Bitget'te Gerçekleşen 387 Milyon Dolarlık Hack'in İç Yüzü ve Türkiye'deki Kripto Borsalarında Cüzdan Güvenliği

Bluex analiz ekibinden herkese merhaba.

Bugün sizlerle 24 Eylül'de dünyanın en büyük kripto borsalarından Bitget'te gerçekleşen hack'in iç yüzünü ve "Borsalar parayı nerede tutar?", "Sıcak cüzdan ile soğuk cüzdan arasındaki fark nedir?", "Anahtar çalınmadan para nasıl çalınır?", "Türkiye'de böyle bir olay gerçekleşirse neler olur?" benzeri soruları akla getiren olaya büyüteç tutacağız.

Ne Oldu?

Olayın akışı kısaca şöyle gelişti:

•       24 Eylül, 18:31 (UTC): Bitget'in güvenlik sistemleri, borsanın sıcak ve ılık cüzdanlarından yetkisiz transferler olduğunu tespit etti ve acil durum prosedürlerini devreye aldı.

•       Aynı akşam: Zincir üzeri analistler, yeni açılmış bir cüzdanın altı dakika içinde yaklaşık 20 milyon dolarlık USDT ile piyasa fiyatının üzerinde ETH topladığını fark etti. Bitget cüzdanlarından çıkan yaklaşık 180 milyon doların ortak bir adreste toplandığı ve ardından çok sayıda cüzdana dağıtıldığı görüldü.

•       Birkaç saat sonra: Bitget CEO'su Gracy Chen olayı doğruladı, kayıp için ilk olarak 351,6 milyon dolar rakamını açıkladı ve çekimleri durdurdu. Alım satım ve yatırma işlemleri açık kaldı.

•       25 Eylül: Etkilenen Zcash ve TRON varlıklarının da hesaba katılmasıyla kayıp 387,5 milyon dolara revize edildi. Varlıklar toplam yedi farklı blokzincir üzerinden saldırganların adreslerine aktarılmıştı.

•       28 Eylül: Dört günlük aradan sonra Bitcoin çekimleri yeniden açıldı. ETH, USDT ve diğer varlıklar için de 2 Ekim'e kadar uzanan aşamalı bir takvim açıklandı.

Soğuk cüzdanlar ise olaydan etkilenmedi. İşte tüm hikâyeyi anlamak için önce bu ayrımı konuşmamız gerekiyor.

Borsalar Parayı Nerede Tutar? Sıcak, Ilık ve Soğuk Cüzdanların Farkları

Bir kripto borsasına para yatırdığınızda varlıklarınız tek bir kasada durmaz. Borsalar, güvenlik ile hız arasındaki dengeyi kurmak için varlıkları genellikle üç katmanda saklar.

Sıcak cüzdan: Vezne çekmecesi

Sürekli internete bağlıdır ve günlük çekim taleplerini anında karşılamak için kullanılır. Müşteriyi bekletmeden ödeme yapabilmek için veznede her zaman bir miktar nakit bulunması gibi. Hızlıdır ama saldırıya en açık katmandır. Bu yüzden borsalar burada varlıkların yalnızca küçük bir kısmını tutar.

Ilık cüzdan: Şubenin arka odasındaki kasa

Sıcak cüzdanı beslemek için kullanılan ara katmandır. İnternete bağlıdır ama transferler daha fazla onay ve kontrol gerektirir. Vezne boşaldıkça arka odadan para getirilir.

Soğuk cüzdan: Bankanın ana kasası

Özel anahtarları internetten tamamen ayrı, çevrimdışı ortamlarda tutulur. Varlıkların büyük çoğunluğu burada durur. Buradan para çıkarılması yavaştır, birden fazla kişinin fiziksel onayını gerektirir; bir hacker'ın internet üzerinden buraya erişmesi ise neredeyse imkânsızdır.

24 Eylül'deki saldırı Bitget'in sıcak ve ılık katmanlarıyla sınırlı kaldı ve soğuk cüzdanlara ulaşamadı. Yani mimari işini yaptı; hasar büyük olsa da borsanın toplam varlıklarına oranla küçük kaldı.

