Şimdiye kadarki en büyük kripto para hırsızlığında, Seyşeller merkezli borsa Bybit, 21 Şubat 2025'te Kuzey Kore bağlantılı hackerlar tarafından gerçekleştirilen sofistike bir saldırı nedeniyle yaklaşık 1.5 milyar dolar değerinde Ethereum (ETH) kaybetti.

Bybit CEO'su Ben Zhou tarafından doğrulanan ihlal, kripto endüstrisini hedefleyen siber suçlarda önemli bir artışa işaret ediyor ve dijital varlıkların güvenliği konusunda kritik sorular ortaya çıkarıyor.

Hadi hack'in, kullanılan teknik yöntemlerin, blockchain analizinin, Lazarus Grubu'nun katılımının ve kripto para ekosistemi için daha geniş anlamlarının derinlemesine bir analizini yapalım.

Bybit: Kripto Pazarındaki Büyük Oyuncu

2018'de kurulan ve Seyşeller'de merkezi bulunan Bybit, yüksek işlem hacimleri ve çeşitli teklifleriyle tanınan önde gelen bir kripto para borsası olarak kendini kanıtladı; bunlar arasında mevcut piyasa fiyatlarından kripto para alım satımı, kaldıraçla gelecekteki fiyat hareketleri üzerine spekülasyon yapma, blockchain operasyonlarını desteklemek için fonları kilitleyerek ödüller kazanma yer alıyor.

Borsanın kullanıcı dostu arayüzü ve çoklu imza (multi-sig) soğuk cüzdanlar ve düzenli güvenlik denetimleri gibi güçlü güvenlik önlemleri konusundaki itibarı, küresel bir kullanıcı tabanı çekmiştir. Bu itibar, hack'in özellikle alarm verici hale gelmesini sağladı çünkü en güvenilir platformlarda bile zafiyetlerin ortaya çıkmasına neden oldu.

Hack'in Keşfi

Hack, ilk olarak 21 Şubat 2025'te saat 10:20 ET'de Bybit'in cüzdanlarından toplamda 1.46 milyar dolar değerinde ETH çıkışını işaretleyen on-chain analisti ZachXBT tarafından tespit edildi.

Bu çıkışlar, potansiyel bir güvenlik ihlali konusunda hemen endişe yarattı. 30 dakika içinde Bybit CEO'su Ben Zhou, X'te (eski adıyla Twitter) attığı bir gönderiyle ihlali doğruladı ve saldırıyı bir "maskelemiş" işlem tekniğine bağladı; bu teknik, bir rutin transfer sırasında borsanın çoklu imza soğuk cüzdanını ılık cüzdana geçirirken sömürülmüştü.

Çoklu İmza Soğuk Cüzdanları Anlama ve Güvenlikleri

Çoklu İmza Soğuk Cüzdan Nedir?

Çoklu imza (multi-sig) soğuk cüzdan, bir işlem için birden fazla özel anahtarın gerekli olduğu bir tür kripto para depolama çözümüdür.

Tek anahtarlı cüzdanların aksine, ki bunlar daha tek bir anahtara dayanır ve daha kolay çalınabilir, multi-sig cüzdanlar kontrolü birkaç taraf veya cihaz arasında dağıtır. Örneğin, 2-of-3 multi-sig cüzdan, üç atanmış imzacıdan ikisinin bir işlemi onaylamasını gerektirir.

Diğer taraftan, soğuk cüzdanlar çevrimdışı depolama çözümleridir, yani internete bağlı değildirler ve bu da çevrimiçi saldırılar, örneğin hackleme veya oltalama gibi riskleri azaltır.

Bybit'in multi-sig soğuk cüzdan kurulumu, büyük miktarda kripto parayı güvence altına almak için birden çok imza tarafından onay gerektiriyordu, bu, büyük miktarda kripto parayı koruma statüsü için standart uygulamadır.

Bybit'in multi-sig soğuk cüzdanları kullanımı, büyük ETH tutarlarını korumak için olması amaçlanmıştı ve ihlal özellikle şaşırtıcı geldi, hele saldırının ne denli gelişmiş olduğu dikkate alındığında.

Hakkin Nasıl Gerçekleştirildi: Teknik Detaylar

Saldırganlar, Bybit'in çoklu imza güvenliğini sosyal mühendislik ve ileri teknik manipülasyon yoluyla aştılar.

