâh haritası nasıl okunur?

Zincir analizi şirketlerinin Chainalysis Reactor ve TRM gibi araçlarda ürettiği akış diyagramlarının mantığı Şekil 4’te de uygulanmıştır: düğümler adresleri veya kuruluşları, oklar transferleri gösterir; okların üzerindeki etiket yalnızca tutardır. Sarı düğüm Binance cüzdanını, siyah düğüm saldırganın kontrolündeki adresi, turuncu altıgen takas veya borç servisini, mavi altıgen köprüyü, kilitli halka dondurulmuş adresi, noktalı halka hareketsiz adresi, kırmızı ok çalınan transferi, kesikli gri çizgi ise beklemede olan veya hareket etmeyen adımı gösterir. Bir diyagramın hukuki değer taşıması için her okun bir işlem kimliğine (TXID) bağlanabilmesi gerekir; bu yöntem kripto transfer akış diyagramı rehberimizde adım adım anlatılıyor.

Saldırgan çalınan varlıkları hangi yöntemlerle aklıyor?

Gözlenen aklama üç aşamalı bir mantık izliyor: önce ihraççının dondurabileceği stablecoin’leri dondurulamaz varlıklara çevirmek, sonra fonu çok sayıda adres ve zincir üzerinde bölerek hareket ettirmek, en sonda bir borsa veya OTC masası üzerinden nakde çıkmaya çalışmak. Binance olayında ilk aşama saldırgan için beklenenden yavaş ilerledi: yüz milyonlarca dolarlık USDT piyasa fiyatına göre yüzde 10-26 değer kaybıyla ETH’ye çevrildi, buna rağmen 2,6 milyar dolardan fazla stablecoin kaçırılamadan donduruldu. İkinci aşama bugün otomatik araçlarla gece gündüz sürüyor; üçüncü aşamaya ait bir gözlem bulunmuyor: Elliptic’in 31 Ekim verisine göre Bitcoin’in hiçbir kısmı bir servise gönderilmedi ve XRP tek bir adreste duruyor.

Stablecoin’i dondurulamaz varlığa çevirmek: hız için ödenen bedel

Aklamanın ilk adımı çoğu zaman tokenlerin Ether veya Bitcoin gibi yerel varlıklara çevrilmesidir; çünkü tokenlerin ihraççısı vardır ve ihraççı bazı durumlarda çalıntı varlığın bulunduğu cüzdanı dondurabilir, yerel varlıkları dondurabilecek merkezî bir taraf ise yoktur. Binance olayında saldırgan bu dönüşümü yüksek bir maliyetle yaptı.

• TRM Labs: Yaklaşık 325 milyon USDT, UniswapX ve diğer niyet tabanlı kontratlar üzerinden profesyonel dolduruculara ve piyasa yapıcılara satıldı; karşılığında yaklaşık 122.300 ETH alındı. Bu, ETH 2.300-2.350 dolar civarındayken ETH başına yaklaşık 2.650 dolar fiyat ve %10’dan büyük bir iskonto demektir. Aynı partiden kalan 175 milyon USDT donduruldu.
• Elliptic: Ethereum’da 434 milyon USDT, Uniswap, 1inch ve piyasa yapıcıların RFQ sistemleri üzerinden 160.451 ETH’ye çevrildi; satışlar piyasa fiyatına göre %12-26 değer kaybı anlamına geliyordu. Dondurmalar gelmeden önce yaklaşık 786 milyon dolarlık stablecoin ETH ve TRX’e çevrildi.
• Chainalysis: Saldırgan 500 milyon dolarlık stablecoin’i, dondurulabilir varlıkları dondurulamaz olanlarla değiştirmek için ayrılmış bir cüzdana taşıdı; yaklaşık yirmi dakika içinde 325 milyon dolarlık stablecoin 285 milyon dolarlık ETH’ye dönüştü (bu iki rakamdan hesaplanan değer kaybı yaklaşık %12’dir). On dakika sonra kalan 175 milyon dolar ara cüzdanlara gönderildi. Chainalysis’e göre sektör saldırganın beklediğinden hızlı yetişti ve dondurmalar 17:14 ET’ye (21:14 UTC) kadar başladı.

Üç rakam tek bir gerçeği farklı açılardan anlatır: saldırgan hızı değere tercih etti. Sonuç, dondurma tarafı için zaman penceresinin ne kadar belirleyici olduğunu gösterir. Pencerenin nasıl kullanılacağı, çalınan USDT’nin Tether üzerinden dondurulması rehberimizde bireysel dosyalar için anlatılıyor.

Aave’de teminat gösterip ETH borçlanmak

İkinci bir saldırgan cüzdanı Aave protokolüne yaklaşık 60 milyon USDT teminat yatırdı ve karşılığında yaklaşık 19.760 ETH borçlandı (Elliptic 59,9 milyon USDT teminat ve 19.762 ETH borç sayar). Aave, etkilenen piyasaları dondurdu. Elliptic’e göre kredi hâlâ açıktır ve tasfiye sınırına yakındır. Sonuçta dondurulabilir USDT protokolün içinde teminat olarak kalırken dondurulamaz ETH saldırganın cüzdanına geçti; kaynak raporlar işlemin amacına değinmez. Aave’in dondurması yeni işlemleri durdurdu ancak saldırganın çektiği ETH’ye el koymadı; Elliptic’in dondurulan toplamı bu pozisyonu dışarıda bırakır.