Saldırı Nasıl Gerçekleşti? Anahtar Değil, Onay Hırsızlığı

Kripto dünyasındaki büyük hack'lerin çoğunda saldırganlar cüzdanların özel anahtarlarını ele geçirir. Bitget ise özel anahtarların ele geçirilmediğini açıklıyor. Peki anahtar çalınmadan kasa nasıl boşaltıldı?

Bitget CEO'su olayı şöyle bir benzetmeyle anlatıyor: Saldırganlar kasanın anahtarını çalmadı; çekim fişlerinin hazırlandığı ofise sızdı, resmi görünen sahte fişler hazırladı ve bunları bankanın her gün kullandığı onay veznesinden geçirdi. Onayı veren sistem açısından her şey normal bir ödeme gibi görünüyordu.

Bitget'in sonradan paylaştığı bilgilere göre saldırı üç aşamada gerçekleşti:

1.      İçeri sızma: Saldırganlar, borsanın kullandığı üçüncü taraf bir güvenlik ürünündeki henüz bilinmeyen bir açığı kullanarak iç ağa ait yüksek yetkili kimlik bilgilerini ele geçirdi.

2.      Sahte talimat: Bu kimlik bilgileriyle meşru bir çalışan gibi davranan saldırganlar, cüzdan sistemine doğrudan sahte çekim talimatları yazdı.

3.      Kontrolün atlatılması: Talimatlar, normalde bir çekim kaydı oluşturulmadan önce yapılması gereken risk kontrolünü atlattı. Cüzdan sistemi bunları sıradan çekimler gibi imzalayıp gönderdi.

Buradaki asıl ders şu: Bir borsanın güvenliği sadece anahtarların ne kadar iyi saklandığına bağlı değil. Anahtarı kullanan sistemin kime ve neye güvendiği de en az onun kadar önemli. Kasa ne kadar sağlam olursa olsun, kasayı açma talimatını veren kanal ele geçirilirse kasa kendi eliyle boşalır.

Siber güvenlik şirketi Mandiant ve blokzincir güvenlik firması SlowMist olayı incelerken Bitget de etkilenen sistemleri ağdan ayırdığını, tüm iç kimlik bilgilerini sıfırladığını, kritik işlemler için birden fazla onay şartı getirdiğini ve tüm çekimlerin bağımsız bir doğrulamadan geçeceğini açıkladı.

Kullanıcıların Parası Ne Olacak?

Bitget'in kullanıcılar için en önemli mesajı, kayıpların tamamının "Kullanıcı Koruma Fonu" tarafından karşılanacağı oldu. Borsa, olay anında bu fonda 464 milyon doların üzerinde varlık bulunduğunu ve kullanıcı bakiyelerinin etkilenmediğini açıkladı.

Koruma fonunu borsaların tam da bu tür senaryolar için kendi varlıklarından ayırdığı bir tür iç sigorta gibi düşünebilirsiniz. Ancak bu fonların büyüklüğü, içeriği ve bağımsız olarak denetlenip denetlenmediği borsadan borsaya değişiyor ve genellikle borsanın kendi açıklamalarına dayanıyor.

Bitget ayrıca çalınan fonların geri kazanılmasına yardımcı olanlara %5 ödül vereceği bir program da başlattı. Olayın ilk saatlerinde borsanın kendi tokeni BGB ise yaklaşık %3 değer kaybetti.

Tekrarlayan Bir Desen: Bybit'ten Bitget'e

Bitget CEO'su, IP davranışları ve zincir üzeri hareketlere dayanarak saldırının arkasında Kuzey Koreli hacker gruplarının olduğunu düşündüklerini açıkladı. Bu iddia kulaklara hiç yabancı gelmiyor.

Şubat 2025'te Bybit borsasından yaklaşık 1,5 milyar dolarlık ETH çalınmıştı. Kripto tarihinin en büyük hack'i olan bu olayı FBI, Kuzey Kore'ye bağlamıştı. Bybit'te de özel anahtarlar doğrudan çalınmamış; saldırganlar, imzacıların onay ekranında gördüğü işlemi manipüle ederek onlara farklı bir işlemi onaylatmıştı.