İşte saldırının ayrıntılı bir dökümü:

1. Sosyal Mühendislik Yoluyla Başlangıç Erişimi

Kuzey Kore Lazarus Grubu'nun bir parçası olduğuna inanılan hackerlar, muhtemelen şu gelişmiş oltalama teknikleri ile başlangıç erişimini kazandılar:

• Benzer Balık Avlama E-postaları: Çalışanları veya imzacıyı kandırmak için tasarlanmış hedefli e-postalar ya kimlik bilgilerini ifşa eden ya da kötü amaçlı bağlantılara tıklayan.
• Sahte Web Siteleri: Özel anahtarları veya anahtar ifadeleri ele geçirmek için Bybit arayüzlerini taklit eden oltalama siteleri.
• Kötü Amaçlı Yazılım Enfeksiyonu: İmzacılar tarafından kullanılan sistemleri veya cihazları tehlikeye atmak için kötü amaçlı yazılım kullanmak.

Bu sosyal mühendislik taktikleri, en güvenli sistemlerde bile bulunan insan hatasını istismar etti.

2. Maskeli Arayüz Yoluyla İşlem Manipülasyonu

Bybit’in ETH multi-sig soğuk cüzdanından ılık cüzdanına yapılan rutin bir transfer sırasında (daha hızlı işlemler için bir çevrimiçi cüzdan), saldırganlar sömürülerini gerçekleştirdiler.

Saldırganlar, kullanıcıların işlemleri onayladığı, kullanıcı arayüzünde işlemi imzalayan arayüzünü değiştirdiler. Bu arayüz, meşru bir işlem adresi gösterirken altında kötü amaçlı yazılım olan bir akıllı sözleşme mantığı içeren kod içeriyordu.

İmzacı, manipülasyonu fark etmeden rutin bir transferi onayladı. Ancak onaylanan işlem, cüzdanın kontrol mekanizmalarını değiştiren kötü amaçlı kod içermekteydi.

3. Akıllı Sözleşme Mantığı Değişikliği

İşlem içinde gömülü kötü amaçlı kod, işlem onaylamada kullanılan süreçteki zafiyetleri sömürdü.

Onaylanan işlem, akıllı sözleşmenin mantığını değiştirdi ve hackerların cüzdan üzerinde kontrol kazanmasına izin vererek, 401,347 ETH'yi kontrol ettikleri tanımlanamayan bir adrese transfer etmelerine olanak tanıdı.

Saldırı, Ethereum blockchain’i veya akıllı sözleşmelerini tehlikeye atmadı, daha ziyade Bybit’in iç işleyiş süreci ve işlemleri onaylama sürecini sömürdü.

4. Fon Aklama ve Dağıtma

Fonların kontrolünü ele geçirdikten sonra, saldırganlar çalınan ETH'yi izlerini belirsizleştirmek için çabucak dağıttı.

ETH, 1000 ETH'lik dilimlere bölünerek 40'tan fazla farklı cüzdana gönderildi.

Saldırganlar, ETH'yi diğer kripto para birimlerine veya itibari para birimlerine, daha az müşteri tanıma (KYC) gerektiren merkeziyetsiz borsalar (DEX'ler) üzerinden dönüştürdüler; bu, fonların dondurulmasını veya kurtarılmasını zorlaştırdı.

Blockchain Analizi ve Fon İzleme

Blockchain analiz firmaları, saldırganların hareketlerini gizleme çabalarına rağmen çalınan fonları izlemek için kritik bir rol oynadı.

Yer alan anahtar firmalar ve araçlar arasında şunlar vardı:

• Elliptic: Çalınan ETH'nin dağıtılıp likide edilmesi sürecini izleyen bir blockchain analitik firması. Elliptic'in yazılımı, şüpheli aktiviteleri tanımlamak için işlem modellerini ve cüzdan adreslerini analiz ediyor.
• Arkham Intelligence: Fonların eş zamanlı takibini sağlayan, bağlantılı cüzdanları ve işlem akışlarını tanımlayan başka bir analitik firması.
• MistTrack by Slow Mist: Çalınan ETH'nin Ethereum ağı üzerindeki hareketini haritalamak için kullanılan bir blockchain adli araç. MistTrack, Lazarus Grubu tekniklerini gösteren deneme işlemlerini ve cüzdan modellerini işaretledi.

Bu çabalara rağmen, likidasyonun hız ve genişliği kurtarma işlemini zorlaştırdı.

Saldırganların DEX’leri ve karıştırıcıları (kripto paranın kaynağını gizlemek için kullanılan araçlar) kullanımı süreci daha da karmaşık hale getirdi.

Lazarus Grubu: Hack'in Arkasındaki Suçlular

Lazarus Grubu Kimdir?

Lazarus Grubu, yüksek profilli siber suçları, kripto para soygunlarını, fidye yazılımı saldırılarını ve casusluğu yönlendiren Kuzey Kore destekli bir hacker topluluğudur.