Tron’da JustLend, SunSwap ve ara cüzdan zincirleri

Tron tarafında akış, Ethereum’dakinden farklı bir desen izledi. TRM’ye göre 300 milyon USDT bir cüzdana aktarılıp JustLend borç protokolüne yatırılmaya başlandı. Elliptic ise 234 milyon USDT’nin SunSwap’te 638 milyon TRX’e çevrildiğini bildirir. Bu iki rakam birbirine eklenemez: kuruluşlar akışı farklı ayrıntıyla anlatır. Tron’dan çıkan 612,7 milyon USDT’den Tether’in dondurduğu 378,7 milyon çıkarıldığında kalan tutar 234 milyon USDT’dir; yani Elliptic’in SunSwap rakamı dondurulmayan bakiyeyle örtüşür (bu bir hesaptır, kuruluşların açıklaması değildir). TRM ayrıca 200 milyon USDT’nin ara cüzdanlardan oluşan bir zincirle Uniswap’te takas edildiğini ve bu zincirden 30 milyon USDT’nin dondurulduğunu yazar; raporda zincirin hangi ağda yer aldığı belirtilmediği için bu kol Tron’a atfedilmemiştir. TRX, Tron’un yerel varlığıdır ve Tether’in dondurma yetkisi kapsamında değildir; bu dönüşüm de aynı “dondurulabilirden dondurulamaza geçiş” mantığının ürünüdür.

30 Ekim sabahı 638 milyon TRX beş yeni adrese bölündü. Bu adreslerden ikisi TRX’i tek bir cüzdanda topladı; cüzdan küçük parçalar hâlinde TRX’i USDT’ye takas edip swap servisleri ve köprüler üzerinden çoğunlukla ETH’ye taşıyor. Elliptic, 38 ile 67 milyon dolar arasında bir TRX’in izlediği adreslerden çıktığını bildirir. Tether, alıcı adreslerin bir kısmını kara listeye almaya başladı; bu adresler artık USDT tutamıyor. Elliptic ayrıca bu Tron fonlarının bir bölümünün Eylül 2026’daki Bitget saldırısının gelirleriyle birlikte aklandığını doğruladı; bağlantıyı ilk ZachXBT bildirmişti.

Otomasyon izleri: halka dağıtım ağı ve zamana yayılmış satışlar

Aklamanın büyük bölümünün elle değil yazılımla yürütüldüğünü düşündüren zincir üstü işaretler var. Elliptic’in izlediği ana Tron cüzdanı, 30 Ekim’in erken saatlerinden itibaren TRX’i 546 ayrı transferle gönderdi; transferler arasındaki medyan süre 96 saniye, en uzun duraklama 39 dakikadır. Faaliyet gece boyunca sürdü.

• Rastgele tutarlar: Transferlerin hemen hepsi, virgülden sonra altı basamağa kadar düzensiz tutarlarla yapılır. Elliptic bunu basit izleme kurallarından kaçınmak için yazılmış aklama komutlarının tipik özelliği sayar.
• Hızlı devir: Fon alan cüzdanlar bunu genellikle yaklaşık iki dakika içinde, bazen 30 saniyede ileri gönderir.
• Tam 1 TRX ile açılış: Chainalysis, birçok adresin önce tam 1 TRX aldığını, sonra asıl fonu aldığını ve ardından başka adreslere ilettiğini bildirir; bu sıra programatik bir sürecin işaretidir.
• Dairesel dönüşler: Fon yalnızca ileri gitmez; kısa sürede çok sayıda işlemle, çoğunlukla zincirin önceki halkalarındaki adreslere geri döndürülür. Chainalysis bunu daha önce görmediği bir aklama deseni olarak niteler.
• Zamana yayılmış satış: Ethereum’da çalınan tokenler onlarca küçük parça hâlinde satıldı: LINK 89 parçada, PEPE 94 parçada, yaklaşık 36 saniye arayla. Satış için açılan her yeni cüzdan tam 0,5 ETH ile fonlandı ve dakikalar içinde işlem yapmaya başladı. Bu satışlar 30 Ekim’de yaklaşık 06:36 UTC’de sona erdi.

Elliptic bazı adımların hâlâ insan kararı gibi göründüğünü de kaydeder: büyük hareketlerden önce küçük test işlemleri, saldırganın kendi cüzdanları arasında yuvarlak tutarlı transferler ve farklı çıkış servislerinin denenmesi. Otomasyonun geleneksel komut dosyası mı yoksa otonom bir ajan mı olduğu zincir verisinden anlaşılamaz; Elliptic ajan kullanımına işaret edebilecek iki ipucu olarak dondurma ve engelleme listelerine yanıt veren hızlı rota değişikliklerini ve deneme-yanılma içeren başarısız işlem örüntülerini sayar, bunların henüz net biçimde görülmediğini belirtir.

