Binance Saldırısı: 6,36 Milyar Dolar ve Güven Sorusu

31 Ekim 2026 — Olayla ilgili değerlendirmeler, aşağıda bağlantı verilen açıklama ve analizlere dayanıyor; soruşturma ilerledikçe bilgiler değişebilir.

6,36 milyar dolar. Rakamı okuyup geçmek kolay. Birkaç saniye durup ne anlama geldiğini düşünmek ise insanın içini sıkıyor.

Bu büyüklükte bir parayı fiziksel olarak taşımayı hayal edin. Araçlar, kasalar, kapılar, güvenlik görevlileri… Sinema bize büyük soygunları böyle öğretti. Aylarca hazırlanan planlar, karanlık koridorlar, susturulan alarmlar, kaçış yolları.

Dijital dünyada ise milyarlarca dolarlık varlığın el değiştirmesi için o sahnelerin hiçbirine ihtiyaç olmayabiliyor.

29 Ekim’de Binance cüzdanlarından çıkan varlıklar için TRM Labs’in hesabı yaklaşık 6,36 milyar dolar. Kuruluş, hareketlerin büyük bölümünün yaklaşık 20 dakikada gerçekleştiğini belirtiyor. Binance ise olayın etkisini yaklaşık 6,3 milyar dolar olarak açıkladı. Bunlar aynı olaya ilişkin, farklı kaynakların verdiği yaklaşık tutarlar…

Benim aklım o 20 dakikaya takılıyor, biliyor musunuz!?

Bir kahve içecek kadar zaman. Bir toplantının giriş konuşması. Trafikte beklediğimiz, bazen ne yaptığımızı bile hatırlamadığımız bir süre.

Dünyanın bir yerinde milyarlarca dolarlık varlık o sırada başka adreslere taşınıyor.

Saldırganların nerede oturduğunu bilmiyoruz. Ama böyle bir hırsızlığın gerçekleşmesi için mağdurun bulunduğu binaya girmelerinin gerekmemesi bile yeterince ürkütücü.

Teknolojiyi hayatımda daha fazla kullanmak isteyen tarafımla, bu haberi okurken içi daralan tarafım aynı insan. Ve bugün birbirleriyle pek anlaşamıyorlar.

Teknolojinin nimetlerini kullanırken, kötülüğün kazandığı gücü unutuyor muyuz?

Teknolojinin bize sunduklarından vazgeçmek istemiyorum.

İşlerimizi hızlandırıyor. Bilgiye ulaşmamızı kolaylaştırıyor. Bir zamanlar ciddi bütçe ve ekip gerektiren üretimleri erişilebilir hâle getiriyor. Dünyanın öbür ucundaki insanlarla çalışabiliyor, fikirlerimizi birkaç saat içinde somut bir şeye dönüştürebiliyoruz.

Bütün bunlardan heyecan duyuyorum. Sonra böyle bir haber geliyor ve içimde başka bir cümle beliriyor:

Teknolojinin nimetlerinden faydalanan bizler, aynı teknolojiyi kullanan kötü niyetli insanların yarattığı günahlar karşısında ne kadar savunmasızız?

Bazen bu savunmasızlık bana çaresizlik gibi geliyor.

Çünkü teknolojiyi geliştirirken iyi niyeti aynı hızla geliştiremiyoruz. Daha hızlı sistemler kurabiliyoruz; daha vicdanlı insanlar üretecek bir güncellememiz yok.

Bir işlemin saniyeler içinde tamamlanması benim için kolaylık. Aynı hız, kötü niyetli biri için müdahale edilmeden önce daha fazla zarar verebilme imkânı.

İlerleme fikrine duyduğum güven tam burada zorlanıyor. Hayatı kolaylaştıran her gelişmenin güvenlik tarafını da aynı ciddiyetle düşündüğümüzden emin olmak istiyorum. Ama hızın, büyümenin ve kullanıcı sayısının konuşulduğu kadar kontrolün ve sorumluluğun konuşulduğunu her zaman göremiyorum.

Binance saldırısında ne oldu? Teknik ayrıntının içindeki rahatsız edici gerçek

Olayı “Bilgisayar korsanları bir açık buldu ve parayı aldı” diye anlatmak kolay. Fakat bu cümle, yaşananları anlamak için yetersiz.