İki olay arasındaki benzerlikler dikkat çekici:

• Hedef anahtarlar değil, onay mekanizması.
• Çalınan varlıkların hızla ETH'ye çevrilmesi.
• Fonların çok sayıda cüzdana bölünmesi.
• Aklama için THORChain gibi zincirler arası takas protokollerinin kullanılması.

2026 bu açıdan zaten yoğun bir yıl. Eylül başında, borsaların da kullandığı Bitcoin yan zinciri Liquid Network'ten 320 milyon dolar değerinde Bitcoin çekilmiş, saldırganlar kendilerini "iyi niyetli hacker" olarak tanıtarak iade için pazarlık yapmıştı.

Bu tablo bize şunu söylüyor: Saldırganlar artık kripto güvenliğinin en güçlü halkası olan şifrelemeye değil, en zayıf halkası olan insanlara, yazılımlara ve iç süreçlere saldırıyor.

Türkiye'de Durum Ne?

"Benzer bir olay Türkiye'deki bir platformda yaşansaydı ne olurdu?" diye soracaksınız. Bu sorunun cevabı, 2021'de Thodex'in çöküşüyle başlayan ve 2024'te yürürlüğe giren 7518 sayılı Kanun'la şekillenen yeni düzenleme çerçevesinde saklı. Bu kanunla kripto varlık hizmet sağlayıcılar SPK'nın denetimi altına girdi. 2025'te yayımlanan tebliğlerle de müşteri varlıklarının nerede, nasıl ve kimin onayıyla saklandığına dair oldukça ayrıntılı kurallar getirildi.

Anahtarlar Donanım Modülünün Dışına Çıkamıyor

Özel anahtarların yönetimi için TÜBİTAK'ın belirlediği altyapı kriterlerine uymak zorunlu. Bu kriterlerin temel ilkesi, anahtarların güvenli donanım modülü (HSM) adı verilen özel cihazların dışına çıkarılmaması. Böylece anahtar hiçbir zaman bir çalışanın bilgisayarında ya da bir sunucunun belleğinde açıkta durmuyor.

Büyük Transferleri Tek Kişi Onaylayamıyor

Bitget olayıyla en doğrudan ilgili kural bu. Türkiye'de 1 milyon TL'nin altındaki transferler tam otomatik süreçlerle onaylanabiliyor, bu tutarın üzerindeki transferler için ise en az iki yetkili yöneticinin onayı gerekiyor. Onay sürecinde çok faktörlü kimlik doğrulama ve akıllı kart gibi araçların kullanılması da zorunlu.

Sistemler Sızma Testinden Geçiyor

Bitget'te saldırganların, borsanın kullandığı üçüncü taraf bir güvenlik ürünündeki açıktan içeri girdiğini hatırlayalım. Türkiye'de bu tür açıkları saldırganlardan önce bulmak için kullanılan en önemli araç sızma testi. SPK'nın bilgi sistemleri düzenlemesi kapsamında kripto varlık platformlarının sistemleri, yetkin olduğunu belgeleyen bağımsız uzmanlar tarafından yılda en az bir kez sızma testine tabi tutuluyor. Bu testlerde uzmanlar gerçek bir saldırgan gibi davranarak sistemlere sızmaya çalışıyor ve buldukları açıkları raporluyor. Test raporlarının da en geç takip eden yılın 31 Ocak tarihine kadar SPK'ya gönderilmesi gerekiyor.

Aynı düzenleme, bir olay yaşandığında nasıl davranılacağını da belirliyor. Kritik operasyonları kesintiye uğratabilecek ya da veri sızıntısına yol açabilecek bir güvenlik olayı tespit edildiğinde platform, SPK'yı, müşterilerini ve ilgili kurumları derhal bilgilendirmek zorunda.