Bitcoin: kısa bir peel chain ve bekleme

Peel chain, büyük bir bakiyenin bir adresten diğerine aktarılırken her adımda küçük bir parçanın ayrılıp (soyulup) yeni bir adrese gönderildiği, kalan büyük kısmın ise zincirin devamına taşındığı bir parçalama kalıbıdır. Binance’in Bitcoin sıcak cüzdanı 20:20 UTC’de 18.270 BTC’yi saldırganın adresine gönderdiği blokta, fon 1.000 ve 100 BTC’lik parçalara bölünmeye başladı. Elliptic’e göre bu kısa zincir sonunda fon 19 adrese yayıldı; çoğunda 1.000 BTC var ve henüz hiçbir servise gönderilmedi. Bitcoin’i dondurabilecek bir ihraççı olmadığından fonun durdurulabileceği temel nokta, bir borsa veya servise giriştir. Bu nedenle analiz şirketleri peel zincirinin çıktılarını sürekli izler.

Köprüler, CCTP ve zincirler arası geçiş

30 Ekim’de saldırgan zincirler arası hareketi başlattı. Elliptic’e göre 11:38 ile 12:29 UTC arasında çalınan AVAX’ın tamamı USDC’ye satıldı, Circle’ın Cross-Chain Transfer Protocol’ü (CCTP: USDC’yi kaynak zincirde yakıp hedef zincirde yeniden basan resmî köprü) ile Ethereum’a taşındı ve 7.242,8 ETH’ye çevrildi. Circle, AVAX’tan çevrilip Ethereum’a köprülenen USDC’den 1,56 milyon dolarlık kısmı daha sonra dondurdu. Bu, bir köprünün yalnız bir geçiş yolu değil, aynı zamanda bir müdahale noktası olduğunu gösterir: USDC köprüsünü işleten tarafın elinde dondurma yetkisi bulunur.

Basına yansıyan bilgiye göre Binance ve Eylül’deki Bitget saldırısına bağlı fonların THORChain’den geçtiği ve Ethereum’daki aynı adreste birleştiği bildirildi; tutar belirtilmedi. Yine basına yansıyan bilgiye göre, bir Ethereum zincir yeniden düzenlemesi THORChain’in 10 ETH’lik bir yatırımı iki kez iade etmesine yol açtı ve protokol çoğu köprüde takasları durdurdu; Chainalysis’in bu durmanın aklamayı geciktirdiğini söylediği aktarıldı.

Sonraki aşama: karıştırıcılar, takas servisleri ve OTC masaları

TRM, önceki büyük hırsızlıklara dayanarak bir sonraki aşamada zincirler arası köprüler, swap servisleri ve OTC komisyoncularının devreye gireceğini bekliyor. Elliptic benzer biçimde fonun çok sayıda cüzdan, köprü, karıştırıcı ve swap servisi üzerinden katmanlanacağını, nakde çıkış girişiminin ise OTC komisyoncuları ve borsalar üzerinden yapılacağını öngörüyor. Bybit fonlarının aklanması aylar sürmüştü. Elliptic, 3 milyar dolarlık dondurulamaz varlığın, XRP’nin tek bir adresteki 233 milyonu dâhil, ancak bir borsa veya başka bir servise ulaştığında durdurulabileceğini belirtir. Bu nedenle olayın bundan sonraki bölümü, borsaların ve OTC masalarının etiketli adreslerle gelen fonu tanıma hızına bağlıdır.

Zincir analizi şirketleri bu transferleri nasıl tespit ediyor ve görselleştiriyor?

Zincir analizi şirketleri her adresi bir etiketle (Binance sıcak cüzdanı, saldırgan, takas servisi, köprü, borsa yatırma adresi) eşleştirir, bu etiketleri gerçek zamanlı olarak müşterilerine dağıtır, transferleri adres kümeleri, zamanlama örüntüleri ve hizmet uç noktaları üzerinden birbirine bağlar ve ortaya çıkan grafı her oku bir işlem kimliğine (TXID) dayanan akış diyagramına dönüştürür. Binance olayında bu yöntemlerin her biri gözlenebiliyor.

