Kuzey Kore bağlantılı saldırılarda 12,8 milyar dolar çalındı; 2026'da 7,4 milyar dolar

Kuzey Kore bağlantılı hackerların 2017'den bu yana çaldığı kripto varlıkların toplamı yaklaşık 12,8 milyar dolara (yaklaşık 17 trilyon 344 milyar Güney Kore wonu) ulaştı. 2026'da şimdiye kadar çalınan tutar ise 7,4 milyar dolar (yaklaşık 10 trilyon 27 milyar Güney Kore wonu) olarak hesaplandı.

TRM Labs, 30 Ekim tarihli analizinde Kuzey Kore bağlantılı saldırıların 2026'nın Ekim ayına kadar dünya genelindeki kripto varlık saldırılarından kaynaklanan kayıpların yüzde 85'ini oluşturduğunu bildirdi. Analize göre bu yıl Kuzey Kore bağlantılı hırsızlıkların büyük bölümü Binance saldırısından kaynaklandı.

ABD Federal Soruşturma Bürosu (FBI), 31 Ekim'de Binance saldırısının arkasında Kuzey Kore'nin olduğunu açıkladı. FBI, söz konusu siber faaliyeti TraderTraitor olarak adlandırdı.

Binance, olaydan etkilenen varlıkların büyüklüğünü yaklaşık 6,34 milyar dolar (yaklaşık 8 trilyon 610 milyar 400 milyon Güney Kore wonu) olarak tahmin etti. Şirket, kullanıcıların zararını üstleneceğini açıkladı.

Binance'in yayımladığı soruşturma bulgularına göre saldırı hazirandan itibaren birkaç aşamada ilerledi. Bir mühendis yapay zekâ destekli bir kodlama aracı kurmaya çalışırken değiştirilmiş bir Homebrew kurulum dosyası indirdi. Şirket anormal faaliyetleri tespit ettikten sonra ilgili bilgisayarı değiştirdi ve bağlantılı kimlik bilgilerini yeniledi.

Eylül ayında, iş geçmişi bir iş bulma platformunda görünen bir yazılım mühendisine işe alım teklifi geldi. Sahte bir işe alım görevlisiyle görüntülü görüşme yapan mühendis, ardından kötü amaçlı kod içeren bir yazılım geliştirme görevi aldı.

Binance, 20 Ekim'de saldırganların virüs bulaşmış mühendisin bilgisayarını ve şirket içi yapay zekâ araçlarını kullanarak cüzdan operasyonlarından sorumlu çalışanlar da dahil olmak üzere başka çalışanların yetkilerine eriştiğini bildirdi. Saldırganlar bu süreçte konteyner dağıtma yetkisi bulunan bir çalışanın erişim belirtecini tespit etti.

29 Ekim'de çalınan kimlik bilgileriyle başka bir çalışanın bilgisayarına erişen saldırganlar, bir konteyner dağıttı ve kötü amaçlı bir komut dosyası çalıştırdı. Şirketin dahili cüzdan imzalama sistemine izinsiz girerek olağan para çekme prosedürünün dışında işlemleri onayladılar. Binance, saldırıda kullanılan erişim yolundaki cüzdan sistemlerini ve şirket içi yapay zekâ araçlarını yeniden kurduğunu açıkladı.

ABD Deniz Kuvvetleri Lisansüstü Okulu'nda yayımlanan 2004 tarihli bir makalede Mirim Akademisi'nin 1984'te kurulduğu, Mayıs 1986'da beş yıllık Mirim Koleji'ne dönüştürüldüğü kaydedildi. Yeni okula askerlik yapan kişiler ile bölgelerindeki başarılı lise öğrencileri alındı; öğrenciler bilgisayar, programlama ve elektronik harp eğitimi gördü.

Siber güvenlik şirketi DTEX'in analizine göre Geumsong 1. Ortaokulu öğrencileri altı yılda 1.660 saat bilgisayar eğitimi alıyor. Eğitimde Linux, C ve C++, Windows, ağlar ve yapay zekâ yer alıyor. DTEX'in raporuna göre mezunlar programcı, siber operasyon çalışanı veya yurt dışında görev yapan BT işçisi olarak çalışıyor.

ABD Adalet Bakanlığı, 2021'deki iddianame duyurusunda 2014 Sony Pictures saldırısını, 2016'da Bangladeş Merkez Bankası'ndan 81 milyon dolar (yaklaşık 109 milyar 800 milyon Güney Kore wonu) çalınmasını ve 2017 WannaCry saldırısını Kuzey Kore bağlantılı hackerların faaliyetleri arasında saydı.

Kripto varlık borsaları ve blokzincir tabanlı hizmetler de hedef oldu. FBI, 2022'de Axie Infinity'nin Ronin köprüsünden 620 milyon dolar (yaklaşık 840 milyar 100 milyon Güney Kore wonu) çalınmasını Lazarus ve APT38'e atfetti. FBI, 2025'te Bybit'ten çalınan 1,5 milyar doları (yaklaşık 2 trilyon 32 milyar 500 milyon Güney Kore wonu) da Kuzey Kore'nin TraderTraitor faaliyeti kapsamında değerlendirdi.

Uzaktan BT işi, şirketlerin iç sistemlerine erişmek için kullanılan başka bir yol. ABD Adalet Bakanlığı 2025'te, Kuzey Kore bağlantılı kişilerin sahte veya başkasından alınmış kimliklerle 100'den fazla ABD şirketinde uzaktan çalıştığını açıkladı. Bu kişiler maaş aldı; bazıları şirketlerin hassas bilgilerine ve kripto varlıklarına erişti.

Çok Taraflı Yaptırım İzleme Ekibi (MSMT), 2025 tarihli raporunda Bybit'ten çalınan fonların tamamının aynı yılın eylül ayına kadar nakde çevrilmiş olmasının muhtemel olduğunu değerlendirdi. Rapora göre Çin, Rusya ve Hong Kong'daki aracılar ile Kamboçya'daki merkezler fonların aktarılmasına ve nakde çevrilmesine katkıda bulundu. MSMT, Kuzey Kore'nin siber faaliyetlerini ve BT iş gücünü kullanmasını yasadışı silah ve balistik füze programlarına kaynak sağlamanın bir yolu olarak değerlendirdi.

TRM Labs'in verilerine göre Kuzey Kore'ye atfedilen 100 saldırının 13'ünde akıllı sözleşme kodundaki açıklar kullanıldı; bu saldırılarda çalınan tutar, Kuzey Kore bağlantılı toplam hırsızlıkların yaklaşık yüzde 1'ini oluşturdu. Binance saldırısı da dahil edildiğinde, özel anahtarlar, sunucular ve imzalama sistemleri gibi altyapıya yönelik ihlaller Kuzey Kore bağlantılı saldırılarda çalınan tutarın yüzde 88'ine karşılık geldi.