Hypernative’in zincir üstü analizine göre, farklı ağlardaki çıkışlarda Binance’in kontrolündeki cüzdanlara ait geçerli imzalar kullanıldı. Ethereum tarafında ise EIP-7702 adlı özellik üzerinden bir cüzdanın saldırganın kontrolündeki kodu çalıştırmasına yetki verildiği görülüyor.

Bunu gündelik bir benzetmeyle düşünelim: Bir kapının kilidi, kendisine sunulan anahtarı doğru kabul ederek açılıyor. Ancak kapıyı açan kişinin içeridekileri almaya gerçekten hakkı olup olmadığını kilit değerlendiremiyor.

Dijital imzanın teknik olarak geçerli olmasıyla işlemin meşru olması arasındaki ayrım da buna benziyor.

Ethereum’daki yetkilendirme mekanizması, sıradan bir hesabın seçilen kod üzerinden işlem yapabilmesine olanak tanıyor. Analize göre bu olayda verilen yetki, saldırganın daha sonra yeni imza almadan ilgili cüzdandan tekrar varlık taşımasına imkân sağladı. Diğer ağlardaki çıkışların tamamını ise bu Ethereum özelliğiyle açıklamak mümkün değil.

İnsanı huzursuz eden nokta şu: Bir sistem, kendi kuralları açısından geçerli görünen bir işlemi gerçekleştirirken büyük bir hırsızlığa aracılık edebiliyor.

Ben kullanıcı olarak “Güvenlik sistemi var” cümlesini duyduğumda, bunun kötü niyetli işlemleri de durduracağını varsayıyorum. Oysa güvenliğin hangi aşamada neyi kontrol ettiği, tahmin ettiğimden çok daha önemli.

Kim işlem başlatabiliyor? Kim onaylıyor? Bir yetki ne kadar süre açık kalıyor? Olağandışı büyüklükteki bir hareket hangi koşulda durduruluyor?

Bu soruların cevaplarını bilmeden de uygulamayı kullanabiliyorum. İşte rahatlıkla bağımlılık arasındaki sınır biraz burada bulanıklaşıyor.

Saldırıyı kim yaptı? Bilmek istediğimizle bildiğimiz arasındaki mesafe

TRM Labs, saldırıyı yüksek güven düzeyiyle Kuzey Kore bağlantılı TraderTraitor grubuna atfediyor. Bu değerlendirme, işlem izleri ve önceki saldırılarla görülen benzerliklere dayanıyor; failler hakkında kesinleşmiş bir yargı kararı anlamına gelmiyor.

Böyle haberlerde hepimiz hızlı bir cevap istiyoruz. Kimin yaptığını öğrenirsek sanki yaşananları biraz daha kontrol edebilecekmişiz gibi geliyor.

Ama bir grubun adını bilmek, benim asıl endişemi gidermiyor.

Ben aynı zamanda bunun hangi aşamada durdurulabileceğini bilmek istiyorum. Neden o aşamada durmadığını anlamak istiyorum. Bir sonraki saldırıda hangi kontrolün farklı çalışacağını duymak istiyorum.

Bir olayın ardından teknik terimler çoğaldıkça açıklamanın güçlendiğini sanabiliyoruz. Oysa kullanıcı açısından en değerli açıklama, anlaşılabilir olanı.

“Şu oldu, şu noktada başarısız olduk, bunu değiştirdik ve değişikliğin işe yaradığını şu şekilde denetleyeceğiz.”

Benim güven duyabilmek için ihtiyacım olan dil bu.

Yaklaşık 3 milyar dolar donduruldu: Peki para kurtarıldı mı?

Binance, sektör ortaklarıyla yürütülen çalışmalar sonucunda yaklaşık 3 milyar dolarlık varlığın zincir üzerinde dondurulduğunu açıkladı.

Bu önemli bir gelişme. Fakat “donduruldu” kelimesini okurken zihnimizde otomatik olarak “sahibine geri verildi” şeklinde çevirmememiz gerekiyor.

USDC gibi bazı tokenlarda ihraççı, belirli adreslere gelen ve bu adreslerden çıkan transferleri engelleyebiliyor. Böyle bir müdahale, varlığın hareketini kısıtlayabiliyor; geçmişte yapılan transferin kendiliğinden geri alınması anlamına gelmiyor. Circle’ın koşulları da adres engelleme yetkisiyle işlemlerin geri döndürülemezliğini ayrı ayrı açıklıyor.