• Gerçek zamanlı etiketleme ve engelleme listeleri. Elliptic olaydan dakikalar sonra saldırıyla ilişkili adresleri etiketlemeye başladı ve 1.000’den fazla adres içeren ücretsiz bir engelleme listesi (blocklist) yayımladı. TRM bulgularını Beacon Network aracılığıyla ortaklarına iletiyor, Chainalysis yönlendirmelerini sektördeki ortaklarla paylaştı. Elliptic, Bybit saldırısında ilk adresleri 18 dakikada etiketlediğini ve bir borsanın bu sayede fonu gelir gelmez dondurup el koyabildiğini bildirmişti. Etiketin değeri, bir borsanın veya köprünün gelen fonu otomatik tanıyıp durdurabilmesinde yatar.
• Fonlama izinin geriye doğru izlenmesi. Operatör cüzdanını Tornado Cash’ten fonlayan üç 0,1 ETH’lik çekim, sweeper kontratının dağıtımı ve prova cüzdanları saldırının izlenebilir öncülleridir. TRM bu üç unsuru (küçük Tornado Cash çekimleri, erken hazırlık, önceden alınmış imzaların tek dalgada kullanılması) Bybit ve Nisan 2026’daki KelpDAO saldırısıyla ortak imza olarak sayar.
• Kümeleme. Aynı kişinin kontrol ettiği düşünülen adresleri ortak girdi, ortak fonlama ve davranış kurallarıyla gruplamak, yüzlerce adresi tek bir “saldırgan kümesi” düğümünde toplar. Yöntem ve sınırları cüzdan kümeleme ve kimliklendirme yazımızda ele alınıyor.
• Davranışsal imza. Tam 0,5 ETH ile fonlanan satıcı cüzdanları, tam 1 TRX ile açılan adresler, altı basamaklı rastgele tutarlar ve iki dakikalık devirler, bir komut dosyasının parmak izidir. Bu imza hem olayı bağlamada hem de yeni adresleri otomatik etiketlemede kullanılır.
• Fon karışmasının (commingling) saptanması. Binance fonlarının Eylül 2026’daki Bitget saldırısının gelirleriyle birkaç cüzdanda birleşmesini ilk ZachXBT bildirdi; Elliptic doğruladı, Chainalysis ise gerçek zamanlı gözlemlediğini belirtti. Elliptic bununla birlikte örtüşmenin şimdilik küçük olduğunu ve aklama ağlarının birden fazla müşteriye hizmet verebildiğini, dolayısıyla bağlantının tek başına aynı saldırganı kanıtlamadığını da vurgular.
• Ortak servis kullanımı. Elliptic, Binance fonlarını aklayanlarla BigONE, WOO X ve AFX hırsızlıklarının arkasındakilerin ortak hizmetler kullandığını saptadı; bu üç hırsızlık daha önce TraderTraitor’a atfedilmişti.

Akış diyagramındaki kalıplar ne anlama gelir?

Reactor, TRM ve Elliptic gibi araçların grafikleri birkaç temel kalıpla okunur. Aşağıdaki tablo, her kalıbın görünümünü, anlamını ve Binance olayındaki karşılığını gösterir; Şekil 4 ve Şekil 5’te aynı kalıplar görülebilir.

Şekil 4 ve Şekil 5 gibi diyagramlar, yayımlanmış analiz raporlarındaki tutar ve bağlantılardan derlenen özetlerdir. Bir ceza veya hukuk dosyasında ise aynı diyagramın delil değeri başka koşullara bağlıdır: her ok bir işlem kimliğine bağlanır, her düğümün kimlik düzeyi açıkça yazılır (borsa yatırma adresi, hizmet uç noktası, kişisel cüzdan), doğrulanmış bağlantılar ile çıkarıma dayananlar ayrı gösterilir. Bu yaklaşım şu ilkeye dayanır: adres sahibinin kimliği borsa kaydı, IP ve iletişim verisi gibi zincir dışı verilerle kesinleşir; zincir yalnızca paranın nereye gittiğini gösterir. Kavramlar için kripto takip sözlüğü, bu tür bir inceleme için kripto paranın takip edilebilirliği yazımız kaynak olarak kullanılabilir.

Dondurma yarışında kim ne kadarını dondurdu?

Zincir analizi kuruluşlarına göre dondurulan tutar 2,7 ile 2,85 milyar dolar arasındadır: TRM yaklaşık 2,7 milyar, Chainalysis yaklaşık 2,8 milyar, Elliptic zincir üstünde doğruladığı 2,85 milyar dolar (hırsızlığın %44’ü). Binance’in tahmini ise, Elliptic’in aktardığına göre, yaklaşık 3 milyar dolardır. Elliptic’e göre dondurulan tutarın %94’ü stablecoin’dir ve neredeyse tamamı Ethereum ile Tron üzerindedir. İlk dondurma, çalınan USDT’nin ana cüzdana ulaşmasından 37 dakika sonra geldi; dondurmalar başlamadan önce saldırgan yaklaşık 786 milyon dolarlık stablecoin’i ETH ve TRX’e çevirebildi. Şekil 2 bu yarışı ölçekli zaman çizelgesinde, Şekil 6 ise kimin ne kadar dondurduğunu gösterir.

Neden bazı varlıklar dondurulamıyor?

Dondurma yetkisi, varlığın bir ihraççısının veya ağ üzerinde karar verebilen bir yönetişim organının bulunmasına bağlıdır. Bitcoin, Ethereum, XRP, Solana, NEAR ve Tron’un yerel varlığı TRX’in ihraççısı yoktur. Ripple RLUSD’yi dondurabilir ama XRP’yi dondurmaz; Tether USDT’yi dondurabilir ama TRX’i dondurmaz. Elliptic’e göre Arbitrum ve Optimism, çalınan her şeyin güvence altına alındığı tek ağlardır ve her iki durumda da bunu ağın kendi yönetişimi yaptı. TRM’nin hesabıyla saldırgan 420.000’den fazla ETH ve 18.270 BTC’yi, yaklaşık 2,4 milyar dolarlık bir bakiyeyi, hiçbir ihraççının erişemeyeceği yerde tutuyor; Elliptic’in hesabında (519.104 ETH, 18.270 BTC, 233 milyon XRP ve yaklaşık 475 milyon TRX) bu tutar yaklaşık 3,21 milyar dolardır.