Grubun, rejime gelir sağlama öncelikli amacını taşıyan Kuzey Kore Keşif Genel Bürosu'nun talimatıyla faaliyet gösterdiği düşünülmektedir.

Lazarus'un Bybit Hackine Bağlanması

ZachXBT dahil blockchain analistleri, Bybit hçak'ini önceki Lazarus Grubu saldırılarıyla çeşitli göstergelerden dolayı ilişkilendirdi.

• Test işlemleri: Cüzdan işlevselliğini test eden, ana saldırıdan önce gönderilen küçük transferler, Lazarus tekniklerinin bir özelliğidir.
• İlişkili Cüzdanlar: Bybit hack'inde kullanılan cüzdanlar, Phemex istismarında yer alan cüzdanlarla bağlantılıydı.
• Adli grafikler ve zaman analizi: İşlem zamanlaması ve cüzdan aktivitelerindeki kalıplar, bilinen Lazarus davranışlarına uyuyordu.

Lazarus Grubu’nun Sicili

Lazarus Grubu’nun kripto para hırsızlıklarıyla dolu uzun bir geçmişi vardır ve bunlar arasında dikkat çekici örnekler de yer alır:

• Ronin Network hack 2022: Axie Infinity oyun platformundan 600 milyon dolar değerinde ETH ve USDC çaldı.
• Phemex hack 2024: Benzer teknikler ve cüzdan modelleri aracılığıyla Bybit hack'i ile ilişkilendirildi.
• 2024 toplamları: 61% yılın tüm yasa dışı kripto faaliyetlerinin toplamını kapsayan 47 hack'da 1.34 milyar dolar çaldıkları tahmin edilmekteydi.

Grubun, sıfır gün istismarları (önceden bilinmeyen zafiyetler) ve gelişmiş sosyal mühendislik gibi ileri teknikleri, kripto para endüstrisi için münhasebu bir tehdit yaratıyor.

Ethereum ve Kripto Ekosistemi İçin Etkiler

Ethereum'un Güvenliği

Hack’in kapsamına rağmen, Ethereum’un kendisi tehlikeye girmemişti.

Zafiyet, Ethereum blockchain’inde ya da onun akıllı sözleşmelerinde değil, Bybit'in iç süreçlerinde yatıyordu.

İşte nedeni.

Merkeziyetsiz işlem defteri olan Ethereum blockchain’i güvende kaldı. Saldırı, blockchain’in konsensüs mekanizması (hisse kanıtı) ya da onun akıllı sözleşme sistemindeki hataları sömürmedi.

İhlal, manipüle edilmiş işlem onaylamalarından kaynaklanıyor, ki bu da kripto pararitim yönetimindeki insana bağlı süreçlerin risklerini vurguluyor.

Her ne kadar akıllı sözleşme kodu doğrudan hacklenmemişse de, maskelemiş bir arayüz üzerinden onaylama sürecinin manipülasyonu, çoklu imza cüzdanlarındaki kullanıcı arayüzleri ve işlem imzalama mekanizmalarının güvenliği konusunda endişeler yaratıyor.

Daha Geniş Pazar Etkisi

Hack, kripto para piyassında hemen ve yankıları olan etkiler yarattı.

ETH fiyatları, hack'in doğrulanmasının ardından %3'ten fazla düştü ve artan dalgalılığı yansıttı.

İhlal, ETHDenver ile aynı zamana denk geldi, ETH için tipik olarak yükselişe hayat veren bir olay olan en büyük Ethereum ekosistem konferanslarından biriyle.

Olay, merkezi borsalara olan güveni erozyona uğrattı, kullanıcıların varlıklarının güvenliği konusundaki şüphelerini artırdı ve merkezi olmayan finansman (DeFi) çözümlerine olan ilgiyi artırdı.

Ve elbette, en büyük hack'in boğa piyasası sırasında gerçekleşmesi olgusunu göz ardı etmemek gerekir.

Bybit’in Tepkisi ve İyileşme Çabaları

Bybit’in hızlı tepkisi paniği önlemeye yardımcı oldu ve operasyonel dayanıklılık gösterdi. İçerik: Borsa, kullanıcıların fonlarına erişmeleri için hack olayından sonra 580,000'den fazla para çekme talebini işledi.

Bybit, kullanıcılarına teminat sağlamak için kayıpları kapatacak köprü kredileri de sağladı. Borsa, çalınan ETH'yi geri almaya yardımcı olan etik bilgisayar korsanlarına kurtarılan fonların %10'una kadar bir program başlattı.

Bu önlemler proaktif olsa da, bu tür büyük ölçekli hack olaylarında fonların geri kazanılmasının zorluklarını ve özellikle saldırganların para aklama tekniklerini vurgulamaktadır.