Dolayısıyla çalınma, dondurulma, geri kazanılma ve hak sahibine iade edilme ayrı aşamalar.

“Bir kısmı donduruldu, kalanına geçmiş olsun” demek içimden geçiyor. Bu tepkiyi anlıyorum. Ama henüz dondurulmamış bütün varlıkların sonsuza kadar kaybedildiğini söylemek de elimizdeki bilgiyi aşar.

Hypernative, bazı varlıkların dondurulduğunu, diğerlerinin ise dondurulmamış durumda olduğunu ve bir bölümünün hareket etmeye devam ettiğini bildiriyor. Nihai geri kazanım sonucu henüz bu tablodan çıkarılamaz.

Bu belirsizlik başlı başına yorucu.

Bir ekranda paranın nerede olduğunu görebilmek, ona yeniden erişebilmekle aynı şey değil. Şeffaflık önemli; fakat izleyebildiğimiz bir kaybın karşısında da kendimizi güçsüz hissedebiliyoruz.

Özgürlük isterken, tehlike anında birinin müdahale etmesini bekliyoruz

Kripto para dünyasının en zor çelişkilerinden biri bence burada ortaya çıkıyor.

Aracılara daha az bağımlı olmak istiyoruz. Varlıklarımız üzerinde daha fazla kontrol istiyoruz. Bir başkasının kararına bağlı kalmadan işlem yapabilme fikrini önemsiyoruz.

Bir saldırı olduğunda ise hemen şu soruyu soruyoruz:

“Bunu durdurabilecek kimse yok mu?”

Bazı tokenlarda müdahale yetkisinin bulunması mağdur açısından umut olabiliyor. Aynı yetki, başka bir tartışmada merkezi kontrol endişesine dönüşebiliyor.

İki duyguyu da anlayabiliyorum.

Kendi param üzerinde söz sahibi olmak istiyorum. Bir hata yaptığımda ya da saldırıya uğradığımda yardım isteyebileceğim bir mekanizma da olsun istiyorum.

Bu isteğin içinde çelişki var. İnsan olduğum için var.

Bir sistemin avantajlarını anlatırken zor günlerde hangi imkânlardan vazgeçmiş olacağımızı da konuşmamız gerekiyor. Sadece işler yolundayken özgürlükten söz etmek bana eksik geliyor.

Binance zararı karşılayacağını söylüyor. Güven de aynı şekilde yerine konabilir mi?

Binance, mali etkiyi kullanıcılarına yansıtmayacağını ve kayıpları karşılamak üzere 6,34 milyar doların üzerinde şirket kaynağı ayırdığını açıkladı. Bu, şirketin kamuya verdiği taahhüt; bütün geri kazanım ve telafi süreçlerinin tamamlandığı anlamına gelmiyor.

Kullanıcı açısından elbette çok önemli.

Ama güvenin hesap hareketleri gibi çalıştığını düşünmüyorum.

Kaybolan tutar yerine konduğunda bakiyedeki eksik kapanabilir. İnsanın zihninde açılan soru hemen kapanmayabilir:

“Bir daha olur mu?”

O soruyla yaşamak, daha önce hiç düşünmeden yaptığınız işlemleri düşünerek yapmaya başlamanız demek. Uygulamayı açarken küçük bir tereddüt hissetmek demek. Daha önce güven verdiğini düşündüğünüz büyüklüğe bu kez başka gözle bakmak demek.

Şirketlerin böyle bir olaydan sonra ne kadar para ayırdıkları kadar, ne kadar açık konuştukları da önemli geliyor bana. Başarısızlığı anlaşılır biçimde anlatabilmek, güveni yeniden kurmanın bir parçası.

Ben kusursuzluk iddiasından çok, denetlenebilir sorumluluğa güvenmek istiyorum.

Gerçekten paramızın bir kısmını yastık altında mı saklamalıyız?

Bu soruyu biraz utanarak soruyoruz sanki.

Dijital dönüşümden, yapay zekâdan, blokzincirden konuşurken bir anda aklımıza evde saklanan para geliyor. Geleceğe bu kadar hevesliyken eski bir alışkanlığın verdiği güveni özlemek tuhaf hissettiriyor.

Ama o sorunun altında anlaşılır bir ihtiyaç var: Kontrolü biraz olsun elimizde hissetmek.