Dondurma, iade anlamına gelmez

Dondurulan varlık yalnızca hareket edemez hâle gelmiştir; kime ait olduğu ve nasıl iade edileceği ayrı bir hukuki süreçle belirlenir. Binance, kullanıcı kayıplarını SAFU fonu ve şirket kaynaklarıyla karşılayacağını ve 6,34 milyar dolardan fazla şirket fonu ayırdığını bildirdi; Elliptic’in aktardığına göre bunun yaklaşık 5 milyar doları zaten çalınanla aynı tokenlerde tutuluyor, kalanı Binance piyasadan ve OTC işlemleriyle satın alıyor. Dondurulan fonların nihai akıbeti, ilgili makamların kararlarına ve ihraççıların işlemlerine bağlıdır.

Saldırının arkasında kim var ve bu atıf neye dayanıyor?

TRM Labs, Chainalysis ve Elliptic olayı Kuzey Kore bağlantılı TraderTraitor grubuna atfediyor; ancak üçü aynı kesinlik düzeyinde değil ve resmî bir atıf yok. TRM atfı yüksek güvenle yapıyor; Chainalysis 30 Ekim’de, Binance fonlarının bir ay önceki Bitget saldırısının fonlarıyla zincir üstünde birleşmesini gerçek zamanlı gözlemledikten sonra duyurdu; Elliptic ise TraderTraitor’un olayı gerçekleştirmesini olası buluyor ve atfın henüz kesin olmadığını belirtiyor. TraderTraitor, FBI’ın 26 Şubat 2025 tarihli kamu duyurusunda Bybit saldırısının sorumlusu olarak adlandırdığı Kuzey Kore bağlantılı faaliyetin adıdır.

Elliptic’e göre atıf doğrulanırsa bu tek olay Kuzey Kore’nin çaldığı toplam kripto varlığı yaklaşık iki katına çıkarır; rejimin son yıllarda 6,5 milyar dolardan fazla çaldığına inanılıyor ve ABD hükümeti bu hırsızlıkları Kuzey Kore’nin silah programlarının finansmanıyla ilişkilendirdi.

Binance hack’i Türk hukukunda nasıl değerlendirilir?

Olay Binance’in küresel altyapısında yaşandı; Türk hukukunun devreye girdiği noktalar, benzer bir saldırının Türk Ceza Kanunu’ndaki karşılığı, Türkiye’de lisanslı kripto varlık hizmet sağlayıcılarının (KVHS) 6362 sayılı Kanun’dan doğan sorumluluğu ve çalıntı fonların Türkiye’deki bir hesaba ulaşması hâlinde başvurulabilecek tedbirlerdir. Aşağıdaki değerlendirme, bu olaydaki fiillerin Türk hukukunda hangi hükümlerle ele alınabileceğini gösterir.

Türk Ceza Kanunu açısından fiiller

KVHS’lerin sorumluluğu: 6362 sayılı Kanun ve TBK m.71

6362 sayılı Sermaye Piyasası Kanunu’nun 3. maddesine 7518 sayılı Kanun’la eklenen tanımlara göre cüzdan, kripto varlıkların transfer edilebilmesini ve bu varlıkların ya da bunlara ilişkin özel ve açık anahtarların çevrim içi veya çevrim dışı olarak depolanmasını sağlayan yazılım, donanım, sistem ya da uygulamadır; kripto varlık hizmet sağlayıcı ise platformları, kripto varlık saklama hizmeti sağlayan kuruluşları ve Kanun’a dayanılarak belirlenen diğer kuruluşları ifade eder (m.3/1-aa, cc). Sıcak ve soğuk cüzdan ayrımı, SPK’nın KVHS Tebliği’nin 4. maddesinin birinci fıkrasında ayrıca tanımlanır.

• Güvenli sistem yükümlülüğü (m.35/B/2): KVHS’ler sistemlerinin güvenli yönetilmesi için gerekli düzenlemeleri yapmak, önlemleri almak ve iç kontrol birim ve sistemlerini kurmakla yükümlüdür; faaliyet izni için bilgi sistemleri ve teknolojik altyapılarının TÜBİTAK’ın belirleyeceği kriterlere uygunluğu aranır.
• Müşteri varlıklarının ayrılığı (m.35/C/7): Müşterilerin nakit ve kripto varlıkları KVHS’nin mal varlığından ayrıdır; KVHS’nin borçları nedeniyle haczedilemez, rehnedilemez, iflas masasına dâhil edilemez.
• Tedbir ve haciz taleplerinin yerine getirilmesi (m.99/B/7): Müşterilere ait nakit ve kripto varlıklara ilişkin her türlü idari ve adli talep münhasıran KVHS’ler tarafından yerine getirilir.
• Siber saldırıdan sorumluluk (m.99/B/3-4): KVHS’ler hukuka aykırı faaliyetlerinden ve teslim yükümlülüklerini yerine getirememekten doğan zararlardan sorumludur; bilişim sistemlerinin işletilmesinden, her türlü siber saldırıdan, bilgi güvenliği ihlallerinden veya personelin her türlü davranışından kaynaklanan kayıplar bakımından 6098 sayılı Türk Borçlar Kanunu’nun 71. maddesi uygulanır. Zararın KVHS’den tazmin edilememesi hâlinde KVHS mensupları kusurlarına göre sorumludur.

