Ethereum(ETH) ekosisteminde 100 Kuzey Koreli ‘sahte geliştirici’ tespit edildi: Web3’te dış saldırıdan iç tehdit dönemine geçiş

İsviçre merkezli Ethereum(Ethereum, ETH) ekosisteminde Kuzey Kore bağlantılı personelin ‘içeriden sızma’ girişimlerinin tespit edilmesi, web3 güvenlik tehditlerinin doğasını kökten değiştiriyor. Yaklaşık 100 Kuzey Koreli yazılımcının sahte kimliklerle kripto projelerine dahil olduğu ortaya çıkarken, odak artık yalnızca dışarıdan ‘hacking’ değil, içeriden gelen ‘yapısal risk’ haline gelmiş durumda.

Ethereum Vakfı’nın güvenlik programı ‘ETH Rangers’ bünyesinde yürütülen Ketman Project, yaklaşık 6 aylık izleme çalışmasının ardından web3 şirketlerinin içine sızmış yaklaşık 100 Kuzey Koreli IT personelini tespit ettiğini duyurdu. Bu çalışma klasik ‘açık taraması’ değil, daha çok ‘istihbarat analizi’ formatında yürütüldü.

Araştırma ekibi; sahte kimlikler, şüpheli kariyer geçmişleri, zaman dilimi gizleme girişimleri, belirli ödeme kanalları, tekrar eden teknik izler gibi birçok veriyi bir araya getirerek Kuzey Kore bağlantılı hesapları ayıkladı. Bu tespitler için yalnızca kod depoları değil, GitHub üzerindeki geçmiş aktiviteler, işe alım platformlarındaki profiller ve şirket içi işbirliği araçlarındaki hareketler de uzun süreli olarak izlendi. Bu durum, geleneksel denetim süreçlerine kıyasla çok daha derinlemesine bir güvenlik yaklaşımının benimsendiğini gösteriyor.

Bu tablo, Kuzey Kore’nin kripto stratejisinde belirgin bir kaymaya işaret ediyor. Önceden ‘kripto borsası hackleme’ ya da uzaktan sızma saldırıları öne çıkarken, artık ‘normal çalışan’ kılığıyla projelerin içine yerleşme modeli giderek yaygınlaşıyor. Bu kişiler yalnızca maaşla döviz elde etmiyor; aynı zamanda proje kod tabanına erişiyor, iç yazışmalardan kritik bilgi topluyor ve gelecekteki saldırılar için ‘uzun vadeli pozisyon’ alıyor.

‘Yorum’ Bu model, klasik siber saldırgan profilinden ziyade, kurumsal yapıda yıllarca kalabilen, görünmez bir iç tehdit anlamına geliyor. ‘Yorum’

Bazı vakalarda sızma seviyesi kritik noktalara kadar yükseldi. Bir kripto para borsasında, Kuzey Koreli geliştiricinin yönetici seviyesine kadar terfi ettiği ve platformun, para çekme işlemleri için kullanıcılarına uyarı mesajı göndermek zorunda kaldığı belirtildi. Bu örnek, ‘içeriden tehdit’in artık istisna değil, sistematik bir stratejiye dönüştüğünü düşündürüyor.

Kuzey Kore bağlantılı kripto suçlarının toplam hacmi de hızla büyüyor. 2025 yılında tek yılda çalınan kripto varlıkların yaklaşık 2 milyar 200 milyon dolar (yaklaşık 2,96 trilyon won) seviyesine ulaştığı, bunun da önceki yıla göre ‘yüzde 51 artış’ anlamına geldiği bildiriliyor. Toplam birikimli kayıp tutarı ise 6 milyar 750 milyon doları aşmış durumda.

1 Nisan 2026’da merkeziyetsiz finans (DeFi) projesi Drift Protocol(Drift Protocol) üzerinde gerçekleşen yaklaşık 285 milyon dolarlık saldırı, yılın en büyük vurgunu olarak kayda geçti. Bu olayın da ‘yüksek olasılıkla’ Kuzey Kore bağlantılı bir grup tarafından gerçekleştirildiği tahmin ediliyor. DeFi projeleri, akıllı kontrat açıkları ve yönetim mekanizmalarındaki zaaflar nedeniyle artık Kuzey Koreli grupların ana hedefleri arasında.

Ethereum ekosistemi içinde faaliyet gösteren ETH Rangers programı, bugüne kadar 17 bağımsız güvenlik araştırmacısını destekleyerek yaklaşık 5,8 milyon dolar (yaklaşık 8,5 milyar won) değerinde kripto varlığı dondurdu veya geri aldı. Program, 785’ten fazla güvenlik açığını tespit edip raporladı, 36 güvenlik olayı için doğrudan müdahalede bulundu ve 80’in üzerinde eğitim çalışması düzenledi.

Öne çıkan bir diğer nokta ise geliştirilen ‘açık kaynak’ güvenlik araçları. GitHub üzerindeki şüpheli geliştirici hesaplarını tespit eden yazılımlar, DeFi saldırılarını analiz eden platformlar ve zincir üstü(‘on-chain’) izleme araçları, ekosisteme ücretsiz olarak sunuldu. Bu araçların, Kuzey Koreli geliştiricilerin sahte profillerle projelere sızmasını belirlemede ‘kritik’ rol oynadığı ifade ediliyor.

‘Kelime’100 kişilik sızma’ ‘kelime’ ifadesinin asıl anlamı, bunların anlık saldırı gerçekleştiren klasik hackerlar değil, uzun süre sistemin içinde kalan ‘uyuyan hücreler’ olması. Bu profiller, kripto projelerinin altyapısına derinlemesine gömülerek ileride yapılacak büyük vurgunlar için zemin hazırlayan ‘potansiyel tehdit’ olarak görülüyor.

Bu nedenle kısa vadeli para kaybından çok, ‘kelime’güven’kelime’ ve ‘kelime’yapısal güvenlik’kelime’ ön plana çıkıyor. Uzmanlar, önümüzdeki dönemde DeFi ve web3 şirketleri için işe alım süreçleri, kimlik doğrulama prosedürleri ve uzaktan çalışma politikaları üzerinde düzenleyici baskının artmasını bekliyor. Özellikle KYC/AML standartlarının yalnızca kullanıcılar için değil, geliştirici ve ekip üyeleri için de sıkılaştırılması, bu yeni tip ‘içeriden sızma’ modeline karşı en kritik savunma hatlarından biri olarak görülüyor.