Müşteri Varlıkları Platformun Borçlarından Ayrı

Thodex'teki gibi müşteri parasının platformun parasıyla karışmasının önüne geçmek için, müşterilere ait nakit ve kripto varlıklar kanunen platformun kendi mal varlığından ayrı tutuluyor. Bu varlıklar, platformun borçları nedeniyle, kamu alacakları için bile olsa haczedilemiyor, rehnedilemiyor, üzerlerine ihtiyati tedbir konulamıyor ve platform iflas etse bile iflas masasına dahil edilemiyor.

Sermaye ve Düzenli Denetim

Platformların kuruluş sermayesinin en az 150 milyon TL olması gerekiyor. Buna ek olarak platformlar, müşteri varlıklarının gerçekten yerinde olduğunu düzenli rezerv kanıtı denetimleriyle, bilgi sistemlerinin güvenliğini ise bağımsız bilgi sistemleri denetimleriyle kanıtlamak zorunda.

Hack Zararından Platform Sorumlu

Türkiye'deki düzenlemenin belki de en az bilinen ama en güçlü tarafı sorumluluk kuralı. Kanuna göre kripto varlık hizmet sağlayıcıları, bilişim sistemlerinin işletilmesinden, her türlü siber saldırıdan, bilgi güvenliği ihlallerinden ve personelin davranışlarından kaynaklanan kripto varlık kayıplarından, Türk Borçlar Kanunu'nun tehlike sorumluluğunu düzenleyen 71. maddesi kapsamında sorumlu. Tehlike sorumluluğu kusur aranmayan bir sorumluluk türü olduğu için platform, kural olarak kusuru olmasa bile müşterinin zararını karşılamakla yükümlü. Zararın platformdan tazmin edilemediği durumlarda ise platformun yönetici ve çalışanları, kusurları ölçüsünde şahsen sorumlu tutulabiliyor.

Sonuç: Kilit Sağlamdı, Kapı Açık Kaldı

Bitget olayı, kripto güvenliğinin artık sadece "anahtarını koru" meselesi olmadığını bir kez daha gösterdi. Soğuk cüzdanlar sağlam kaldı, koruma fonu devreye girdi ve borsa dört gün içinde çekimleri açmaya başladı. Yani sistemin çökmemesi için kurulan katmanlar işe yaradı. Ama 387 milyon dolar, içeriden verilmiş gibi görünen bir talimatla kapıdan çıktı.

Yatırımcı açısından çıkarılacak dersler ise basit:

• Kullandığınız platformun hangi ülkede, hangi düzenleyicinin denetiminde olduğunu bilin
• Rezerv kanıtı ve bağımsız denetim yayımlayıp yayımlamadığına bakın.
• Koruma fonu gibi güvencelerin kim tarafından doğrulandığını sorgulayın.

Saldırganların yöntemleri gelişmeye devam ettikçe borsaların da savunmalarını yalnızca kasaya değil, kasaya giden her kapıya kurması gerekecek. Bir sonraki büyük olayın hangi kapıdan geleceğini ise zaman gösterecek.

Kaynaklar

•       Bloomberg: Bitget Says $351 Million Affected in Breach, Halts Withdrawals

•       CoinDesk: Bitget's hack happened via spoofed transfers, not private keys

•       Yahoo Finance / BeInCrypto: Bitget Hack Timeline

•       ChainCatcher: Bitget disclosed the reason for the theft

•       BleepingComputer: Bitget resumes Bitcoin withdrawals after $387.5 million crypto heist

•       Crypto Briefing: Bitget pauses withdrawals after $387.5M hack

•       CoinDesk: $320 million bitcoin exploit hits Liquid Network

•       PRM Finans: III-35/B.2 Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ

•       PRM Finans: III-35/B.1 Kripto Varlık Hizmet Sağlayıcıların Kuruluş ve Faaliyet Esasları Hakkında Tebliğ

•       Erdem & Erdem: Kripto Varlık Platformlarına İlişkin SPK Düzenlemeleri

•       Fintechtime: Türkiye'nin Regülatif Düzleminde Kripto Varlıkların Saklanması

•       CFE Certification: Kripto Dünyasında SPK'nın Rezerv Kanıtı Denetimi

•       PRM Finans: VII-128.10 Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği

•       Tevetoglu Legal: Kripto Varlık Hizmet Sağlayıcılar için 31 Mart