“Kripto varlık hizmet sağlayıcıları bilişim sistemlerinin işletilmesi, her türlü siber saldırı, bilgi güvenliği ihlalleri gibi fiillerden veya personelin her türlü davranışından kaynaklanan kripto varlık kayıplarından 6098 sayılı Kanunun 71 inci maddesi kapsamında sorumludur.”

— 6362 sayılı Sermaye Piyasası Kanunu, m.99/B/4

Atıf yapılan TBK m.71, kusura bağlı olmayan bir sorumluluk türü olan tehlike sorumluluğunu düzenler: önemli ölçüde tehlike arzeden bir işletmenin faaliyetinden zarar doğduğunda işletme sahibi ve varsa işleten müteselsilen sorumludur. Kanun ayrıca, KVHS’nin kusuru olmaksızın sunulan hizmetlerde yaşanan kesintilerden kaynaklanan, geçici bir süre emir iletilememesi veya işlem ya da transfer yapılamaması gibi zararları m.99/B/4 kapsamında değerlendirmez. Lisanslama koşulları ve KVHS’lerin güvenlik yükümlülükleri için SPK KVHS lisanslama süreci yazımıza bakılabilir.

“Önemli ölçüde tehlike arzeden bir işletmenin faaliyetinden zarar doğduğu takdirde, bu zarardan işletme sahibi ve varsa işleten müteselsilen sorumludur.”

— 6098 sayılı Türk Borçlar Kanunu, m.71

Çalıntı fonlar Türkiye’deki bir hesaba ulaşırsa: CMK m.128/A

5271 sayılı Ceza Muhakemesi Kanunu’na 7571 sayılı Kanun’la eklenen 128/A maddesi (RG 25.12.2025), nitelikli hırsızlık (TCK m.142/2-e), nitelikli dolandırıcılık (m.158/1-f ve l) ve banka veya kredi kartlarının kötüye kullanılması (m.245) suçlarının işlendiğine dair makul şüphe bulunması hâlinde banka, ödeme hizmeti sağlayıcısı veya KVHS’nin suçta kullanılan her türlü hesabı kırk sekiz saate kadar askıya almasına imkân verir.

1. Askıya alma ve bildirim. Kurum, askıya alma işlemini ve hesap hareketlerini tüm bilgi ve belgelerle birlikte derhâl Cumhuriyet başsavcılığına bildirir; işlem hesap sahibine de bildirilir ve hesap sahibi kaldırılması için başvurabilir. Cumhuriyet savcısı başvuru hakkında yirmi dört saat içinde karar verir (m.128/A-2).
2. Aktarım takibi. Askıya alma tamamlanmadan suça konu menfaatin başka bir mali kuruma transfer edildiği tespit edilirse bu durum, askıya almanın yapılabilmesi için o kuruma gecikmeksizin bildirilir (m.128/A-3).
3. El koyma. Askıdaki suça konu menfaate hâkim kararıyla, gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının yazılı emriyle el konulabilir; savcı emri yirmi dört saat içinde hâkim onayına sunulur ve hâkim kararını elkoymadan itibaren kırk sekiz saat içinde açıklamazsa el koyma kendiliğinden kalkar (m.128/A-4).
4. İade. El konulan menfaatin suçtan zarar gören mağdura ait olduğu anlaşılırsa soruşturma veya kovuşturma evresinde sahibine iade edilir (m.128/A-5). Askıya alma kararını veren gerçek ve tüzel kişiler hukuken sorumlu tutulmaz (m.128/A-6).

Bu hükmün kapsamı ve 128. maddedeki katalogdan farkı CMK 128 katalog suçları yazımızda ayrıntılı olarak ele alınıyor.

Kullanıcılar bakımından durum

Binance, kullanıcı varlıklarının güvende olduğunu ve kayıpları kendi kaynaklarıyla karşılayacağını açıkladı. Bir kullanıcının talep hakkı, hizmet sözleşmesinin tarafı olan tüzel kişiye ve sözleşmeye uygulanacak hukuka göre belirlenir; Türkiye’de lisanslı bir KVHS söz konusu olduğunda yukarıdaki 6362 sayılı Kanun hükümleri, özellikle m.99/B/3-4 uygulanır.

Bu olaydan hangi teknik ve hukuki dersler çıkıyor?

TRM’nin değerlendirmesinde olayın ortak paydası, tek bir saldırganın on zincirde geçerli imzayı birkaç saat içinde elde etmesidir. Dersler bu nedenle imza altyapısının ayrıştırılması, beklenmedik yetkilendirmelerin izlenmesi ve dondurmanın hızını belirleyen etiket paylaşım ağlarında toplanır.