Gelecek İçin Önleyici Tedbirler

Benzer hack olaylarını önlemek için, uzmanlar Bybit olayından elde edilen bilgiler ve endüstri en iyi uygulamalarına dayalı kapsamlı bir dizi güvenlik önlemi öneriyor.

1. Çok Faktörlü Kimlik Doğrulama (MFA)

İşlem onayları için birden fazla doğrulama katmanı gerektirin, örneğin:

• Biyometrik kimlik doğrulama: Parmak izi veya yüz tanıma.
• Donanım belirteçleri: Tek seferlik kodlar üreten fiziksel cihazlar.
• Zamana dayalı tek seferlik şifreler (TOTP): Google Authenticator gibi uygulamalarla geçici kodlar.

2. Güvenli İletişim Kanalları

Tüm işlemle ilgili iletişimler için şifreli ve doğrulanmış kanallar kullanın, örneğin:

• Uçtan uca şifreli e-posta: ProtonMail veya Signal gibi araçlar ile güvenli mesajlaşma.
• Özel güvenli portallar: Harici tehditlerden izole edilmiş işlem onayları için dahili sistemler.

3. Düzenli Güvenlik Denetimleri

Güvenlik açıklarını belirlemek için sık sık değerlendirmeler ve sızma testleri yapın:

• Üçüncü taraf denetimler: Güvenilir firmalarla güvenlik protokollerini inceleyin.
• Simüle edilmiş saldırılar: Sistemleri kimlik avı, kötü amaçlı yazılım ve sosyal mühendislik senaryolarına karşı test edin.

4. Çalışan Eğitimi

Personeli sosyal mühendislik tehditlerini tanıma konusunda eğitin, örneğin:

• Hedefli kimlik avı farkındalığı: Çalışanları şüpheli e-postaları veya bağlantıları tanımaları için eğitin.
• Kimlik bilgisi hijyeni: Parolaları yeniden kullanmaktan veya anahtarları güvensiz bir şekilde saklamaktan kaçının.

5. Çeşitlendirilmiş Varlık Yönetimi

Maruziyeti sınırlamak için fonları birden fazla cüzdanda dağıtın:

• Soğuk ve sıcak cüzdan dengesi: Fonların çoğunluğunu soğuk depoda tutun, günlük işlemler için sıcak cüzdanlarda minimum miktarlar bulundurun.
• Çoklu imza dağıtımı: Farklı varlık havuzları için farklı çoklu imza yapılandırmaları kullanın.

6. Anomali Tespit Sistemleri

Olağandışı işlem desenlerini tespit edip uyarı verecek araçlar uygulayın, örneğin:

• Makine öğrenme modelleri: Büyük transferler gibi olağandışı zamanlarda normal aktiviteden sapmaları belirleyin.
• Gerçek zamanlı uyarılar: Güvenlik ekiplerini şüpheli çıkışlar hakkında bilgilendirin.

7. Tehditler Hakkında Güncel Kalın

Yeni siber tehditlerle başa çıkmak için güvenlik önlemlerini sürekli güncelleyin:

• Tehdit istihbarat akışları: Yeni saldırı vektörlerini takip eden hizmetlere abone olun.
• Sıfır gün açığı savunmaları: Yeni keşfedilen güvenlik açıklarını gidermek için yamaları ve güncellemeleri hızla devreye alın.

Bu önlemler, sıfır gün istismarlarını, gelişmiş sosyal mühendislik tekniklerini ve hızlı fon aklama yöntemlerini içeren Lazarus Grubu'nun gelişmiş teknikleri göz önüne alındığında çok önemlidir.

Sonuç: Kripto Endüstrisi İçin Dersler

Kripto tarihindeki en büyük soygun olan Bybit saldırısı, özellikle Lazarus Grubu gibi devlet destekli aktörlerden kaynaklanan endüstrinin karşılaştığı kalıcı güvenlik zorluklarını gözler önüne sermektedir.

Ethereum güvenliğini korurken, olay dijital varlıkları korumak için sağlam iç süreçlere, gelişmiş siber güvenlik tedbirlerine ve sürekli tetikte olmaya olan ihtiyacı vurgulamaktadır.

Kripto para ekosistemi geliştikçe, borsalar böyle krizleri etkin bir şekilde yönetmek için kullanıcı güveni ve operasyonel dayanıklılığı önceliklendirmelidir.

Bybit ihlali, en güvenli platformların bile insan hatasına ve sofistike saldırılara karşı savunmasız olduğunu sert bir şekilde hatırlatarak siber suçlarla mücadele etmek için katmanlı güvenlik ve endüstri genelinde işbirliğinin önemini ortaya koymaktadır.