Dokunabildiğimiz, görebildiğimiz, nerede olduğunu bildiğimiz bir şey istiyoruz. Şifre sıfırlamaya, destek talebi açmaya, bir sistemin yeniden çalışmasını beklemeye ihtiyaç duymadan erişebileceğimiz bir şey.

Bunun duygusal karşılığını küçümseyemiyorum.

Yine de buradan “Bütün paranızı evde tutun” sonucuna varamıyorum. Fiziksel saklamanın da hırsızlık, yangın ve kaybolma gibi riskleri var. Parayı gözümün önünde tutmam, bütün tehlikeleri ortadan kaldırmıyor.

Benim bu olaydan çıkardığım kişisel sonuç, paniğin gösterdiği ilk yere kaçmak olmuyor. Güvenimi neye dayandırdığımı daha dürüst sorgulamak oluyor.

Bir hizmeti gerçekten anladığım için mi kullanıyorum? Herkes kullandığı için mi? Büyük olduğu için mi? Kullanımı kolay olduğu için mi? Zor soruları sormak rahatımı bozduğu için mi?

Bu soruların bazı cevapları hoşuma gitmeyebilir.

Ama rahatsız edici bir cevap, sorgulanmamış bir rahatlıktan daha değerli olabilir.

Bütün güvenlik yükünü sıradan kullanıcıya bırakamayız

Bu tür olaylardan sonra öneriler çoğu zaman aynı yere geliyor: Daha dikkatli olun, şifrenizi koruyun, bağlantılara tıklamayın.

Bunların değeri var. Fakat kurumsal altyapıyı hedef alan bir saldırının ardından bütün konuşmayı bireysel kullanıcı davranışına çevirmek bana adil gelmiyor.

Bir hizmete güvenen insanın, o hizmetin imzalama sistemini denetlemesi beklenemez. İnsanlar çalışıyor, ailelerine bakıyor, hayatlarını sürdürüyor. Herkesin kendi parasına erişebilmek için siber güvenlik uzmanı olması mümkün değil.

Kullanıcıdan dikkat beklerken kurumdan da anlaşılır açıklama, güçlü kontrol ve hesap verebilirlik beklemeliyiz.

Teknoloji ne kadar karmaşıklaşırsa, onu sunanların açıklama sorumluluğu benim gözümde o kadar büyüyor.

“Çok teknik, anlatması zor” cümlesi, milyarlarca dolarlık güven ilişkisinin son açıklaması olamaz.

Korkuyorum. Yine de geleceğe sırtımı dönmek istemiyorum.

Bu haber beni korkutuyor.

Miktarın büyüklüğü, işlemlerin hızı ve sıradan bir kullanıcının bütün bunlar karşısındaki sınırlı kontrolü korkutuyor. Birikim dediğimiz şeyin ekranda birkaç satırdan ibaret görünmesine alışmışken, o satırların arkasındaki güven ilişkisini ne kadar az düşündüğümüzü fark etmek korkutuyor.

Ama bu korkunun beni her yeniliğe düşman etmesini istemiyorum.

Teknoloji sayesinde üretiyorum. Öğreniyorum. İletişim kuruyorum. Hayatımın birçok alanında onun açtığı imkânlardan faydalanıyorum. Bu yazıyı mümkün kılan dünyanın da içindeyim.

Belki bundan sonra yapmam gereken, heyecanımın yanına daha fazla soru koymak.

Bir ürünün ne kadar hızlı çalıştığını merak ettiğim kadar, yanlış çalıştığında ne olduğunu da merak etmek. Bana ne kazandıracağını dinlerken, hangi sorumluluğu üzerime bıraktığını da anlamaya çalışmak.

6,36 milyar doların çalınabilmesi, benim için artık uzakta kalabilecek bir teknoloji haberi değil.

Kendi hayatıma dönüp bakmama neden oluyor. Güven dediğim şeyin ne kadarının bilgiye, ne kadarının alışkanlığa dayandığını sorgulatıyor.

Belki paramı yastık altına koymayacağım.

Ama “Nasıl olsa birileri güvenliğini düşünmüştür” cümlesini de eskisi kadar rahat kuramayacağım.

Ahmet Şükrü Altındağ · Gamechangers Kurucusu

6,36 Milyar Dolar Çalınabiliyorsa, Biz Neye Güveniyoruz?