Borsalar ve hazine ekipleri için TRM’nin önerileri

• EIP-7702 delegasyonlarını izlemek: Ethereum uyumlu cüzdanlarda, kodu bulunmaması gereken bir adreste kod görünmesi anında alarm vermelidir.
• Beklenmeyen yetkilendirmeleri reddetmek: İmzalama politikaları, beklenen olmadıkça EIP-7702 yetkilendirmelerini reddetmelidir; ardışık işlem sayacı aralığında çok sayıda yetkilendirme istenmesi bir ele geçirilme göstergesi sayılmalıdır.
• İmza altyapısını ayrıştırmak: İmzalama altyapısı ve onay yolları zincire ve cüzdan katmanına göre ayrılmalıdır. Bu olayda tek bir aktör, on zincirde geçerli imzaları saatler içinde elde etti.
• Test edilmiş bir iptal yöntemi bulundurmak: Delegasyonu geri alacak önceden onaylı imzalama yöntemi hazır olmalı ve denenmelidir.
• Mevduatları etiketli adreslere karşı taramak: Bitcoin peel zincirinin çıktılarının ve ETH birleştirme cüzdanlarının önümüzdeki günlerde borsalara, swap servislerine ve OTC masalarına ulaşması beklenmektedir.

Çalıntı kripto varlık dosyasında ilk saatler

Binance olayındaki yarış, bireysel ve kurumsal hırsızlık dosyalarında da geçerli olan kuralı gösterir: dondurulabilir varlıkta dakikalar belirleyicidir. Aşağıdaki sıra, PEGA Hukuk & Danışmanlık’ın kripto hırsızlığı dosyalarında izlediği teknik yöntemin özetidir.

1. İşlem kimliklerini kaydedin. Her transferin TXID’sini, adresini, tutarını, varlık türünü ve zamanını yazın; ekran görüntüsü yerine zincir kaydı esas alınır.
2. Varlığın türüne bakın. USDT veya USDC gibi tokenler ihraççıya bildirimle dondurulabilir; BTC, ETH, TRX gibi yerel varlıklar ancak bir servise ulaştığında durdurulabilir.
3. İlk alıcı adresi ve gittiği kurumu belirleyin. Para bir borsaya ulaştıysa dondurma ve bilgi talebi o kuruma yönelir; usul çalınan USDT’nin dondurulması rehberinde anlatılıyor.
4. TXID bazlı akış diyagramı hazırlayın. Doğrulanmış bağlantı ile çıkarımı ayrı gösterin; her düğümün kimlik düzeyini yazın; diyagram ile işlem tablosundaki tutarların birebir aynı olması gerekir.
5. Karışan fonlar için paylaştırma yöntemini baştan açıklayın. FIFO, oransal paylaştırma veya LIBR gibi yöntemlerden biri seçilir ve gerekçesi yazılır.

Binance hack’iyle ilgili doğru bilinen yanlışlar

“Soğuk cüzdana geçen para takip edilemez”

Kesin cevap: Hayır. Soğuk cüzdan, özel anahtarın çevrim dışı tutulduğu cüzdandır; adresi ve transferleri blokzincirinde herkese açıktır. 6362 sayılı Kanun cüzdanı çevrim içi veya çevrim dışı depolama sağlayan sistem olarak tanımlar. Binance olayında çalıntı 18.270 BTC’nin hiçbir servise gitmeden 19 adrese bölünmesi, çevrim dışı saklanıp saklanmadığından bağımsız olarak, her adımıyla zincirde izlenebildi. Bu konu kripto paranın takip edilebilirliği yazımızda ayrıntılı ele alınıyor.

“Karıştırıcı kullanılınca iz tamamen kaybolur”

Kesin cevap: Hayır. Operatör cüzdanını fonlayan üç 0,1 ETH’lik Tornado Cash çekimi, saldırının hazırlık zincirinin ilk halkası olarak TRM ve Elliptic tarafından tespit edildi. Elliptic’e göre aklamanın her adımı, fonun tanınıp çıkışının engellenmesi için bir fırsattır.

“Stablecoin her zaman dondurulur”

Kesin cevap: Hayır. Dondurma, ihraççının kararına ve zamana bağlıdır. Bu olayda ilk dondurma 37 dakika sonra geldi ve dondurmalar gelmeden önce saldırgan yaklaşık 786 milyon dolarlık stablecoin’i ETH ve TRX’e çevirdi. Bitcoin, Ethereum, XRP ve TRX ise hiçbir ihraççı tarafından dondurulamaz.

“Borsa hack’i özel anahtarın çalınması demektir”

Kesin cevap: Hayır. Binance’in ilk açıklamasında özel anahtar sızıntısına dair kanıt bulunmadığı belirtildi. TRM’nin en olası bulduğu açıklamaya göre saldırgan, Binance’in imza sistemine kendi seçtiği işlemleri imzalattı; Elliptic de anahtarları çalmak yerine Binance’in kendi sistemlerine imza attırabilmiş göründüğünü yazar. Kök neden henüz açıklanmadı. Bir sistem imza attırılabiliyorsa anahtarın çalınması gerekmez; geçerli imza yine üretilir.

“Çok sayıda adres ve zincir izi kaybettirir”

Kesin cevap: Hayır. Adres sayısı arttıkça fon başka paralarla karışır ve hangi kısmın kime ait olduğunu paylaştırmak zorlaşır; ancak her transfer kayıtlı kalır. Tron’daki 546 transferlik ağ, düzenli tempo, tam 1 TRX’le açılan adresler ve önceki adreslere dönüşler nedeniyle bir parmak izi bırakmıştır.

Henüz netleşmeyen konular ve izlenecek gelişmeler

• Kök neden: Binance, ek ihlal noktalarının ne olduğunu ve teknik raporun ne zaman yayımlanacağını henüz açıklamadı.
• Resmî atıf: FBI, Bybit’te beş gün içinde atıf yapmıştı; bu olayda atıf yapılmadı.
• Çekimler ve Proof of Reserves: Co-CEO Teng çekimlerin pazar gününden önce yeniden açılabileceği umudunu dile getirdi; Binance tam Proof of Reserves raporunu Pazartesi’ye (2 Kasım) kadar yayımlayacağını bildirdi.
• Dondurulan toplamın kesinleşmesi: Zincir analizi kuruluşlarının rakamları 2,7 ile 2,85 milyar dolar arasında, Binance’in tahmini yaklaşık 3 milyar dolar; nihai tutar açıklanmadı.
• Bitcoin ve XRP’nin bir servise ulaşması: 19 Bitcoin adresi ile 233 milyon XRP’nin bulunduğu tek adres, bir servise ulaştığında ilgili servisin tepkisine bağlı olarak durdurulabilir.
• Aave pozisyonu: Elliptic’e göre yaklaşık 19.762 ETH’lik borç hâlâ açık ve tasfiye sınırına yakın.
• Bitget bağlantısının büyüklüğü: Elliptic’e göre iki hırsızlığın fonlarının birleştiği miktar büyüyor.
• THORChain ve diğer çapraz zincir servislerinden geçen tutar: Basına yansıyan bilgiye göre bazı fonlar THORChain’den geçti; tutar belirtilmedi.

Sık sorulan sorular

İlgili rehberler

• Kripto Para Takip Edilebilir mi? USDT, Bitcoin ve Soğuk Cüzdan Transferleri Nasıl İzlenir?
• Kripto Transfer Akış Diyagramı Nasıl Okunur? Blokzinciri İnceleme Şemaları Rehberi
• Çalınan USDT Nasıl Dondurulur? Tether’e Bildirim, Savcılık ve Borsa Süreci
• Cüzdan Kümeleme ve Kimliklendirme: Kripto Adresler Nasıl Deşifre Edilir?
• Kripto Takip Sözlüğü: Blokzinciri Analizi ve Kripto Adli Bilişim Terimleri
• SPK Kripto Varlık Hizmet Sağlayıcısı (KVHS) Lisanslama Süreci

Kaynaklar

1. 6362 sayılı Sermaye Piyasası Kanunu, m.3/1-aa, bb, cc, çç, dd, m.35/B/2, m.35/C/7, m.99/B/3, 99/B/4 ve 99/B/7 (kripto varlıklara ilişkin hükümler 7518 sayılı Kanun ile eklendi; RG 02.07.2024, Sayı 32590) — mevzuat.gov.tr
2. SPK, Kripto Varlık Hizmet Sağlayıcılarının Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ (III-35/B.2), m.4/1, RG 13.03.2025, Sayı 32840 — resmigazete.gov.tr
3. 5237 sayılı Türk Ceza Kanunu, m.142/2-e, m.243, m.244 ve m.282 — mevzuat.gov.tr
4. 6098 sayılı Türk Borçlar Kanunu, m.71 — mevzuat.gov.tr
5. 5271 sayılı Ceza Muhakemesi Kanunu, m.128/A (7571 sayılı Kanun m.22, RG 25.12.2025, Sayı 33118) — mevzuat.gov.tr; resmigazete.gov.tr
6. FBI Internet Suç Şikâyet Merkezi (IC3), “North Korea Responsible for $1.5 Billion Bybit Hack”, Uyarı No I-022625-PSA, 26.02.2025 — ic3.gov
7. Ethereum Improvement Proposals, EIP-7702: Set Code for EOAs (durum: Final) — eips.ethereum.org
8. TRM Labs, “North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History”, 29.10.2026 (30.10.2026 00:30 UTC verileriyle)
9. Elliptic, “The largest theft in history: North Korea likely behind the $6.4 billion Binance hack”, 30.10.2026 (son güncelleme 31.10.2026 05:00 UTC)
10. Chainalysis, “The $6.4 Billion Binance Hack: Tracing the North Korea Link”, 30.10.2026
11. Binance’in 29-30 Ekim 2026 tarihli açıklamaları ve co-CEO Richard Teng’in 30 Ekim 2026 tarihli video güncellemesi (TRM Labs ve Elliptic analizlerinde aktarıldığı biçimiyle)

Güncelleme notu: 01.11.2026 — İlk yayın. Tutarlar ve saatler TRM Labs (30 Ekim 00:30 UTC), Chainalysis (30 Ekim) ve Elliptic (31 Ekim 05:00 UTC) verilerine, Binance açıklamalarına ve 6362 sayılı Kanun, TCK, TBK ve CMK’nın 01.11.2026’da yürürlükteki metinlerine dayanır; olay sürdüğü için dondurma tutarları, atıf ve kök neden bu sayfada güncellenecektir.